Kunstig intelligens (KI) i barnehagen

Ja, KI-verktøy kan være nyttige hjelpemidler til for eksempel idéutvikling, planlegging, språk, struktur og utforming av generelle tekster. Barnehagen bør imidlertid ha avklart hvilke KI-verktøy som er godkjent for bruk, og hva de kan brukes til.

Før et KI-verktøy tas i bruk, må barnehagen vurdere blant annet personvern, informasjonssikkerhet, hvordan leverandøren behandler opplysninger og hvilke tilganger løsningen får. Barnehagen er selv ansvarlig for at løsningene den velger, brukes i samsvar med personvernregelverket.

Les mer: https://ki.norge.no/veiledning/personvern-gdpr-og-ki

Som praktisk hovedregel anbefaler vi at ansatte ikke legger inn personopplysninger om barn, foreldre eller ansatte i KI-verktøy.

Dersom et KI-verktøy skal brukes til å behandle personopplysninger, må barnehagen blant annet ha kontroll på formålet med behandlingen, behandlingsgrunnlaget, informasjonssikkerheten og hvordan leverandøren behandler opplysningene. Dersom leverandøren behandler personopplysninger på vegne av barnehagen, vil det normalt også være nødvendig med en databehandleravtale.

Det bør utvises særlig varsomhet med opplysninger om barn. Barns personopplysninger har et særlig vern etter personvernregelverket.

Husk også at bilder, dokumenter og andre vedlegg kan inneholde personopplysninger selv om navn er fjernet.

Les mer: https://ki.norge.no/veiledning/personvern-gdpr-og-ki

Det kan være mulig å bruke anonymiserte eksempler, men anonymiseringen må være reell. Det er ikke nødvendigvis tilstrekkelig å fjerne navn.

Dersom et barn, en forelder eller en ansatt fortsatt kan gjenkjennes gjennom for eksempel alder, avdeling, familiesituasjon, bosted, hendelser eller en kombinasjon av flere opplysninger, kan informasjonen fortsatt være personopplysninger. Datatilsynet peker også på at pseudonymiserte opplysninger fortsatt er personopplysninger.

Tenk derfor gjennom om personen kan gjenkjennes ut fra helheten i beskrivelsen, ikke bare om navn og fødselsdato er fjernet.

Barnehagen skal risikovurdere KI-verktøy før de tas i bruk, særlig dersom verktøyet skal behandle personopplysninger eller få tilgang til barnehagens systemer og informasjon.

Vurderingen bør blant annet omfatte hvilke opplysninger verktøyet får tilgang til, hvor og hvordan opplysninger behandles, hvem som kan få tilgang, konsekvensene dersom opplysninger kommer på avveie, og hvilke tiltak som kan redusere risikoen. Risikovurderingen bør dokumenteres og inngå i barnehagens internkontroll. Datatilsynet legger til grunn at virksomheter som behandler personopplysninger skal vurdere risikoen knyttet til behandlingen.

Les mer: https://ki.norge.no/veiledning/personvern-gdpr-og-ki

Barnehagen bør ha noen få, tydelige regler som alle ansatte kjenner. Rutinene bør være en del av barnehagens internkontroll og følges opp når verktøy, risiko eller bruksmåter endrer seg. Datatilsynet understreker at virksomheter må kunne dokumentere at personopplysninger behandles lovlig, sikkert og forsvarlig.

Rutinene bør som minimum si noe om hvilke KI-verktøy som er godkjent, hva de kan brukes til, hvilke opplysninger som aldri skal legges inn, hvordan anonymisering skal gjøres, hvilke tilganger KI-verktøy kan få, krav til kvalitetssikring av KI-generert innhold og hvordan feil eller avvik skal håndteres.

Det bør også være tydelig hvem som har ansvar for å godkjenne nye KI-verktøy, og ansatte bør få nødvendig opplæring.

Det avgjørende er imidlertid ikke først og fremst om tjenesten er gratis. Barnehagen må kunne dokumentere at e-postløsningen tilfredsstiller kravene til personvern og informasjonssikkerhet. Dersom leverandøren behandler personopplysninger på vegne av barnehagen, må forholdet til leverandøren også være regulert på en måte som oppfyller kravene til databehandleravtale. Barnehagen kan bruke eksterne leverandører til lagring og behandling av personopplysninger, men virksomheten er fortsatt ansvarlig og må blant annet sørge for nødvendige avtaler og sikkerhetstiltak.

Det er viktig å skille mellom private forbrukerkontoer og tjenester beregnet for virksomheter. Google opplyser for eksempel at de ikke tilbyr databehandleravtale for forbrukerversjonen av Gmail og Google Drive, mens Google Workspace har egne vilkår for behandling av kundedata. Microsoft skiller tilsvarende mellom forbrukertjenester, som omfattes av Microsofts tjenesteavtale for forbrukere, og Microsofts virksomhetsprodukter, der egne databeskyttelsesvilkår gjelder.

Barnehagen bør derfor benytte en e-postløsning som tilfredsstiller kravene i personvernforordningen, med nødvendige avtaler, administrasjon av brukere og tilganger, sikkerhetsinnstillinger og rutiner for lagring og sletting.