Frågor och svar: webbinarium om innovationssandlådan 9 oktober

Vilken expertis bidrar IMY med i projekten?

IMY bidrar med kompetens från jurister med expertis inom dataskydd samt specialister inom AI och cyber- och informationssäkerhet. Teamet har erfarenheter från att arbeta både inom privat och offentlig sektor.

Vilka kriterier tittar ni på när ni väljer ut projekt till innovationssandlådan?

Vi tittar framförallt på tre saker under urvalet:

• Projektet driver nya sätt att behandla personuppgifter, vilket kan innefatta både ny teknik och befintlig teknik i ny kontext.
  
  
• Projektet innefattar dataskyddsfrågor med vägledningsbehov som vi väljer ut tillsammans utifrån er situation.
  
  
• Att vägledning utifrån deltagarens projekt kan bidra till samhällsnytta, dels utifrån projektets syfte i sig men också genom att vägledningen kan stötta många fler i fråga om liknande dataskyddsfrågor.

Måste projektet ha en viss omfattning (vad gäller dess effekter) för att kunna gå vidare i IMY:s innovationssandlåda?

Projektet behöver bidra till samhällsnytta och ha potential att beröra fler än den specifika deltagaren, så att resonemangen och slutsatserna i projektet kan ge ny kunskap och vägledning för många fler aktörer med liknande frågor. Myndigheten publicerar alltid vägledningen, i form av en rapport, på imy.se. På så vis stöttar vi många fler som har liknande frågor, istället för bara den specifika deltagarens sakfrågor.  

Hur är upplägget och hur skrivs rapporterna med tanke på företagshemligheter. Sekretessbeläggs vissa delar?

Det är bra att känna till att IMY är en statlig myndighet. Det innebär att handlingar som inkommer till oss kan lämnas ut på begäran enligt offentlighets- och sekretesslagen (2009:400). Ni avgör själva vilken information ni delar med oss. Vi behöver bara tillräckligt med detaljer för att ge er konkret vägledning.

Vår erfarenhet är att deltagare lämnar över bra underlag till oss som är tillräckligt för dialoger och fördjupad vägledning. I den slutrapport som publiceras på imy.se fokuserar vi på generella lärdomar från projektet, till exempel hur GDPR kan tillämpas på en viss typ av behandling. Slutsatserna ska vara till nytta för många.

Hur många deltagare kan man vara när man söker in med ett projekt?

Det finns ingen satt övre gräns, hittills har vi haft projekt med mellan 1–4 deltagande organisationer. Det är dock värt att komma ihåg att workshopserien blir mer effektiv om de som deltar är väl insatta i projektet. Vår erfarenhet är att det är lagom med 1–3 personer per deltagande organisation.

Hur lång tid tar ett projekt i innovationssandlådan?

Vi genomför fyra projekt i innovationssandlådan per år. Ett projekt pågår i regel under 6-8 månader. Tidsramen är satt för att vi ska kunna ge er en genomarbetad vägledning som håller både juridiskt och tekniskt. Komplexa dataskyddsfrågor kräver ofta flera workshops där vi tillsammans analyserar era specifika utmaningar, testar olika lösningar och säkerställer att de fungerar i praktiken.

För mindre organisationer med enklare projekt erbjuder vi också en kortare variant – expressandlådan – som pågår i tre månader. Oavsett format är målet att ge er konkreta verktyg för att komma vidare.

Fråga om sandlådan med Kalmar kommun. Vad innebär ”mänsklig kontroll”?  

Mänsklig kontroll är en tolkning av det engelska begreppet "human in the loop". Begreppet handlar om att inte överlåta allt till tekniken utan att en människa ska finnas med i processen. Det är brett begrepp som träffar flera bestämmelser, inte bara i GDPR utan även i annan lagstiftning (såsom AI-förordningen).

I sandlådeprojektet med Kalmar kommun har vi undersökt mänsklig kontroll utifrån principen om riktighet och automatiserat beslutsfattande. Här lyfts vikten av att en människa granskar utdatat. Detta eftersom det inte går att garantera att transkriberingstjänsten inte transkriberar fel eller hallucinerar, det vill säga lägger till sådant som inte sagts under samtalet. Rapporten diskuterar också utmaningar med att utföra mänsklig kontroll, såsom risken att handläggaren på grund av tidspress inte hinner göra en granskning och därför accepterar utdatat rakt av.

Hanterar ni alla dataskyddsfrågor som dyker upp i ett projekt?

När vi vägleder väljer vi ofta de svåra frågorna. Vi gör en noggrann analys för att säkerställa en kvalitativ vägledning som når många aktörer med liknande frågeställningar. Deltagare undviker på så vis att göra dyra misstag i början av projektet vilket sparar både tid och resurser.

Framför allt ger vi dem en metod de kan använda för att lösa ut liknande frågor i det aktuella eller andra projekt. Från tidigare deltagare är detta något som ofta nämns som det mest värdefulla med IMY:s sandlådor – att de just får en metod. Vårt mål är att ge deltagare förutsättningar för att komma vidare i projektet.