Denne artikel er en generel guide og ikke juridisk rådgivning. Er du i tvivl, så spørg en rådgiver eller Datatilsynet.
AI-værktøjer gør marketing hurtigere, men de gør det også let at komme til at lægge oplysninger ind, som ikke burde være der. Her er otte ting, du bør tjekke, før du bruger AI i din marketing.
1. Hvilke data lægger du ind?
Start med at skelne mellem tre slags oplysninger: almindelige oplysninger uden personhenvisning (fx en produktbeskrivelse), personoplysninger (navne, e-mails, telefonnumre) og følsomme eller fortrolige oplysninger. Jo mere følsomt, jo mere forsigtig skal du være. Det sikreste er at lade være med at lægge personoplysninger ind, medmindre du ved, hvad der sker med dem.
2. Har du et retsgrundlag?
Behandler du personoplysninger, skal du have et retsgrundlag efter GDPR, fx samtykke, en aftale med personen eller en legitim interesse. Det gælder også, når en leverandør behandler oplysningerne for dig.
3. Har du en databehandleraftale?
Når en leverandør behandler personoplysninger på dine vegne, skal der som udgangspunkt være en databehandleraftale. Tjek, om dit AI-værktøj tilbyder en, og at den dækker den måde, du bruger værktøjet på.
4. Hvor behandles data?
Find ud af, hvor leverandøren behandler data, og om oplysninger overføres uden for EU/EØS. Overførsler kræver et gyldigt grundlag. Leverandørens dokumentation burde fortælle det.
5. Bliver dine data brugt til at træne modellen?
Nogle værktøjer kan bruge det, du lægger ind, til at forbedre deres modeller, afhængigt af plan og indstillinger. Læs vilkårene, og tjek indstillingerne. Er du i tvivl, så lad være med at lægge noget ind, du ikke vil have uden for din virksomhed.
6. Brug så få data som muligt
Dataminimering betyder, at du kun bruger de oplysninger, du har brug for. Du kan ofte få samme hjælp uden at nævne navne eller andre personoplysninger. Anonymiser eller udelad, hvor det er muligt.
7. Fortæl det i din privatlivspolitik
Hvis du bruger personoplysninger i AI-værktøjer eller automatisering, skal din privatlivspolitik kunne dække det: hvad du bruger oplysningerne til, hvem der modtager dem, og hvor længe du opbevarer dem. Se også vores egen privatlivspolitik som eksempel på struktur.
8. Behold et menneske i beslutningerne
GDPR har regler for automatiske afgørelser, der har retsvirkning for en person eller påvirker vedkommende betydeligt. Almindelig marketingtekst falder sjældent ind under det, men automatisk profilering og udvælgelse af personer kan. Lad et menneske tage beslutninger, der har betydning for enkeltpersoner.
Hvad med EU’s AI-forordning?
EU’s AI-forordning indfører krav til brug af AI, som varierer efter risikoniveau. De fleste marketingformål er ikke højrisiko, men der kan være krav til gennemsigtighed, fx når indhold kan forveksles med virkeligheden. Reglerne bliver indført trinvist, så tjek de aktuelle krav hos en rådgiver eller på myndighedernes sider.
En kort AI-politik til din virksomhed
Selv en kort politik hjælper medarbejderne. Skriv den på en side og dæk:
- Hvilke AI-værktøjer må bruges, og hvem godkender nye
- Hvilke oplysninger der aldrig må lægges ind (fx personoplysninger og fortrolige aftaler)
- At alt, der udgives, skal læses og godkendes af et menneske
- Hvordan man håndterer fejl og klager
- Hvem man spørger, når man er i tvivl
Hvad er okay, og hvad bør du undgå? Eksempler
En enkel måde at tænke på er tre niveauer. Eksemplerne er generelle, og din situation kan kræve en konkret vurdering.
Grønt: sjældent et problem
- At bede AI om idéer til en kampagne uden at nævne kunder
- At lade AI omskrive en tekst, du selv har skrevet, uden personoplysninger
- At bruge AI til at foreslå overskrifter til en annonce
Gult: tjek først
- At lægge et udsnit af kundefeedback ind. Fjern navne og identificerbare oplysninger først.
- At bruge AI i dit CRM eller mailsystem. Tjek aftaler og indstillinger.
- At bruge AI til at sortere indkomne henvendelser. Tjek retsgrundlag og dataflow.
Rødt: undgå, medmindre du har styr på det hele
- At lægge lister med navne, e-mails og købshistorik ind i et værktøj uden aftale
- At bruge følsomme oplysninger, fx om helbred
- At lade AI træffe beslutninger om enkeltpersoner uden menneskeligt tilsyn
Spørgsmål til din AI-leverandør
- Hvor behandles data, og overføres de uden for EU/EØS?
- Findes der en databehandleraftale?
- Bruges vores data til at træne modeller, og kan vi slå det fra?
- Hvor længe gemmes det, vi lægger ind?
- Hvem hos jer har adgang til vores data?
- Hvordan kan vi få data slettet?
- Hvilke underleverandører bruger I?
- Hvordan håndterer I sikkerhedsbrud?
Dokumentér det, du gør
GDPR forudsætter, at du kan vise, hvordan du behandler oplysninger. Skriv ned, hvilke værktøjer du bruger, til hvad, hvilke data der indgår, og hvilket grundlag du har. Gem databehandleraftaler. Det behøver ikke være omfattende, men det skal være aktuelt.
Uddan medarbejderne
De fleste datafejl sker ved en fejl og ikke med vilje. En kort introduktion, hvor I gennemgår AI-politikken og viser eksempler på, hvad der må og ikke må, forebygger mange problemer.
Hvad gør du, hvis noget går galt?
Hvis personoplysninger kommer ud, hvor de ikke skulle, kan der være pligt til at anmelde det til Datatilsynet inden 72 timer, hvis det er muligt, og til at underrette de berørte. Lav en kort plan på forhånd: Hvem skal underrettes, og hvem tager beslutningen? Er du i tvivl, så kontakt en rådgiver eller Datatilsynet hurtigst muligt.
Ofte stillede spørgsmål
Må jeg lægge kundedata ind i ChatGPT eller lignende?
Det afhænger af værktøjet, planen og dine aftaler. Som udgangspunkt bør du ikke lægge personoplysninger ind uden at have tjekket retsgrundlag, databehandleraftale og vilkår. Brug helst data uden personhenvisning.
Skal jeg fortælle, at jeg bruger AI?
Der er ikke et generelt krav om at mærke al AI-hjælp, men du skal være åben, når personoplysninger behandles, og undgå vildledende markedsføring. Tjek aktuelle krav for dit område.
Skal jeg have en databehandleraftale med mit AI-værktøj?
Hvis værktøjet behandler personoplysninger på dine vegne, skal der som udgangspunkt være en databehandleraftale. Bruger du kun data uden personhenvisning, er behovet et andet.
Kan jeg bruge AI til at skrive nyhedsbreve til kunder?
Ja, så længe du ikke lægger personoplysninger ind unødigt, og dit nyhedsbrev i øvrigt følger reglerne om samtykke og afmelding.
Næste skridt
Vil du have en gennemgang af, hvordan AI kan bruges i din marketing på en ansvarlig måde?
- Læs om AI-rådgivning
- Bestil en gratis AI-screening
