Var hamnar din data egentligen?

Varje försäljningssamtal om AI handlar om förmåga: vad verktyget kan göra, hur snabbt och hur imponerande resultatet blir. Nästan inget börjar med frågan som avgör om du får använda det.

Vart tar din data vägen när du trycker på skicka?

För ett nordiskt eller europeiskt företag är det ingen paranoid eftertanke. Det är ofta det villkor som borde ha styrt beslutet från början.

Frågan ingen ställer på demon

När du klistrar in en kundpost, ett avtal eller ett internt dokument i ett AI-verktyg lämnar texten ditt hus. Den skickas till en server någonstans, bearbetas och lagras ibland i loggar eller sparas en tid. “Någonstans” gör mycket jobb i den meningen, och demon säger aldrig var.

Leverantören har ett intresse av att prata om vad modellen kan göra. Du är den enda i rummet som har anledning att fråga vad som händer med datan sedan. Så det får du fråga.

EU eller USA: det styrs av lagen

Om du hanterar personuppgifter för personer i EU bryr sig GDPR inte om hur bra modellen är. Den bryr sig om var uppgifterna behandlas, vem som kan komma åt dem och på vilken rättslig grund de lämnar EU. Ett bra verktyg som skickar allt via en amerikansk region med vaga lagringsregler kan vara ett compliance-problem som du har skrivit under på utan att märka det.

Amerikanska leverantörer är inte problemet. Många erbjuder datalagring i EU och riktiga personuppgiftsbiträdesavtal. Problemet är att inte veta vilken konfiguration du använder, eftersom standardinställningen sällan är den som följer reglerna.

Vad EU-region egentligen betyder

Hostad i EU kan betyda flera olika saker, och de är inte likvärdiga:

• EU-baserad datalagring. Din data lagras och bearbetas i datacenter i EU. Bra, men kontrollera om supportpersonal eller underleverantörer utanför EU ändå kan komma åt den.
• Ett undertecknat personuppgiftsbiträdesavtal (DPA). Leverantören agerar avtalsenligt som ditt personuppgiftsbiträde, med definierad lagring och radering. Det är den här delen som gör den rättsliga grunden verklig.
• Ingen träning på dina data. Bekräfta skriftligt att dina uppgifter inte används för att träna leverantörens modeller. För affärsdata väger det lika tungt som datalagringen.

Om en leverantör inte kan svara tydligt på alla tre är det svaret.

En checklista innan du registrerar dig i något AI-verktyg

Innan du pratar om vad verktyget kan göra ska du få fyra saker skriftligt: var datan behandlas, vem som kan komma åt den, hur länge den lagras och om den används för träning. Fyra frågor. Klarar verktyget dem först kan ni prata om vad det kan göra.

Det är den tråkiga halvan av ett AI-beslut, och det är den halvan som håller dig borta från problem. Vill du ha en partner som tar den här frågan först och inte sist: så arbetar vi i varje uppdrag.