Mange skoleledere vil gerne give elever og lærere adgang til AI, men er usikre på, hvad databeskyttelsesreglerne tillader. Det er en sund usikkerhed. Elever er børn, og børns oplysninger kræver særlig omhu.
Denne guide giver et praktisk overblik over de spørgsmål, skolen typisk bør have styr på, før AI tages i brug. Den er ikke juridisk rådgivning. Den endelige vurdering ligger hos skolen, kommunen som dataansvarlig og jeres databeskyttelsesrådgiver (DPO).
Hvem er ansvarlig for data?
I folkeskolen er det normalt kommunen, der er dataansvarlig. Leverandøren af et AI-værktøj er typisk databehandler og behandler kun oplysninger efter kommunens instruks. Derfor skal der som udgangspunkt foreligge en databehandleraftale, før værktøjet bruges med elevers eller læreres oplysninger.
Det er en god idé at inddrage kommunens DPO tidligt. Så undgår I at bygge en praksis op omkring et værktøj, der senere viser sig ikke at kunne godkendes.
Hvor bliver data opbevaret og behandlet?
Et af de vigtigste spørgsmål er, hvor data fysisk befinder sig. Overførsel af personoplysninger til lande uden for EU/EØS kræver et særligt overførselsgrundlag, og det gør vurderingen mere kompliceret.
Spørg derfor konkret: Hvor hostes løsningen? Hvilke underdatabehandlere bruges? Hvor kører selve sprogmodellen? Et værktøj, hvor både lagring og modelkørsel sker i EU, gør vurderingen enklere.
Bliver elevernes input brugt til at træne modeller?
Mange generelle AI-tjenester har vilkår, der tillader brug af input til at forbedre tjenesten. I en skolesammenhæng bør I sikre jer, at elevers og læreres samtaler ikke bruges til træning. Det bør fremgå klart af vilkår og databehandleraftale.
Spørgsmål I kan stille leverandøren
Disse spørgsmål giver et godt udgangspunkt for dialogen med en leverandør og med jeres DPO:
- Kan vi få en databehandleraftale, og hvilke underdatabehandlere indgår?
- Hvor lagres data, og hvor kører sprogmodellen?
- Bruges input eller output til at træne modeller?
- Hvordan kan vi eksportere og slette data?
- Findes der logning, så vi kan dokumentere brugen?
- Hvordan håndteres indhold, der ikke er alderssvarende?
Dataminimering i praksis
GDPR bygger på, at man kun behandler de oplysninger, der er nødvendige. For AI-chat betyder det blandt andet, at elever og lærere bør lære ikke at skrive personfølsomme oplysninger om sig selv eller andre i en prompt. Det gælder for eksempel helbredsforhold, familieforhold eller oplysninger om klassekammerater.
Lav gerne en kort brugsvejledning, som lærerne gennemgår med klassen. Det er både god databeskyttelse og god digital dannelse.
Alderssvarende indhold og tilsyn
Databeskyttelse er kun én del af billedet. Skolen bør også overveje, hvordan værktøjet håndterer indhold, der ikke passer til elevernes alder, og hvordan lærere og ledelse kan følge med i brugen uden at overvåge den enkelte elev unødigt.
Spørg for eksempel, om der er forskellige indstillinger for yngre og ældre elever, hvad der sker, når en elev skriver noget bekymrende, og om eleven bliver henvist til hjælp. Afklar også, hvem på skolen der har adgang til logs, og hvor længe de gemmes. Det bør hænge sammen med skolens øvrige praksis for trivsel og tilsyn.
Sådan hjælper skole.bot
skole.bot er bygget til skoler med AI via Lovable (Stockholm). EU-behandling og ingen modeltræning på elev- og lærerdata er aftalekrav; behandlingssteder og modelleverandører skal dokumenteres før elevbrug. Platformen har logning, eksport og sletning samt et aldersbaseret sikkerhedslag. Om løsningen passer til jeres krav, afgør I selv sammen med jeres DPO. En gratis pilot giver jer mulighed for at undersøge det i praksis.
Ofte stillede spørgsmål
- Må en folkeskole bruge AI-chat med elever?
- Det afhænger af det konkrete værktøj og af kommunens vurdering. Typisk kræver det en databehandleraftale og en vurdering af, hvor data behandles. Inddrag kommunens databeskyttelsesrådgiver.
- Er det nok, at data ligger i EU?
- EU-hosting gør vurderingen enklere, men skolen bør også se på underdatabehandlere, modeltræning, sletning og adgangsstyring. Placering af data er ét vigtigt punkt blandt flere.
- Hvem skal godkende et AI-værktøj?
- Det varierer fra kommune til kommune. Ofte er både skoleledelsen, kommunens it-afdeling og DPO'en involveret. Spørg jeres forvaltning, hvordan processen er hos jer.