Kort om de proprietære løsninger (ChatGPT, Copilot, Deepseek osv.):
Disse lukkede modeller tilbyder ofte:
- Høj brugervenlighed: De er typisk nemme at komme i gang med via en webgrænseflade eller en API.
- Stærk ydeevne "out-of-the-box": De er trænet på enorme datamængder og leverer ofte imponerende resultater uden behov for tilpasning.
- Professionel support: Du får adgang til leverandørsupport, hvilket kan være afgørende for virksomheder uden egne AI-eksperter.
Farligt og ulovligt at bruge?
Mangel på kontrol over dine data, afhængighed af leverandøren, begrænsede tilpasningsmuligheder og løbende omkostninger.
Det afgørende punkt er HVORDAN de bruges, HVILKE DATA der behandles, og HVOR dataene behandles.
Problematikken opstår, når behandlingen af personoplysninger eller andre følsomme data ikke overholder lovgivningens principper og krav.
Lad os se på GDPR og andre relevante EU-love:
GDPR (General Data Protection Regulation)
GDPR handler om beskyttelse af personoplysninger. Den gør ikke en specifik teknologi ulovlig, men stiller krav til, hvordan personoplysninger behandles.
Hvorfor brug af proprietære (f.eks. ChatGPT/Copilot) kan blive problematisk under GDPR (og hvor open source kan tilbyde en fordel):
-
Overførsel af personoplysninger til tredjelande (Artikel 44-50):
- Problemet: De store proprietære AI-modeller (OpenAI, Google, Microsoft) drives ofte fra USA eller andre lande uden for EU/EØS, som ikke har et tilstrækkeligt databeskyttelsesniveau i henhold til EU-Kommissionen (mangler tilstrækkelighedsafgørelse). Overførsel af personoplysninger til disse lande kræver et gyldigt overførselsgrundlag (f.eks. Standardkontraktklausuler (SCC'er) eller Binding Corporate Rules (BCR'er)).
- Udfordringen med Proprietære Tjenester: Selvom disse udbydere tilbyder SCC'er, har der været juridiske udfordringer (f.eks. Schrems II-dommen), der har stillet spørgsmålstegn ved effektiviteten af SCC'er, når data er underlagt tredjelandes overvågningslovgivning (som FISA 702 i USA). Hvis du indtaster personoplysninger i ChatGPT, sender du dem til en server i USA, og OpenAI fungerer som databehandler. Dette kræver et gyldigt overførselsgrundlag og en vurdering af risikoen for adgang fra amerikanske myndigheder.
- Fordelen ved Open Source (selv-hostet): Hvis du kører en open source AI chat-model (f.eks. LLaMA via Ollama) på dine egne servere inden for EU/EØS, forlader personoplysningerne aldrig EU/EØS. Du undgår dermed fuldstændigt problematikken med overførsel til tredjelande. Dette er en kæmpe compliance-fordel.
-
Formålsbegrænsning og Dataminimering (Artikel 5(1)(b) & (c)):
- Problemet: Personoplysninger skal indsamles til specifikke, legitime formål og ikke behandles yderligere på en måde, der er uforenelig med disse formål. De skal også være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt for formålene.
- Udfordringen med Proprietære Tjenester: Hvis du indtaster personoplysninger i en model som ChatGPT, og den bruges til at træne den generelle model (hvis brugerbetingelserne tillader det, eller hvis funktionen ikke fravælges), kan det betragtes som en yderligere behandling, der potentielt er uforenelig med det oprindelige formål. Det kan også være svært at bevise, at dataene er minimeret, når de indgår i en stor, generel træningsproces.
- Fordelen ved Open Source (selv-hostet): Du har fuld kontrol over, hvad der sker med dataene. Du kan garantere, at de kun bruges til det specifikke formål, du har defineret (f.eks. kundesupport, intern vidensøgning), og du kan nemmere implementere dataminimering, da du ikke behøver at sende unødvendige personoplysninger til en ekstern tjeneste.
-
Sikkerhed ved Behandling (Artikel 32):
- Problemet: Dataansvarlige og databehandlere skal træffe passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen.
- Udfordringen med Proprietære Tjenester: Selvom store udbydere har avancerede sikkerhedsforanstaltninger, afgiver du en vis grad af kontrol over dataene til dem. Du skal stole på deres sikkerhedsmodel. Eventuelle databrud hos dem kan kompromittere dine data.
- Fordelen ved Open Source (selv-hostet): Du er selv ansvarlig for sikkerheden, men du har også fuld kontrol. Du kan implementere dine egne sikkerhedskontroller, kryptering, adgangsstyring og overvågning, der er skræddersyet til dine interne standarder og risikoprofil.
-
Ansvarlighed (Artikel 5(2)):
- Problemet: Dataansvarlige skal kunne demonstrere, at GDPR overholdes.
- Udfordringen med Proprietære Tjenester: Det kan være sværere at demonstrere fuld overholdelse, når store dele af behandlingsprocessen er en "black box" hos en tredjepart i et andet land.
- Fordelen ved Open Source (selv-hostet): Da du har kontrol over hele stacken, er det nemmere at dokumentere og demonstrere, hvordan du overholder GDPR's principper.
Anden Relevant EU-Lovgivning:
Udover GDPR er der andre nye og kommende love, der også påvirker brugen af AI og data, og som kan bidrage til problematikken, hvis AI-systemer ikke bruges korrekt:
-
AI-forordningen (AI Act):
- Dette er den mest direkte lovgivning om AI. Den klassificerer AI-systemer baseret på risiko (minimal, begrænset, høj risiko, uacceptabel risiko).
- Relevans: Hvis en AI chat-løsning bruges i et "højrisiko" område (f.eks. til ansættelse, kreditvurdering, i kritisk infrastruktur eller retshåndhævelse), stiller AI-forordningen meget strenge krav til systemet, herunder krav om risikostyringssystemer, datastyring og governance, teknisk dokumentation, menneskeligt tilsyn, nøjagtighed, robusthed og cybersikkerhed.
- Ulovlighed: Hvis et højrisiko AI-system ikke opfylder disse krav, vil det være ulovligt at markedsføre eller anvende det i EU. Også visse AI-anvendelser er helt forbudte (f.eks. social scoring af borgere).
- Open Source vs. Proprietær: Igen giver open source-modeller, der kører lokalt, mere kontrol over systemets design og implementering, hvilket potentielt kan gøre det nemmere at opfylde kravene i AI-forordningen, især hvad angår gennemsigtighed og tilpasning for at undgå bias og sikre nøjagtighed. Proprietære modeller, især dem der bruges til generelle formål, kan være sværere at "bevise" overholder alle højrisikokrav, hvis du ikke har fuld indsigt i deres indre virkemåde og træningsdata.
-
NIS2-direktivet (Network and Information Security 2 Directive):
- Relevans: NIS2 sigter mod at øge cybersikkerhedsniveauet for væsentlige og vigtige enheder i EU. Hvis en AI chat-løsning udgør en del af et informationssystem, der er kritisk for driften af en enhed, der er omfattet af NIS2, skal de relevante sikkerhedsforanstaltninger (risikostyring, hændelseshåndtering, forsyningskædesikkerhed m.m.) implementeres.
- Ulovlighed: Manglende overholdelse af NIS2's sikkerhedskrav, herunder utilstrækkelig sikring af AI-systemer, kan føre til store bøder og håndhævelsesforanstaltninger.
-
DORA-forordningen (Digital Operational Resilience Act):
- Relevans: Specifik for finanssektoren. DORA fokuserer på digital operationel modstandsdygtighed og håndtering af IT-tredjepartsrisici.
- Ulovlighed: Hvis en finansiel institution bruger en AI chat-løsning, og den ikke lever op til DORA's krav om risikostyring, test, rapportering eller styring af tredjepartsudbydere, kan det være i strid med lovgivningen.
Opsummering:
Det handler ikke om, at selve AI-chatløsningen er ulovlig. Det handler om, at den ansvarlige organisation skal sikre, at brugen af enhver AI-løsning (open source eller proprietær) overholder alle gældende love og regler.
De store fordele ved open source AI chat er, at de giver dig teknisk kontrol, der kan gøre det væsentligt nemmere at opfylde kravene i GDPR (især ved at undgå tredjelands-overførsler) og AI-forordningen (især for højrisiko-systemer), da du har den fulde kontrol over dataene og systemets adfærd. Med proprietære løsninger er du i højere grad afhængig af udbyderens compliance og kan have sværere ved at demonstrere din egen overholdelse.