AI: Svårt för myndigheter att använda på lagligt sätt

Artificiell intelligens (AI) har stor potential att effektivisera den offentliga sektorn, men med möjligheterna kommer också utmaningar. En ny studie från Högskolan i Skövde visar hur svenska myndigheter, genom att använda lösningar med AI-funktionalitet, riskerar att röja känsliga uppgifter och därmed ta stora säkerhetsrisker samtidigt som de förlorar kontrollen över hur data används och delas.

I Sverige har debatten kring användningen av molntjänster och lösningar med AI-funktionalitet i offentlig sektor varit omfattande. Den svenska sekretesslagstiftningen har nyligen ändrats för att göra det lättare för myndigheter att använda molntjänster, men i praktiken får ändringarna inte den effekt lagstiftaren hoppats på. Det gäller särskilt när myndigheter behandlar uppgifter med extern drift och det blir ett ännu större problem när lösningarna innehåller AI-funktionalitet. Det menar Björn Lundell, professor i datavetenskap vid Högskolan i Skövde.

Ny lagstiftning får inte avsedd effekt

I en ny studie visar han och de andra forskarna bakom studien att det finns stora problem med hur denna lagändring är utformad och hur den tillämpas. Många myndigheter använder lösningar under okända villkor för att behandla sina uppgifter och de gör det utan att bedöma om den externa molninfrastrukturen är lämplig att använda.

– Lagstiftaren ställer stora krav på hur enskilda myndigheter får behandla uppgifter och det betonas särskilt att uppgifter endast får lämnas ut om det med hänsyn till omständigheterna inte bedöms vara olämpligt, men vår forskning visar att det för varje myndighet i praktiken är omöjligt att göra en sådan bedömning då alla myndigheter vi undersökt använder lösningar under okända villkor, säger Björn Lundell, som menar att myndigheter och politiska beslutsfattare är ivriga med att nyttja fördelarna med att använda AI-lösningarna utan att förstå de juridiska komplikationerna.

Har myndigheterna gett upp?

Under flera år arbetade it-driftsutredningen med frågor om säker och kostnadseffektiv it-drift och under 2021 publicerades två betänkanden som ledde fram till den nya lagstiftningen. Tanken med den förändrade lagen var att om en myndighet i sin analys kommer fram till att det inte är olämpligt att lämna ut uppgifter till exempelvis ett externt företag för endast teknisk bearbetning eller teknisk lagring ska detta kunna ske. Men i praktiken blir det i många fall omöjligt eftersom behandling och förvaltning av en myndighets uppgifter under okända villkor gör att det inte går att göra en sådan bedömning.

– När många lösningar dessutom innehåller AI-funktionalitet som tillhandahålls under okända villkor blir det ett än större problem för en myndighet att genomföra en sådan bedömning. Många myndigheter förefaller helt ha gett upp och försöker inte ens ta reda på vilka villkor som gäller, säger Björn Lundell.

Kan drabba enskilda medarbetare

Det finns alltså en påtaglig risk att myndigheter kan komma att använda AI på sätt som strider mot lagstiftningen, vilket potentiellt kan leda till problem med sekretess och säkerhet. Mathias Lindroth är jurist och har specialiserat sig på policyfrågor inom det IT-rättsliga området, han menar att det dessutom kan drabba den enskilda medarbetaren som oreflekterat skickar in uppgifter från en myndighet in i en externt tillhandahållen molntjänst med AI-funktionalitet.

– Om en myndighet obehörigt röjer uppgifter som omfattas av sekretess kan det orsaka betydande skada och leda till straffrättsliga påföljder för enskilda medarbetare, säger Mathias Lindroth som också är en av författarna bakom studien.

Offentlig sektor behöver utbilda sin personal i AI-teknologi

Björn Lundell menar att det behövs mer forskning och mer ändamålsenlig lagstiftning för att säkerställa att AI används på ett säkert och lagligt sätt i offentlig sektor. Regeringen måste se till att lagarna i praktiken är möjliga att tillämpa och myndigheterna behöver förstå och följa dem, för att verkligen skydda den känsliga information de hanterar. Myndigheter och aktörer inom offentlig sektor behöver utveckla nya riktlinjer för att säkerställa att AI-system används på ett säkert och effektivt sätt.

– Det handlar bland annat om att få kontroll över hur data samlas in, lagras och används. För att lyckas med detta krävs utbildning och kompetens. Offentlig sektor behöver utbilda sin personal i AI-teknologi och vilka konsekvenser användandet kan få. Samtidigt behöver myndigheterna arbeta nära ansvarstagande teknologileverantörer för att säkerställa att AI-lösningarna uppfyller lagstiftningens krav och är anpassade till deras specifika behov.

Läs mer om studien

Lundell, B., Lindroth, M., Gamalielsson, J., Katz, A., Brax, C., Persson, T., Mattsson, A., Gustavsson, T., Feist, J. & Öberg, J. (2024) Half a step behind – bulk disclosure of confidential data in third-party GenAI solutions under the Swedish Public Access to Information and Secrecy Act, Digital Government: Research and Practice, ACM, June.

http://doi.org/10.1145/3673659

Kontakt

Björn Lundell, professor i datavetenskap vid Högskolan i Skövde.
Telefon: 0500-448319, E-post: bjorn.lundell@his.se