Uvidenhed er blevet et valg med en pris
Foto: Moritz Kindler på Unsplash
Der er noget ærligt over overskriften på Computerworlds seneste klumme: Det er måske meget bekvemt, at ingen har overblik over jeres it. Den rammer noget, de færreste tør sige højt på et ledelsesmøde. Uklarheden er ikke kun et problem, den er også bekvem. Så længe ingen har det fulde billede, er der heller ingen, der kan stilles til ansvar for det.
Samme uge bringer Version2 den anden halvdel af historien: Datatilsynet advarer om, at AI-assistenter som Copilot og Claude øger kompleksiteten i databeskyttelsen markant, og at udviklingen er en decideret hovedpine for databehandlere. Datatilsynets budskab er kontant. Kompleksitet er ikke en undskyldning, og kravene slækkes ikke.
Det er samme historie fortalt fra hver sin ende. Bekvem uvidenhed om it-landskabet var overlevende, da værktøjerne var statiske, og dataene blev, hvor man satte dem. Med AI-assistenter, der selv sender data videre i en kæde af leverandører, er uvidenhed blevet en aktiv risikoposition. Og gælden hober sig op hurtigst i marketing, fordi marketing er den funktion med flest AI-værktøjer pr. Medarbejder og den mest persondatastunge arbejdsgang uden for økonomiafdelingen.
Hvorfor gælden lander i marketing
Datatilsynet beskriver AI-assistenter som et helt særligt kapitel i databeskyttelsen. Det er de, fordi en assistent ikke bare er et værktøj, man bruger. Den er et nyt led i databehandlerkæden.
Tag kæden: dit CRM, dit emailværktøj, dit annoncelager. Tilføj en assistent, der summerer kundemails, skriver segmentbeskrivelser eller analyserer churn-årsager. Dine data bevæger sig nu fra dit system til en modeludbyder, du måske ikke har nogen aftale med, og derfra videre til underleverandører, du aldrig har hørt om.
GDPR artikel 28 kræver en databehandleraftale hele vejen ned gennem den kæde. Så spørg dig selv: Har din marketingafdeling en aftale med Anthropic? Sandsynligvis ikke, hvis adoptionen fulgte den normale rute, hvor en medarbejder tog et værktøj i brug, fordi det var godt, og resten af teamet fulgte efter.
Her kommer anden ordens-konsekvensen, som ingen af kilderne nævner, men som er den reelle forretningscase for at handle nu:
- Du kan ikke besvare en anmodning om indsigt eller sletning inden for fristen, hvis du ikke ved, hvilke systemer der har dataene.
- Ved et databrud kan du ikke fortælle Datatilsynet, hvad der er ramt, fordi du ikke ved, hvor dataene har været.
- Ved næste martech-indkøb vurderer du overlap og dobbeltbetaling på et forkert grundlag.
- Vigtigst: Du kan ikke skalere AI-anvendelsen. Hver ny use case tilføjer ukendt risiko, og på et tidspunkt bliver det lettere at sige nej end at undersøge. Der vender governance fra bremsepedal til speeder: Teams, der har kortlagt stakken, godkender nye værktøjer på dage i stedet for at lade dem stå i kø til en uafklaret risikovurdering.
Bemærk, hvordan de to kilder supplerer hinanden: Klummen beskriver tilstanden (intet samlet billede af it-landskabet), Datatilsynet hæver prisen på tilstanden (kravene gælder alligevel). Som vi skrev i Hverken Christiansborg eller OpenAI har svarene, er svaret på et styringsvacuum ikke at vente på politikerne eller leverandørerne, men at prissætte vacuumet selv. Denne gang inkluderer prisen databehandlerkæden.
Vi har set mønstret før
Shadow IT i cloud-æraen er den nærmeste parallel. Da skyen blev norm, opdagede it-afdelinger pludselig hundreder af SaaS-abonnementer, ingen havde godkendt. Løsningen blev ikke forbud, men inventar: CASB-værktøjer, softwarelister og en kortlægning, der gjorde det ukendte kendt.
AI gentager mønstret, men hurtigere og dybere, fordi værktøjerne er konsumeriserede og typisk integreres direkte i den martech, du allerede har. Du behøver ikke engang et nyt abonnement for at få et nyt databehandlerproblem: En AI-funktion, der aktiveres som standard i dit eksisterende CRM, er nok. Derfor rammer klummens pointe om det manglende fælles billede hårdere nu, end den ville have gjort for fem år siden.
Hvad der taler imod
Vær ærlig: Modargumenterne er reelle.
For det første kvæler tung governance eksperimentglæden. Skal hvert team udfylde risikovurderinger for hver chatbot, stopper innovationen, og konkurrenterne kommer foran. Sandt, men det er en falsk dikotomi. Styringen kan differentieres: Opgaver uden persondata (brainstorm, strukturering, generisk indhold) kan køre frit, mens kundedata kræver aftaler på plads. Det kræver en opdeling, ikke et forbud.
For det andet er håndhævelsen endnu mild. Datatilsynet har ikke travlt med store bøder rettet mod AI-assistentbrug, og risikoen kan fremstå mere juridisk-teoretisk end praktisk. Mit svar: Ansvaret gælder fra dag ét, uanset om bøden kommer. Og truslen kommer ikke kun fra myndigheder. Enterprise-kunder begynder at stille due diligence-spørgsmål til hele deres leverandørkæde, herunder din marketingafdeling. At opdage hullet under en kunders audit er dyrere end at opdage det selv.
For det tredje: Ressourceknaphed. Et marketingteam på seks personer har ingen compliance-funktion. Også sandt. Men de første 80 procent af værdien kommer fra et regneark og en eftermiddag. Der skal ikke en enterprise-GRC-platform til.
Kortlæg kæden, før assistenterne gør det
- AI-inventar på 30 minutter. Alle i teamet lister, hvilke AI-værktøjer de bruger og til hvad. Gør det straffrit: Hvis ærlighed straffes, får du en mere præcis løgn. Medarbejdernes egen liste er ofte sandere end den officielle softwareoversigt.
- Kæde-tjek pr. Værktøj. Tre spørgsmål: Hvor sender værktøjet data hen (sub-processorlisten)? Er der en artikel 28-aftale hele vejen ned? Træner modellen på dine data, og kan det slås fra?
- Split use cases efter persondata. Uden persondata: Fri adgang. Med persondata: Kun værktøjer, hvor kæden er i orden.
- Centralisér, hvor du kan. Én enterprise-aftale slår tyve private abonnementer, både juridisk og ofte økonomisk, fordi der er forhandlingsemne i volumen.
- Sæt en kvartalsdag i kalenderen. Listen forældes hurtigt. Nye assistenter dukker op hver måned, ofte indlejret i værktøjer, I allerede har.
Datatilsynet har gjort kompleksiteten til en dårlig undskyldning. Det logiske næsteskrift er at gøre uvidenheden dyrere end kortlægningen. Og i marketing, hvor dataene er mest personlige, og værktøjerne flest, rammer den regning jer først.
Ét svar til “Bekvem uvidenhed er blevet en juridisk gældspost”
[…] skrev forrige uge i Bekvem uvidenhed er blevet en juridisk gældspost, at Datatilsynet behandler AI-assistenter som et selvstændigt kapitel blandt databehandlere, og at […]