Rättslig vägledning för AI
När Helsingborgs stad använder AI ska vi göra det lagligt, säkert och ansvarsfullt. Det innebär att vi ska följa de lagar och regler som styr hur AI får utvecklas, användas och integreras i vår verksamhet.
Vid användandet av AI blir olika lagregler aktuella, som EU:s nya AI-förordning (AI Act), dataskyddsförordningen (GDPR), sekretesslagstiftningen och regler om informationssäkerhet.
AI-förordningen
AI-förordningen är EU:s lagstiftning för artificiell intelligens. Förordningen styr hur AI får utvecklas och användas inom EU på ett tryggt och etiskt hållbart sätt, samtidigt som medborgarnas rättigheter och friheter skyddas.
AI-förordningen bygger på ett riskbaserat tillvägagångssätt där AI-system klassificeras utifrån olika risknivåer, baserat på systemets potentiella risk för samhället och individers rättigheter. Beroende på AI-systemets risknivå ställs krav som de som hanterar systemet ska uppfylla.
Oacceptabel risk (förbjudet)
- AI som identifierar personer på allmän plats.
- AI för social poängsättning av personer.
- AI som avsiktligt manipulerar eller vilseleder en person eller en grupp för att påverka beteenden.
- AI som utifrån profilering, personlighetsdrag och egenskaper förutser risken för att en person ska begå brott.
Hög risk
- AI i system för kritisk infrastruktur som digital infrastruktur, trafik, vatten, värme eller el.
- AI vid rekrytering och beslut som påverkar en anställd, t.ex. vid befordran eller uppsägning.
- AI i offentlig verksamhet vid handläggning av förmåner, bidrag eller stöd till invånare.
- AI inom utbildning, t.ex. vid antagning, utvärdering av resultat eller övervakning av prov.
Begränsad risk
- Många generativa AI-tjänster, t.ex. chatbotar.
Minimal risk
- AI som utför enklare, avgränsade uppgifter, t.ex. spamfilter, rättstavningsprogram och automatiska kalenderbokningar.
AI-förordningen definierar olika roller utifrån vad organisationen gör med AI-systemet, t.ex. leverantör, tillhandahållare, distributör och importör. Helsingborg stad kommer oftast att ha rollen leverantör eller tillhandahållare.
- Leverantör är en person, ett företag, offentlig myndighet eller organisation som utvecklar ett AI-system och släpper det på marknaden eller använder det i eget namn eller under eget varumärke.
- Tillhandahållare är en person, ett företag, offentlig myndighet eller organisation som använder ett AI-system i sin verksamhet.
Ansvar för medarbetare och chefer
En AI-tjänst får inte börja användas innan relevanta lagkrav har utretts och uppfyllts.
Innan en AI-tjänst kan användas behöver det bedömas:
- Hur AI-tjänsten är utvecklad och vilken information den har tränats på.
- AI-tjänstens risknivå.
- Vilken roll verksamheter har vid AI-användningen.
- Hur vi får använda tjänsten.
- Vilken information som får hanteras i tjänsten.
För vägledning och hjälp att bedöma AI-tjänster och lagkrav:
kontakta stadsjuridiska enheten på SLF.
Dataskydd och hantering av personuppgifter i AI-system
Helsingborgs stads verksamheter hanterar stora mängder personuppgifter. Dataskyddsförordningen (GDPR) ska följas när personuppgifter behandlas.
Personuppgifter kan förekomma när AI-system utvecklas, tränas eller används och då gäller AI-förordningen och dataskyddsförordningen parallellt. Helsingborgs stad behöver därför oftast tillämpa både AI-förordningen och GDPR när AI-tjänster används. Om personuppgifter förekommer i en AI-tjänst så behöver den verksamhet som vill använda tjänsten göra en konsekvensbedömning (DPIA) innan tjänsten införs.
För vägledning och hjälp vid hantering av personuppgifter i AI-tjänster:
kontakta förvaltningens dataskyddssamordnare, dataskyddsombudet eller stadsjuridiska enheten på SLF.
Fler juridiska frågor att ta ställning till
Förutom AI-förordningen och dataskyddsförordningen finns det fler juridiska frågor som behöver utredas när en AI-tjänst ska utvecklas, anskaffas eller användas. Eftersom frågorna är komplexa ska en jurist vara med tidigt i arbetet. Innan en AI-tjänst används måste vi utreda:
Sekretess
Vilken typ av uppgifter kan hanteras i AI-tjänsten? Om det är sekretessbelagda uppgifter behöver vi göra särskilda bedömningar för att inte riskera att bryta vår tystnadsplikt.
- Kontakta en jurist på din förvaltning eller stadsjuridiska sektionen på SLF.
Informationssäkerhet
Vilka uppgifter får hanteras i tjänsten? Vilket skydd behövs för att det ska vara en säker hantering?
- Kontakta ansvarig för informationssäkerhet på din förvaltning eller stadens CISO (Chief information security officer) på enheten för trygghet och säkerhet, SLF.
Mänskliga rättigheter och diskriminering
När vi arbetar med AI-system behöver det säkerställas att mänskliga rättigheter upprätthålls, att barns rättigheter värnas och att diskriminerande urval och resultat inte uppstår. Innan en AI-tjänst tas i bruk behöver bland annat följande frågor utredas;
Missgynnas någon på grund av hur tjänsten är utformad?
Innebär tjänstens utformning risk för bias eller reproduktion av stereotyper?
Riskerar utfallet att vara diskriminerande?
- Kontakta samhällsstrateg Mia Norberg på SLF, en jurist på din förvaltning eller stadsjuridiska sektionen på SLF för hjälp med bedömningen.
Avtal
Alla AI-tjänster kräver avtal, även för gratistjänster som Chat GPT behöver användarvillkoren accepteras. Avtal och licensvillkor måste granskas innan avtal tecknas och tjänsten kan användas.
- Kontakta jurist på din förvaltning eller stadsjuridiska sektionen på SLF.
Upphandling
Alla inköp av tjänster, system och programvara måste följa upphandlingslagstiftningen.
- Kontakta din förvaltnings inköpssamordnare eller inköpsenheten på stadsledningsförvaltningen.
Upphovsrätt
Om AI skapar bilder eller video är frågor om upphovsrätt aktuella. Vilka bilder får vi använda och vem har rätt till det material som AI-tjänsten skapar?
- Kontakta jurist på din förvaltning eller stadsjuridiska sektionen på SLF.
