Maskeringstjänsten

Initiativtagare:

Lidingö stad

Många kommuner och myndigheter lägger idag enorma resurser på att manuellt maskera känsliga uppgifter i dokument innan de lämnas ut. Enligt Atea kan en medelstor kommun lägga motsvarande fem heltidsanställda på detta monotona arbete, en kostnad som uppgår till miljardbelopp årligen för offentlig sektor.

Återanvändbarhet

Upphandling, licens eller annat avtal krävs

Komplexitet: låg

Lösningen är avgränsad, berör en enskild funktion eller ett arbetsmoment och har få beroenden till andra delar. Okomplicerat införande.

Detaljer

Lidingö stad, Kungsbacka kommun och Skaraborg kommunalförbund har drivit projektet i samverkan med juridisk och akademisk expertis. Vinnova delfinansierade projektet som ett led i att utforska högeffektiva AI-lösningar för offentlig sektor. Det bedrevs från start med starkt fokus på dataskydd och informationssäkerhet, i enlighet med gällande rättsliga krav.

Lösning

Maskeringstjänsten, som bygger på den senaste AI-tekniken från IBM, erbjuder ett alternativ: ett automatiserat verktyg som identifierar och maskerar både direkta och indirekta personuppgifter. I stället för att först granska innehållet manuellt, söker tjänsten med hjälp av både traditionell och generativ AI igenom handlingen och ger förslag på, vad som ur ett personuppgiftsperspektiv bör döljas innan den lämnas ut.

Handläggaren kan därefter granska förslaget och antingen använda det i sin helhet, välja ut vissa delar eller lägga till egna maskeringar. På så sätt kan processen genomföras både snabbare och med större precision.

Resultat

Införandet av lösningen har gett flera mätbara effekter. Tidsbesparing har uppnåtts genom att manuella moment reducerats eller eliminerats. Omfördelning av resurser har möjliggjort att personalens tid kunnat frigöras och användas för andra värdeskapande uppgifter. Ökad kvalitet framträder genom färre felaktigheter och kortare leveranstider.

Kostnad och investering

Ateas listpris för lösningen är 18 tkr för 5 användare per månad.

Om juridiken

Ett personuppgiftsbiträdesavtal (PuB-avtal) har upprättats mellan parterna i enlighet med artikel 28 GDPR. Det reglerar att all behandling av personuppgifter sker på dokumenterade instruktioner från den personuppgiftsansvarige, med tydlig ansvarsfördelning, sekretessåtaganden och rätt till revision.

Samtliga underbiträden omfattas av motsvarande skyldigheter genom avtalsmässiga villkor, inklusive begränsningar för tredjelandsöverföring. All data behandlas inom svensk jurisdiktion i Atea:s AI-kluster i Umeå, vilket eliminerar risken för otillåtna gränsöverskridande överföringar. Ingen personuppgiftsbehandling sker för egna ändamål, och all data raderas eller återlämnas vid uppdragets avslut. Säkerhetsåtgärder omfattar både tekniska och organisatoriska skydd i enlighet med artiklarna 25 och 32 GDPR, inklusive kryptering, pseudonymisering, behörighetsstyrning, loggning och incidenthanteringsplaner. Utöver detta har projektet genomfört en DPIA (Data Protection Impact Assessment), vilken bedömer lösningen som förenlig med tillämplig dataskyddslagstiftning. Tjänsten har också testats i IMY:s regulatoriska sandlåda, där bedömningen bekräftade att användningen kan ske med rättslig grund enligt GDPR –särskilt med stöd av uppgift av allmänt intresse. Projektet har följt IMY:s rekommendationer om mänsklig kontroll, säkerhetsåtgärder och riskhantering. En fullständig teknisk och juridisk specifikation av säkerhetsåtgärder enligt artikel 28 GDPR finns dokumenterad i det upprättade PuB-avtalet, som kan delas vid förfrågan.