ChatGPT GDPR: Sådan beskytter I persondata ved AI-boligtekster
ChatGPT GDPR er et vigtigt spørgsmål, når medarbejdere indtaster adresser, billeder, plantegninger eller noter i et AI-værktøj. Lovlig brug afhænger af abonnement, aftaler, behandlingsgrundlag, dataplacering, sletning og den konkrete konfiguration.
ChatGPT og GDPR er et vigtigt spørgsmål, når medarbejdere indtaster adresser, billeder, plantegninger eller noter i et AI-værktøj. Lovlig brug afhænger ikke kun af værktøjets navn, men af abonnement, databehandleraftale, behandlingsgrundlag, dataplacering, sletning og den konkrete konfiguration.
Hvilke persondata kan ende i ChatGPT eller andre AI-værktøjer?
- Adresse og sagsnummer: kan knyttes til en ejer, lejer eller konkret handel.
- Boligbilleder: kan vise personer, familiefotos, navne, værdigenstande, alarmer eller andre private forhold.
- Plantegninger: kan knyttes til en konkret adresse og vise boligens indretning og adgangsforhold.
- Mæglerens noter: kan indeholde kontaktoplysninger, personlige forhold eller oplysninger, der ikke skal med i markedsføringen.
- Bruger- og logdata: viser hvem der har arbejdet med sagen, og hvilke ændringer der er foretaget.
Det betyder ikke, at AI ikke må bruges. Det betyder, at behandlingen skal have et formål, et grundlag og tydelige rammer.
GDPR: Hvem er dataansvarlig og databehandler?
Mæglerforretningen vil typisk være dataansvarlig for den behandling, der sker som led i salgsopgaven. En leverandør, der behandler materialet på mæglerens vegne, vil typisk fungere som databehandler.
Det bør fremgå af databehandleraftalen:
- hvilke typer data der behandles
- hvad formålet er
- hvor længe data opbevares
- hvilke underdatabehandlere der bruges
- hvor behandlingen finder sted
- hvordan data slettes eller tilbageleveres
- hvilke sikkerhedsforanstaltninger der er etableret
Syv spørgsmål, I bør stille en AI-leverandør
- Hvor behandles og lagres materialet? Bed om konkrete regioner og ikke kun formuleringen “i skyen”.
- Hvilke underdatabehandlere indgår? AI-tjenesten er ofte én del af en længere kæde med hosting, logging, e-mail og support.
- Bruges data til modeltræning? Få svaret skriftligt og afgræns, om det gælder prompts, billeder, output og feedback.
- Hvor længe opbevares data? Skeln mellem aktivt sagsmateriale, backup, logs og anonymiserede målinger.
- Hvordan slettes data? Der bør være en klar proces for almindelig sletning og for anmodninger fra den dataansvarlige.
- Hvordan styres adgang? Undersøg roller, login, rettigheder, supportadgang og logning.
- Hvordan håndteres sikkerhedsbrud? Aftalen bør beskrive varsling, dokumentation og samarbejde.
EU-dataresidens er vigtig – men ikke hele GDPR-vurderingen
Dataplacering i EU reducerer nogle overførselsproblemer, men gør ikke automatisk en løsning “100 % GDPR-compliant”. Mæglerforretningen skal stadig have behandlingsgrundlag, minimere data, informere korrekt og sikre passende adgang og opbevaring.
Det er derfor mere troværdigt at sige, at en løsning er udviklet til at understøtte GDPR-compliance, end at give en ubetinget garanti.
EstatePitch-tilgangen
EstatePitch er bygget med fokus på ejendomsmæglerens konkrete datatyper og arbejdsgang. Personhenførbar behandling og lagring er konfigureret til at foregå inden for EU, og EstatePitch stiller en databehandleraftale til rådighed.
Den enkelte kunde bør fortsat kontrollere den aktuelle databehandleraftale og liste over underdatabehandlere, fordi tekniske leverandører og behandlingsaktiviteter kan ændre sig over tid.
Kilder og videre læsning
Kilderne er udgangspunkt for leverandørkontrol og erstatter ikke en konkret juridisk vurdering.
