Hvornår er man forpligtet til at foretage en konsekvensanalyse?

Som dataansvarlig er man som oftest forpligtet til at udføre en konsekvensanalyse af behandlingen af personoplysninger ved udvikling og/eller drift af AI-løsninger.

Det er fordi, udviklingen og ibrugtagningen af AI-løsninger almindeligvis indebærer brug af nye teknologier og omfattende behandling af personoplysninger, hvilket sandsynligvis indebærer en høj risiko for registreredes rettigheder og frihedsrettigheder, jf. databeskyttelsesforordningens artikel 35, stk. 1.

Der skal også, som altovervejende udgangspunkt, gennemføres konsekvensanalyser for nye AI-løsninger, der indebærer automatiseret beslutningstagen, herunder hvis denne er baseret på profilering.

Konsekvensanalysen kan også være brugbar af andre årsager, f.eks. hvis du ønsker at lave en konsekvensanalyse for at forbedre databeskyttelsen over for kunderne.

Forholdet til AI-forordningen

Den nye AI-forordning indeholder regler om, at private virksomheder, der bruger højrisiko AI-systemer, i visse tilfælde skal udarbejde en konsekvensanalyse af AI-systemets indvirkning på grundlæggende rettigheder (en såkaldt ”fundamental rights impact assessment”, forkortet ”FRIA”).

I så fald skal denne FRIA udarbejdes i sammenhæng med konsekvensanalysen vedrørende databeskyttelse (DPIA).

---
Skabelonen til konsekvensanalyse er udarbejdet af Poul Smith/Kammeradvokaten i samarbejde med Dansk Industri. [Publiceret 20.02.24]