GDPR vid AI-transkribering av samtal med dokumentationsplikt

Pröva varje ändamål

Den personuppgiftsansvarige behöver fastställa ändamål och rättslig grund för behandlingen. När uppgifterna exempelvis rör människors hälsa krävs även stöd för att behandla känsliga personuppgifter. Journalföring och att överföra en ljudfil till en extern tjänst är separata frågor. Bedöm också sekretess, tystnadsplikt och hur de berörda får information.

Minska mängden data före modellsteget. Om granskaren kan återkoppla ett internt samtals-ID till rätt ärende, håll kopplingen i den egna miljön. En pseudonymiserad text kan fortfarande innehålla personuppgifter.

Kontrollera hela leverantörskedjan

Dokumentera rollfördelning, biträdesavtal när leverantören är biträde, underbiträden, faktisk behandlingsplats, supportåtkomst och eventuella tredjelandsöverföringar. Begär uppgifter om loggar, felrapporter, återanvändning av indata och radering för just den avtalade tjänsten.

Vid sannolik hög risk ska verksamheten före behandlingen genomföra en konsekvensbedömning avseende dataskydd. Väg in omfattning, känslighet och följderna av en felaktig koppling till en kund eller patient.

Bestäm vilken version som ska leva vidare

Förteckna bevarandetid och stöd för varje kopia. En lagstadgad tid för en inspelning, journal eller akt innebär inte automatiskt samma tid för en felsökningslogg. Testa hur radering fungerar i köer och hos biträden. Kontrollera samtidigt att obligatoriska original och myndighetens arkivhantering skyddas.

Gör en pilot med fiktiva repliker. Mät om granskaren kan upptäcka en negation som fallit bort, vem som får läsa utkastet och hur ett fel efter godkännande kan rättas med bibehållen historik.

Hur gör man en konsekvensbedömning för AI-transkribering?

Pröva först om behandlingen sannolikt medför hög risk för människors rättigheter och friheter. Om så är fallet kräver artikel 35 i GDPR en konsekvensbedömning före behandlingen. Den personuppgiftsansvarige ansvarar för bedömningen och ska rådfråga dataskyddsombudet där ett sådant finns.

Arbeta igenom ett konkret riskscenario. Om en annan patients namn hamnar på ett transkript kan en korrekt återgiven replik ändå hamna i fel journal. Beskriv vem som kan skadas, hur felet uppstår och hur patientkoppling och granskning ska provas.

• Beskriv behandlingen och ändamålen, inklusive vilka aktörer som får åtkomst och hur länge varje kopia sparas.
• Bedöm nödvändighet och proportionalitet. Pröva exempelvis om en kort diktering efter samtalet räcker för uppgiften.
• Bedöm sannolikhet och konsekvens för den enskilde. Ange skyddsåtgärder, ansvar och hur kvarstående risk ska följas upp.
• Om en hög risk kvarstår trots åtgärderna ska den ansvarige förhandssamråda med IMY före behandlingen enligt artikel 36. Ompröva bedömningen när riskbilden förändras.

Gallringsmatris för samtalsunderlag · Sekretessfrågor för myndigheter