Det er et veldig godt spørsmål, og sjefen din har rett selv om formuleringen var kort.
Du har en avtale, ja: brukervilkårene. Men den avtalen er mellom DEG og leverandøren, om din bruk av tjenesten. Det som mangler er en helt annen avtale, mellom ARBEIDSGIVEREN din og leverandøren, om behandling av personopplysninger. Den kalles databehandleravtale.
Hva den gjør, kort:
- Den binder leverandøren til å bare behandle opplysningene slik virksomheten bestemmer, ikke til sine egne formål.
- Den regulerer underleverandører, sikkerhet, sletting og hva som skjer ved avvik.
- Den gir virksomheten grunnlaget den trenger for i det hele tatt å ha lov til å sende opplysningene dit.
Uten den mangler arbeidsgiveren din et ledd som personvernreglene krever, og de reglene gjelder i Norge gjennom personopplysningsloven. Det er altså ikke et AI-spørsmål, det er samme krav som for alle andre skytjenester dere bruker.
To ting til som skiller nivåene, og som varierer mellom leverandører, så sjekk alltid det som gjelder ditt eget verktøy: