En forælder fortæller på Reddit, at familiens børnehavebarn kom hjem med billeder, der tilsyneladende var blevet behandlet med ChatGPT.
Det har udløst debat om, hvad institutioner må gøre med billeder af børn, og hvornår GDPR kommer i spil.
Et børnehavebarn kommer hjem med udprintede billeder af sig selv. Ifølge forælderen ser billederne ud til at være blevet behandlet med ChatGPT.
Historien stammer fra et opslag i Reddit-gruppen r/foraeldreDK, hvor forælderen spørger, om familien er for forsigtig, eller om der er grund til bekymring.
Opslaget har fået mere end over 200 upvotes, og flere brugere kalder det et brud på GDPR.
Her ses opslaget, som har startet debatten.
Men helt enkelt er reglerne ikke.
Avisen.dk har spurgt Datatilsynet til reglerne. Tilsynet henviser blandt andet til sin vejledning om billeder i vuggestuer og børnehaver og sin vejledning om offentlige myndigheders brug af kunstig intelligens.
Må godt tage billeder uden samtykke
Et genkendeligt billede af et barn er en personoplysning. Alligevel behøver en daginstitution ikke nødvendigvis forældrenes samtykke, hver gang den tager eller bruger et billede.
Datatilsynet skriver eksempelvis, at offentlige daginstitutioner kan tage billeder for at dokumentere det pædagogiske arbejde eller give forældrene indblik i børnenes hverdag, hvis brugen er nødvendig som led i institutionens opgaver.
Private institutioner vil i mange tilfælde kunne bruge billeder på baggrund af en såkaldt interesse-afvejning, men institutionen skal på forhånd tage stilling til, hvorfor billederne bruges. Og når formålet er fastlagt, skal brugen begrænses til netop det formål.
Det er den del, der bliver interessant, når kunstig intelligens kommer ind i billedet.
Må ikke bare bruges til hvad som helst
At en børnehave lovligt har taget et billede af et barn, betyder ikke automatisk, at billedet derefter frit kan bruges til ethvert andet formål.
I sin vejledning om kunstig intelligens understreger Datatilsynet princippet om formålsbegrænsning. Personoplysninger må ikke genbruges til et nyt formål, der er uforeneligt med det formål, de oprindeligt blev indsamlet til. Databeskyttelsesreglerne gælder samtidig, uanset hvilken teknologi der bruges. Det gælder altså også, når personoplysninger behandles ved hjælp af AI.
Vejledningerne giver ikke et konkret ja eller nej til, om en børnehave må sende et barns foto gennem en generativ AI-tjeneste for at lave et sjovt billede, men institutionen skal kunne forklare, hvorfor personoplysningerne behandles, og hvorfor behandlingen er nødvendig og rimelig i forhold til formålet.
Så få personoplysninger som muligt
Datatilsynet fremhæver også princippet om dataminimering. I vejledningen til offentlige myndigheder står der, at man ved brug af AI skal overveje, hvordan løsningen kan anvendes med færrest mulige personoplysninger og om muligt helt uden personoplysninger. Ved udvikling af AI-løsninger bør anonymiserede oplysninger som udgangspunkt bruges, hvis det er muligt.
Datatilsynet skriver desuden, at der under visse betingelser skal gennemføres en såkaldt konsekvensanalyse, hvis behandlingen af personoplysninger sandsynligvis indebærer en høj risiko for borgernes rettigheder.
Tilsynet vurderer, at udvikling eller drift af AI-løsninger med personoplysninger næsten altid vil udløse flere af de kriterier, der har betydning for, om en konsekvensanalyse er nødvendig. Det betyder dog ikke, at man ud fra Reddit-opslaget kan konkludere, at den konkrete institution skulle have gennemført en sådan analyse.
Problemer med AI på arbejdspladser
Datatilsynet har tidligere advaret arbejdspladser om brugen af generativ AI. Tilsynet har set en stigning i brud på persondatasikkerheden, hvor ansatte har brugt personoplysninger fra deres arbejde som input i AI-værktøjer, uden at arbejdspladsen kendte til eller havde godkendt brugen.
Derfor anbefaler Datatilsynet klare retningslinjer for, om og hvordan medarbejdere må bruge generativ AI i arbejdet.
Hvilken ChatGPT-konto blev brugt?
Hvis det rent faktisk var ChatGPT, der blev anvendt i den konkrete sag, har kontotypen også betydning for, hvordan OpenAI håndterer indholdet. OpenAI oplyser, at indhold fra personlige ChatGPT-konti kan bruges til at forbedre og træne modellerne, medmindre brugeren har slået dette fra.
For ChatGPT Business, Enterprise og Edu bruges input og output derimod ikke til modeltræning som standard.
AI-værktøj: Hvilken tjeneste og hvilken type konto blev brugt?
Formål: Hvorfor blev barnets billede behandlet med AI?
Grundlag: Hvilket grundlag mener institutionen, den har for at bruge billedet på den måde?
Data: Hvad sker der med billedet, efter det er uploadet, og hvornår bliver det slettet?
Retningslinjer: Har kommunen eller institutionen regler for medarbejdernes brug af generativ AI?
Databeskyttelsesrådgiver: Er der tale om et kommunalt tilbud, kan forældrene også henvende sig til kommunens databeskyttelsesrådgiver.
Det løser dog ikke i sig selv spørgsmålet om GDPR. Institutionen skal stadig have et lovligt grundlag for behandlingen og sikre, at oplysningerne håndteres forsvarligt.
Billeder skal også slettes igen
Datatilsynet stiller også krav til sikkerheden omkring billeder.
Institutionens telefoner og tablets skal blandt andet være beskyttet med kode og kryptering, og medarbejderne bør ikke bruge deres private telefoner til billeder af børnene. Billeder, der alene bruges til løbende at vise forældrene børnenes hverdag, bør ifølge Datatilsynet slettes efter to til fire uger.
Andre billeder kan lovligt gemmes længere, hvis der fortsat er et sagligt formål med dem. Hovedreglen er, at billeder ikke skal opbevares længere end nødvendigt.
Hvad mener du? Er det i orden, at en institution sender billeder af børn til AI-chatbots og beder dem ændre fotoet for sjovt?
Deltag også i debatten på vores Facebookside.