Som stor aktör inom vårdsektorn i Norden krävs kontinuerlig effektivisering och resursoptimering för att möta de krav som ställs. En utmaning är att skydda känslig patientinformation och säkerställa att alla tjänster levereras på ett sätt som efterlever relevanta lagar, samt upplevs tryggt av användaren. För vår kund är säkerhetsarbetet alltid en prioritet.
En vårdaktör som står inför höga säkerhetskrav
Efter att ha identifierat behovet av att implementera AI-verktyg för att effektivisera vände de sig till oss på Secify för att få hjälp med komplexa lagkrav. Målet var att spara tid och resurser och samtidigt säkerställa att de AI-verktyg som implementerades följde dataskyddslagstiftningen, vilket var vår kunds största fokus. Ansvarig konsult under projektet, Emma Härdling, beskriver det såhär: ”De förstod tidigt att utnyttja möjligheterna med AI, men verksamma inom vården behövde de tänka ett extra varv kring compliance och andra säkerhetsaspekter.”
För vårdaktören blev vår tjänst AICO – AI Compliance Officer, ett tryggt val. Konsulttjänsten AICO skulle hjälpa till att säkerställa att implementation av deras AI-lösningar följer relevanta lagkrav och håller en generellt hög säkerhetsstandard.
Projektets uppbyggnad
Emma la upp en projektplan för att säkerställa efterlevnad mot AI Act och andra lagkrav, samt tillse att kundens ambitionsnivå möttes.
Projektet omfattade flera viktiga steg:
- Inhämtande och granskning av policys från AI- leverantören.
- Genomförande av konsekvensbedömning avseende dataskydd (DPIA).
- Bedömning av risk för bias och diskriminering i de aktuella AI-lösningarna.
- Gemensamma riskbedömningar och identifiering av åtgärder för riskhantering.
- Utveckling av en strategi för att implementera åtgärderna.
- Säkerställande av att arbetet var förenligt med GDPR, AI-förordningen och Diskrimineringslagen.
Emma Härdling – Secify
Åtgärder och resultat av AI-verktygen hos vårdaktören
För att säkerställa att AI-verktygen implementeras och används på ett ansvarsfullt och regelrätt sätt, samtidigt som de skyddar individers rättigheter och integritet, togs följande åtgärder:
- Informera berörda individer om användningen av alla verktygen och undersöka deras inställning till dessa.
- Utbilda medarbetare som ska integrera med verktygen för att motverka eventuella risker och säkerställa en korrekt användning av systemet.
- Utarbeta styrdokument som specificerar hur verktygen ska användas inom organisationen för att säkerställa att de följer interna och externa regelverk.
- Implementering av personuppgiftsbidrädesavtal för att reglera hanteringen av personuppgifter och säkerställa att dataskyddet efterlevs enligt GDPR.
Emma samarbetade nära kundens interna team genom bl.a. workshops där de diskuterade och analyserade olika risker och krav som AI-verktygen behövde uppfylla. Emma kommenterar arbetsprocessen: ”Jag arbetade delvis självständigt för att säkerställa att alla åtgärder och processer uppfyllde nödvändiga regelverk. Men samtidigt var det viktigt att träffas och diskutera vilka krav som behövde uppfyllas, vilka risker man såg, och vilken ambitionsnivå man ville ha.”
Följande regelverk och ramverk beaktades:
- GDPR: För att säkerställa skyddet av personuppgifter och individens rättigheter, samt upprätthålla korrekt dataskydd i alla delar av AI-implementeringen.
- AI – förordningen: För att säkerställa att AI-verktygen uppfyller kraven på transparens, rättvisa och ansvar, och undvika risker kopplade till bias och diskriminering.
- Diskrimineringslagen: För att säkerställa att de AI-verktygen som användes inte leder till orättvisa eller diskriminerande behandlingar av individer.
Samarbetet har varit avgörande under uppdraget för att bygga ett arbetssätt som både uppfyller de juridiska kraven, och samtidigt var praktiskt genomförbar i kundens verksamhet. Genom AICO kan man nu använda AI-verktyg som ger förbättrad effektivisering och resursanvändning – utan att tulla på säkerhets- och integritetsfrågor.
Vårdaktören har med Emma fått hjälp att bygga upp en erfarenhet av riskanalyser och riskminimering på ett teoretiskt och praktiskt plan, något som de drar nytta av på längre sikt. Deras verksamhet är nu bättre rustade och dessutom redo att satsa på fler AI-verktyg i framtiden.
Emma Härdling – Secify
Rekommendationer och framtida utmaningar inom AI compliance
Emma skickar med några generella råd till organisationer som står inför liknande utmaningar kring AI compliance: ”Jag tycker inte att man ska vara rädd för att ta in en expert. Det kan många gånger bli mer kostnadseffektivt i längden, och man kan känna tryggheten av att ha haft en specialist som sett över alla krav.”
Emmas tips för AI-resan:
-
Sök expertråd:
Ta hjälp av experter för att noggrant analysera vilka regler och lagstiftningar som kan bli aktuella vid användning av ett AI-verktyg. Det är viktigt att inte enbart lita på leverantörens påståenden, utan genomföra en ordentlig leverantörsgranskning och en självständig konsekvensanalys. -
Ta ansvar:
Kom ihåg att ansvaret för att följa lagstiftning alltid ligger på er som användare. Leverantören har inte alltid full koll på alla regler eller hur dessa tillämpas på er specifika verksamhet. -
Var beredd på tidskrävande processer:
Ha förståelse för att denna process kan vara tidskrävande och kräva tålamod. Risk – och konsekvensanalyser är levande dokument som behöver uppdateras regelbundet när förbättringar förändras.
Emma slutligen: ”I framtiden kommer det krävas allt högre noggrannhet för organisationer när det kommer till att förstå hur just den egna AI-användningen omfattas av den nya AI-förordningen. Det kommer vara allt viktigare att utreda vilken riskkategori den specifika AI-användningen hamnar i, då regleringen skiljer sig åt beroende på risknivå. Det här är något som kräver kontinuerlig uppföljning och anpassning för att säkerställa att alla användningsområden av AI hålls i linje med den utvecklande lagstiftningen.”
