AI-stöd för behandlingsregister skapar smidigare väg till juridisk granskning

Innovationsarenans Christina Thordén har samtalat med Karl Andersson Kristiansen, digitaliseringsledare i Kungälvs kommun – där en idé om AI och GDPR håller på att ta form. 

Tillsammans med Mölndals stad och Innovationsarenan testar man just nu hur AI skulle kunna hjälpa till att göra underlagen bättre, frågorna skarpare och vägen fram till den juridiska granskningen lite smidigare. 

Bättre underlag för behandlingsuppgifter genom AI-stöd

– Vi håller på att utforska ett AI-stöd som ska hjälpa kommuner att ta fram bättre underlag för behandlingsregister, tröskelanalyser och konsekvensbedömningar enligt GDPR, berättar Karl Andersson Kristiansen, och fortsätter:

– Tanken är att den person som faktiskt känner verksamheten och arbetsprocessen bäst ska kunna beskriva vad verksamheten behöver göra, hur processen ser ut, vilka personer som berörs och vilka uppgifter som används.

AI-stödet ska sedan hjälpa till att strukturera informationen, ställa relevanta följdfrågor och uppmärksamma sådant som behöver förtydligas eller utredas vidare. Karl förtydligar:

– Det är viktigt att säga att AI:n inte ska fatta juridiska beslut eller ersätta jurister och dataskyddsombud. Den ska snarare fungera som ett stöd på vägen och hjälpa verksamheten att lämna ett bättre och mer genomarbetat underlag inför den juridiska granskningen.

Hantera information mer strukturerat

Inom ramen för arbetet tittar man också på hur informationen kan hanteras mer strukturerat i SharePoint. Då blir det lättare att se vad som är aktuellt, vad som behöver kompletteras, vilka analyser som hör ihop och när något behöver följas upp eller uppdateras.

På frågan om hur det här arbetet drog igång med fokus på just de här frågorna berättar Karl Andersson Kristiansen att idén började ta form under ett seminarium om konsekvensbedömningar.

– Det blev tydligt hur mycket vägledning, mallar, bedömningsfrågor och återkommande resonemang som redan finns inom det här området, berättar Karl. Han fortsätter:

– Samtidigt hade vi i Kungälvs kommun redan börjat använda AI som stöd när vi arbetade med våra egna behandlingsregister, tröskelanalyser och konsekvensbedömningar. Vi märkte att AI kunde vara användbart för att strukturera information, se samband och hjälpa oss att formulera sådant som annars lätt blir ganska svårtillgängligt.

Karl berättar också om ett glapp som återkommande blev synligt.

– Den som känner arbetsprocessen bäst har ofta mycket av den information som behövs, men är kanske inte van vid att beskriva den med juridiska begrepp eller utifrån GDPR:s struktur, säger Karl. Jurister och dataskyddsfunktioner behöver i sin tur ofta lägga mycket tid på att ställa följdfrågor och försöka förstå hur processen faktiskt fungerar.

Brygga mellan verksamhetskunskap och juridisk granskning

Karl berättar att det var i det här glappet man började se en möjlig roll för AI, inte som juridisk beslutsfattare, utan som en brygga mellan verksamhetskunskapen och den juridiska granskningen.

– Om AI-stödet kan hjälpa användaren att skilja mellan verksamhetens behov, själva processen, ändamålet med behandlingen, vilka personer som berörs och vilka personuppgifter som används, kan underlaget bli bättre redan från början, säger Karl, och fortsätter:

– Det var kombinationen av ett tydligt och ganska avgränsat problem, mycket befintlig vägledning och ett konkret behov i verksamheten som gjorde att vi kände att det här var värt att prova.

Utgångspunkt i tidig prototyp

Just nu pågår arbetet med att tillsammans testa och utveckla idén. Karl beskriver den arbetsgrupp som leder arbetet, bestående av honom själv, Ademir Salihovic från Mölndals stad samt Johan Kivi och Christina Thordén från Innovationsarenan.

Den tidiga prototyp man utgår ifrån byggts i Microsofts miljö med Copilot Studio, Power Automate och SharePoint.

– Arbetet är väldigt praktiskt, berättar Karl. Vi testar agenten med konkreta exempel från kommunal verksamhet och tittar på vilka frågor den ställer, hur den tolkar svaren och om resultatet faktiskt blir användbart. Det kan till exempel handla om en digital ansökningsprocess eller uppföljning av elevers frånvaro.

I arbetsgruppen granskar man bland annat om AI-stödet kan skilja mellan verksamhetens behov och ändamålet med personuppgiftsbehandlingen.

– Vi tittar också på om det kan hjälpa en användare som inte själv kan räkna upp alla personuppgifter, om det skiljer de registrerade personerna från de roller som hanterar informationen och om det behåller sådant som är oklart som just oklart, i stället för att fylla i luckorna på egen hand, säger Karl Andersson Kristiansen.

Samma underlag – olika formuleringar

En annan viktig del i arbetet  är att se om samma underlag kan formuleras på olika sätt beroende på vem som ska använda det. En verksamhetsrepresentant kan behöva en enklare och mer pedagogisk text, medan en jurist kan behöva en mer formell och juridiskt strukturerad version. Sakuppgifterna ska däremot vara desamma.

– Parallellt jämför vi resultatet med juridisk vägledning, befintliga mallar och exempel på godkända behandlingsregister. Det räcker inte att lösningen fungerar tekniskt. Den måste också ge ett innehåll som är relevant, korrekt och möjligt att granska, säger Karl. Han fortsätter:

– Det vi gör nu är alltså att pröva grundidén, förstå vad som fungerar och identifiera vad som behöver utvecklas vidare. Därefter handlar det om att förfina agenten, tydliggöra ansvar och granskningspunkter och skapa ett arbetssätt där stödet kan bli en naturlig del av kommunernas processer.

Begripliga behandlingsregister ett av målen

På frågan om vad han helst vill att det arbetet leder till om allt faller väl ut fokuserar Karl på begriplighet, aktualitet och kvalitet.

– Jag hoppas att det leder till att kommuner får mer begripliga, aktuella och kvalitativa behandlingsregister, tröskelanalyser och konsekvensbedömningar, säger han. De här underlagen ska inte bara finnas för att vi måste uppfylla ett formellt krav. De ska hjälpa oss att förstå hur personuppgifter faktiskt används i verksamheten, varför de behövs, vilka risker som finns och vad vi behöver göra för att hantera dem.

– En viktig del för mig är att informationen ska komma så nära källan som möjligt, fortsätter Karl. Den som känner arbetsprocessen bäst ska kunna beskriva den direkt, utan att informationen först behöver passera flera personer och riskera att förenklas eller misstolkas på vägen. AI-stödet kan sedan hjälpa till att strukturera det som har beskrivits och göra underlaget lättare att granska.

Bidra till enhetlighet

Karl Andersson Kristiansen hoppas också att lösningen kan bidra till en större enhetlighet mellan kommuner.

– Våra verksamheter kan se olika ut, men sättet att beskriva exempelvis ändamål, registrerade, personuppgifter, mottagare, lagring och risker kan bli mer konsekvent. Det skulle göra det lättare att granska och jämföra underlag, men också att lära av varandra, säger Karl. Han fortstätter:

– På längre sikt ser jag framför mig en mer levande hantering där det tydligt framgår vad som är aktuellt, vad som behöver kompletteras, vilka analyser som hör till en viss behandling och när informationen behöver ses över. Det skulle ge bättre transparens och spårbarhet, men också en större trygghet i att kommunen vet vilka personuppgifter som behandlas, varför de behandlas och hur riskerna hanteras.

Arbetet handlar om att skapa bättre förutsättningar för både verksamheten, den juridiska granskningen och de personer vars uppgifter kommunen ansvarar för.