Bakgrundsmaterialet samlar kunskapsunderlaget för AI-rekommendationerna och stödjer utbildningsanordnarna och personalen i utvecklingen av kompetens med anknytning till artificiell intelligens och användningen av AI i skolor och läroanstalter.
Även om bakgrundsmaterialet behandlar olika teman, bör materialet beaktas som en helhet

Anordnaren beslutar vilka digitala tjänster som används lokalt i småbarnspedagogiken och utbildningen. Till dessa digitala tjänster hör till exempel olika system och applikationer som utnyttjar artificiell intelligens (nedan ”AI-system”). Det är viktigt att observera att ett sådant AI-systems utvecklings-, utbildnings- och användningssituationer i allmänhet förutsätter behandling av utbildningsanordnarens anställdas och/eller barns och studerandes personuppgifter på någon nivå. Med personuppgifter avses alla uppgifter som anknyter till en identifierad eller identifierbar person. Dessa är personens namn- och kontaktuppgifter samt till exempel uppgifter om de studerandes studier (bland annat uppgifter till studerande om beslut, bedömningar och elevernas frånvaro). Det är viktigt att beakta att begreppet personuppgift är omfattande och omfattar till exempel elevens bild och röst (såsom tal eller sång) när bilden eller rösten kan kopplas till eleven. Systemet kan också i stor utsträckning samla in olika uppgifter om användarna och systemanvändningen (bland annat med hjälp av uppföljningsteknik) som klassificeras som personuppgifter.   

Bestämmelser om de centrala skyldigheter och krav som anordnaren ansvarar för finns i EU:s allmänna dataskyddsförordning (2016/679) och i den kompletterande nationella dataskyddslagen (1050/2018). Det ska finnas skriftlig dokumentation på att skyldigheterna har iakttagits, så att anordnaren kan påvisa att den har fullgjort sina skyldigheter. Dataskyddslagstiftningens skyldigheter samt dokumenteringen av deras efterlevnad behandlas närmare i Utbildningsstyrelsens dataskyddsguide.

Tillbaka upp

Utbildningsanordnaren ansvarar för att det AI-system som används i verksamheten uppfyller dataskyddslagstiftningens krav om systemet innehåller behandling av personuppgifter. En bedömning av lagenligheten ska alltid göras innan systemet tas i bruk. I allmänhet görs detta när utbildningsanordnaren planerar att skaffa ett AI-system. Bedömningen ska följas upp och vid behov uppdateras. Systemet ska uppfylla kraven i lagstiftningen tills systemet slopas. Det lönar sig för anordnaren att på förhand planera och utarbeta anvisningar för hur olika AI-system kan tas i bruk, hur deras lagenlighet säkerställs och hur processen dokumenteras på ett tillförlitligt sätt. När processen planeras bör man beakta att det kan finnas stora skillnader i hurdan behandling av personuppgifter som ingår i AI-systemen. Även nivån på och komplexiteten hos automatiseringen av den teknik som ingår i tjänsterna kan variera avsevärt.  Det är viktigt att reservera tillräckligt med tid för att kontrollera AI-systemen och se till att deltagarna har tillräcklig sakkunskap om dataskydd och den AI som är föremål för bedömningen.   

När eventuella anvisningar utarbetas ska utbildningsanordnaren beakta att det inte nödvändigtvis räcker med en allmän bedömning av efterlevnaden av dataskyddslagstiftningen i alla situationer. I vissa situationer är utbildningsanordnaren nämligen skyldig att göra en formbunden konsekvensbedömning av dataskyddet innan AI-systemet tas i bruk. Enligt dataskyddsförordningen är en konsekvensbedömning obligatorisk när man planerar sådan behandling av personuppgifter som sannolikt medför en hög risk för personers rättigheter och friheter. Det kan vara fråga om en sådan situation till exempel när det handlar om omfattande behandling av personuppgifter och/eller när syftet är att behandla personuppgifter som gäller personer i en svagare ställning, såsom barn. Därför överskrider man i allmänhet lätt tröskeln för att göra en konsekvensbedömning  i fostran och utbildning, även om uppkomsten av en hög risk alltid ska bedömas från fall till fall.   

Syftet med konsekvensbedömningen är att säkerställa att den planerade behandlingen av personuppgifter är lagenlig, riskerna i anknytning till den har identifierats och riskerna är på en godtagbar nivå. Riskerna kan vara mycket olika beroende på vilken AI som ingår i det system som är föremål för bedömningen. I konsekvensbedömningen säkerställs också att anordnaren har vidtagit tillräckliga åtgärder för att minska och/eller avlägsna riskerna. Konsekvensbedömningen kan också visa att anordnaren ska be tillsynsmyndigheten, dvs. dataombudsmannen, om ett förhandssamråd innan AI-systemet kan tas i bruk. 

Om utbildningsanordnaren antingen utifrån en allmän bedömning eller en konsekvensbedömning av dataskyddet kommer fram till att behandlingen av personuppgifter som ingår i AI-systemet inte uppfyller kraven i dataskyddslagstiftningen och att man inte kan få systemet att uppfylla dessa krav (till exempel genom att begränsa de funktioner som används i systemet) kan AI-systemet inte tas i bruk.

Skyldigheterna i dataskyddslagstiftningen samt utarbetandet av konsekvensbedömningen, dess innehåll och förhandssamråd behandlas närmare i Utbildningsstyrelsens dataskyddsguide. Bakom länken hittar du också information om mallar som kan användas för konsekvensbedömningar (på finska). Mallarna är också till nytta för övrigt vid bedömningen av skyldigheterna gällande dataskydd även om en formbunden konsekvensbedömning inte är obligatorisk. 

Tillbaka upp

Ur anordnarens perspektiv är ibruktagandet av AI-systemet en upphandling som kan omfattas av upphandlingslagstiftningen och den lokala upphandlingsanvisningen. Det är viktigt att utbildningsanordnaren säkerställer att de bedömningar som nämns i stycke 5.2 kan genomföras tillräckligt tidigt när upphandlingar planeras.   

Det är också viktigt att beakta att även om upphandlingsförfarandet för AI-systemet beror på upphandlingens totala värde, tillämpas dataskyddslagstiftningen fullt ut på alla AI-system som innehåller behandling av personuppgifter. Därmed ska anordnaren bedöma om AI-systemet är förenlig med dataskyddslagstiftningen, även om den inte behöver konkurrensutsättas om priset är lågt eller systemet är helt avgiftsfritt.   

Anordnaren kan behöva pröva AI-system till exempel inom ramen för ett projekt eller en försöksperiod. I dataskyddslagstiftningen finns dock inga bestämmelser om undantag för projekt eller försök. Därmed ska man även i dessa situationer kontrollera att AI-systemet är lagenligt, även om det bara är fråga om ett projekt eller försök. 

Anordnaren ansvarar för lagenligheten i de AI-system som anordnaren har skaffat för att användas i utbildningen och som används på anordnarens enheter. Den studerandes vårdnadshavare eller en studerande som fyllt 15 år beslutar om hur den egna enheten används. Vårdnadshavaren och den studerande ansvarar för den egna enhetens dataskydd.

Tillbaka upp
Updated