«Vi hoster i EU» er blitt standardsvaret når norske bedrifter spør en AI-leverandør om personvern. Det høres betryggende ut. Problemet er at setningen svarer på et annet spørsmål enn det du egentlig stiller.
Lagring og flyt er to forskjellige ting
Når en kunde ringer en AI-resepsjonist, skjer det mye på noen hundre millisekunder: lyden blir tatt opp, gjort om til tekst, tolket av en språkmodell, og svaret blir gjort om til tale igjen. Hvert av disse stegene kan kjøre hos ulike tjenester, i ulike land, under ulik lovgivning. At det ferdige samtaleloggen til slutt ligger på en server i Frankfurt, sier lite om hvor lyden var innom på veien.
Det er flyten som avgjør hvem som kan få innsyn, ikke hvilemodusen.
Eierskap teller mer enn adresse
Et datasenter i EU som eies av et selskap utenfor EU, er underlagt eierens hjemlandslovgivning i tillegg til GDPR. For amerikanske selskaper betyr det CLOUD Act, som gir amerikanske myndigheter adgang til å kreve utlevering av data selskapet kontrollerer — uavhengig av hvor dataene fysisk ligger. Dette er ikke en teoretisk problemstilling; det er grunnen til at Datatilsynet og europeiske tilsynsmyndigheter gjentatte ganger har pekt på overføringer til tredjeland som en reell risiko.
Spørsmålet er derfor ikke bare «hvor står serveren?», men «hvem eier selskapet som driver den, og hvilke lover er det selskapet underlagt?».
Fire spørsmål du bør stille
- Hvor går lyden og teksten i sanntid? Be om en liste over alle tjenester som behandler data under en samtale eller chat, ikke bare der loggen lagres.
- Hvem eier hver av disse tjenestene? En EU-adresse på et selskap med morselskap utenfor EU er ikke det samme som europeisk eierskap.
- Hva skjer ved behov for strengere kontroll? Kan deler av løsningen kjøres på infrastruktur dere selv godkjenner, uten at produktet må bygges om?
- Hva slettes når, og hvem kan dokumentere det? Slettefrister, redigering av personopplysninger og revisjonslogg bør være en del av produktet, ikke et løfte i en e-post.
| Spørsmål | Svakt svar | Godt svar |
|---|---|---|
| Hvor går lyden og teksten i sanntid? | «Vi hoster i EU.» | En liste over alle tjenester som behandler data under samtalen, med land |
| Hvem eier tjenestene? | «Serverne står i Frankfurt.» | Hvem som eier hvert ledd, og hvilke lover eieren er underlagt |
| Kan kontrollen skrus opp senere? | «Det må vi se på.» | Hvilke deler som kan flyttes til infrastruktur dere godkjenner, uten ombygging |
| Hva slettes når? | «Vi tar personvern på alvor.» | Konkrete slettefrister, redigering av personopplysninger og revisjonslogg |
Hva dette betyr i praksis
For en frisør eller et verksted er risikoen ved en samtale om timebestilling lav, og det er greit. Poenget er ikke å gjøre alle like strenge, men å velge en løsning som kan skrus opp når behovet kommer — om dere vokser inn i en regulert bransje, får en større kunde med egne krav, eller bare vil kunne svare trygt når noen spør. En arkitektur som er bygget for dette fra starten, slipper å bli bygget om senere.
Et godt svar fra en leverandør er ikke «vi hoster i EU». Et godt svar er en rolig gjennomgang av hvor data flyter, hvem som eier hvert ledd, og hva som kan endres hvis kravene deres gjør det.