Får en HR-konsult använda ChatGPT på ett personalärende?
Med personuppgifter i klartext i en publik AI-tjänst: i regel nej. Men en HR-konsult kan använda AI i dag, med tre enkla grepp.
Med personuppgifter i klartext i en publik AI-tjänst: i regel nej. Uppgifterna om den anställde tillhör klienten, de innehåller ofta hälsouppgifter, och de lämnar klientens kontroll när de skickas. En HR-konsult kan ändå använda AI i dag: fråga om juridiken i stället för om ärendet, ta bort det som identifierar, och skriv in AI-användningen i uppdragsavtalet med klienten.
Vems är uppgifterna i ett personalärende?
I ett personalärende är det i de flesta fall klientföretaget som är personuppgiftsansvarigt för uppgifterna om den anställde. HR-konsulten behandlar uppgifterna för klientens räkning, som personuppgiftsbiträde, och bara enligt klientens instruktioner (artikel 28 i dataskyddsförordningen).
En HR-konsult som klistrar in ett ärende i en AI-tjänst anlitar i praktiken ett underbiträde. Ett underbiträde kräver klientens skriftliga förhandstillstånd (artikel 28.2). Konsultens eget avtal med AI-leverantören räcker alltså inte: klienten måste ha sagt ja.
Varför är hälsouppgifter en särskild risk?
Personalärenden innehåller ofta uppgifter om hälsa, som sjukfrånvaro, rehabilitering och läkarintyg. Hälsouppgifter hör till de särskilda kategorierna i artikel 9 och får bara behandlas om ett av undantagen gäller.
Undantaget för arbetsrättsliga skyldigheter (artikel 9.2 b) bär arbetsgivarens egen hantering av hälsouppgifter. Att samma undantag också bär att hälsouppgifter skickas till en extern AI-tjänst är inte självklart. Den frågan behöver bedömas och dokumenteras innan uppgifterna skickas.
En konsult förbereder ett samtal om arbetsbrist där en av de berörda har varit sjukskriven i ett halvår. Konsulten klistrar in klientens anteckningar och ber en AI-tjänst sammanfatta läget enligt LAS. Sammanfattningen blir bra, men namnet och sjukfrånvaron har lämnat klientens kontroll.
Vad gäller när uppgifterna lämnar EU?
De flesta publika AI-tjänster drivs av leverantörer utanför EU. En överföring av personuppgifter dit måste vila på kapitel V i dataskyddsförordningen (artikel 44 och följande), till exempel ett beslut om adekvat skyddsnivå eller standardavtalsklausuler.
Villkoren för AI-tjänster skiljer sig mellan konsumentversioner och företagsversioner: om uppgifterna används för att träna modellen, hur länge de sparas och vilka underleverantörer som når dem. Villkoren ändras, så en konsult som använder en AI-tjänst i sina uppdrag behöver läsa villkoren för just sin version och notera datumet.
Hur kan en HR-konsult använda AI i dag?
- Fråga om juridiken, inte om ärendet. "Vad gäller vid arbetsbrist när en anställd är sjukskriven?" går att fråga utan en enda personuppgift.
- Ta bort det som identifierar. Namn, personnummer, arbetsplats och detaljer som tillsammans pekar ut en person. Maskerade uppgifter är fortfarande personuppgifter så länge någon kan koppla tillbaka dem (skäl 26), men risken blir mindre.
- Skriv in AI-användningen i uppdragsavtalet: vilka verktyg, för vad och med vilket leverantörsavtal. Då har klienten tagit ställning.
- Välj en företagsversion med personuppgiftsbiträdesavtal om uppgifter ändå måste skickas.
Går det att maskera personuppgifter automatiskt?
Att tvätta ett personalärende för hand tar tid, och det är lätt att missa en detalj. Det är det problemet vi har byggt VAKTA för. VAKTA, en AI-plattform som körs i er egen miljö och maskerar personuppgifter innan frågan når AI-modellen, ersätter namn och andra personuppgifter innan frågan lämnar organisationen och sätter tillbaka dem lokalt i svaret. Frågorna om rättslig grund och klientens tillstånd finns kvar, men uppgifterna i klartext lämnar inte huset.
Det här är en allmän beskrivning, inte juridisk rådgivning i ett enskilt fall.
Källor
Vill ni se hur det fungerar i praktiken?
Vi visar gärna hur VAKTA hanterar era frågor, med er egen dokumentation och era egna regler.
Boka ett samtal