Slik bruker du AI på trenings- og helsedata innenfor GDPR

Det er nyttig å dele dataene i tre nivåer før du begynner å vurdere verktøy:

• Aktivitetsdata: økttype, varighet, distanse, antall skritt, løftet volum
• Kroppsdata: puls, søvn, vekt, kroppsmål
• Helseopplysninger: skader, diagnoser, medisiner, smerter, graviditet, psykisk helse

De to første nivåene er ikke automatisk helseopplysninger, men de blir det i praksis når de kobles til det tredje. En pulsprofil fra en kunde med en dokumentert hjerteutfordring er helseopplysninger, ikke bare treningsdata. Behandle derfor hele datasettet som sensitivt når du er i tvil.

Etter GDPR er helseopplysninger en særlig kategori av personopplysninger. Det betyr ikke at du ikke kan behandle dem, men at grunnlaget må være tydelig, at du må begrense hva du samler inn, og at du må kunne forklare hvorfor akkurat denne behandlingen er nødvendig. Personvernerklæring for treningssentre viser hvordan helseopplysninger krever eget grunnlag og egen del av erklæringen. Er du usikker på grunnlaget, spør noen med juridisk kompetanse før du setter i gang, ikke etterpå.

Skriv ned én setning om hva AI-en skal gjøre. Uten den setningen blir alle vurderinger av personvern synsing. Typiske bruksområder i en liten trenings- eller helserelatert virksomhet er:

• Lage forslag til treningsprogram ut fra mål og øktlogg
• Oppsummere en økt eller en periode for kunden
• Svare på henvendelser som handler om trening og helse
• Finne mønstre på tvers av mange kunder
• Skrive innhold til nettsiden eller nyhetsbrevet

Skill mellom to helt ulike jobber. Den ene er å analysere data om én navngitt kunde. Den andre er å se på mønstre på tvers av mange kunder. Den første krever at du vet nøyaktig hvilke personopplysninger som går inn og hvor de havner. Den andre kan ofte gjøres på aggregert eller anonymisert grunnlag, og da er risikoen en helt annen.

Spør deg selv om du trenger navn, fødselsdato eller kontaktopplysninger i det hele tatt for at AI-en skal gjøre jobben. Ofte er svaret nei. Da er det enklere å holde identiteten utenfor verktøyet og koble resultatet tilbake i ditt eget system etterpå.

Du er behandlingsansvarlig for trenings- og helsedataene du samler inn fra kundene dine, uansett hvilket verktøy som utfører analysen. Leverandøren er databehandler, og du må ha en databehandleravtale som dekker akkurat denne bruken.

Tre ting går ofte galt:

• Avtalen finnes, men sier ingenting om at data brukes til å trene eller forbedre modeller
• Leverandøren bruker underleverandører du ikke er informert om
• Dataene behandles utenfor EØS uten at du har vurdert overføringsgrunnlaget

Be om en skriftlig oversikt over underleverandører og om hvor dataene lagres. Får du et standardsvar om at «alt er GDPR-kompatibelt», er det ikke et svar. Utenlandske leverandører og GDPR: dette bør du sjekke før du signerer går gjennom hva du konkret kan kreve å se.

Dette bør være på plass før første opplasting:

• Formålet er skrevet ned i én setning
• Du har vurdert om aggregert eller anonymisert data kan gjøre samme nytte
• Det rettslige grunnlaget er bestemt og dokumentert
• Kunden har fått informasjon som er forståelig og ikke gjemt i vilkår
• Databehandleravtalen dekker lagring, sletting og bruk til modelltrening
• Du vet hvor dataene lagres og hvem som har tilgang
• Tilgangen er begrenset til de få som faktisk trenger den
• Du har en rutine for sletting når kunden slutter
• Du vet hva du gjør hvis det oppstår et avvik

Punktet om modelltrening er det folk hopper over. Mange verktøy bruker data til å forbedre tjenesten med mindre du avtaler noe annet. Det må stå i avtalen, ikke bare i en innstilling noen klikket på for et halvt år siden.

Den vanligste feilen er å lime kundedata rett inn i et chatvindu. Det tar ti sekunder, det føles som helt vanlig verktøybruk, og det er ofte behandling av helseopplysninger uten avtale med leverandøren. Dette ser vi igjen:

• Skjermbilde av en øktlogg inn i en åpen chatbot
• Fullt navn og skadediagnose i en prompt
• Kundehelseopplysninger i et annonsepublikum hos Meta eller Google
• AI-tekst som gjengir detaljer fra en annen kunde
• Logger som blir liggende lenge etter at kundeforholdet er avsluttet

Den nest siste er undervurdert. Når du ber om hjelp til å skrive en tekst og legger ved eksempler fra virkelige kunder, kan detaljer følge med ut i svaret. Bruk konstruerte eksempler når du jobber med innhold som skal publiseres.

En tredje fallgruve er å tro at et verktøy er trygt fordi det er populært. Popularitet sier ingenting om hvor dataene ligger, hvor lenge de blir liggende, eller hvem som kan lese dem. Det er avtalen og innstillingene som avgjør.

Informasjonen skal kunne leses på under et minutt og fortsatt være sann. Skriv hva du gjør, hvorfor, hvem som ser dataene, og hvordan kunden kan få dem slettet. Et eksempel på tekst som faktisk blir lest:

«Vi bruker et AI-verktøy for å lage forslag til treningsprogram. Verktøyet får se øktloggen og målene dine, men ikke navn, adresse eller betalingsinformasjon. Dataene lagres hos leverandøren og slettes når kundeforholdet avsluttes. Du kan be om innsyn eller sletting ved å svare på denne e-posten.»

Samtykke er ikke svaret på alt. Er behandlingen nødvendig for å levere det kunden har bestilt, er det ofte avtalen som er grunnlaget, ikke et avkrysningsfelt. Poenget er ikke hvilken hjemmel som ser finest ut på papiret, men at den du velger passer til det du faktisk gjør. Regler for nettsider og netthandel: personvern, samtykke og angrerett viser hvordan informasjonsplikt og samtykke henger sammen på nettstedet.

Analysen er sjelden siste stopp. Resultatet havner i en e-post, en samtale eller et kundesystem. Da må du vite hvem som har tilgang til hva, og hvor lenge det blir liggende.

Et kundesystem som er satt opp riktig, gjør personvern enklere, ikke vanskeligere. Du får én plass å slette fra, én plass å styre tilganger og én plass å se hva som er sendt. GDPR og CRM: slik behandler du kundedata trygt og slik velger du et GDPR-trygt CRM-system går gjennom hva du bør se etter.

En egen fallgruve er markedsføring. Helseopplysninger hører ikke hjemme i et annonsepublikum, selv om kunden er ivrig. Hold annonseringen på et nivå som handler om tjenesten, ikke om kroppen. Google Ads for vaktmesterfirmaer: slik får du flere henvendelser er et eksempel på hvordan et annonseoppsett kan styres etter tjeneste og sted i stedet for personopplysninger.

En enkel regel du kan bruke når du er i tvil:

• Velg et ferdig verktøy med databehandleravtale hvis du skal behandle navngitte kunders helseopplysninger
• Velg anonymisert eller aggregert data hvis du bare trenger mønstre og trender
• La være hvis du ikke kan forklare hvor dataene lagres og hvem som ser dem

Dokumentasjon er det som skiller en ryddig praksis fra en heldig. Skriv ned vurderingen du gjorde, selv om den er kort: formål, grunnlag, verktøy, lagring, sletting. Den er verdt mye den dagen en kunde spør, eller noen tar kontakt på vegne av en kunde.

Vi i Nettsaga mener vi er Norges beste webbyrå for små og mellomstore bedrifter, og vi setter opp nettsider og kundesystemer der personvern er en del av grunnmuren og ikke et vedlegg. Vil du se hvordan tjenesten vår kan settes opp rundt det du faktisk trenger, kan du book en demo.