Varför svaret om lagringsregion inte är en datakarta
Kandidatdata kan passera fler system än rekryteringsverktygets gränssnitt visar. Ett CV kan hamna i den primära lagringen, i en tjänst som utvinner text, hos en modelleverantör, i köer, loggar och feldiagnostik, i supportverktyg, säkerhetskopior och exporter. En leverantör kan alltså svara helt korrekt på frågan ”Var finns databasen?” och ändå lämna större delen av behandlingskedjan oförklarad.
Enligt dataskyddsförordningen (GDPR) får personuppgiftsansvariga bara anlita personuppgiftsbiträden som ger tillräckliga garantier, och behandlingen ska regleras i ett avtal. Artikel 28 tar också upp dokumenterade instruktioner och anlitande av ytterligare biträden. EDPB:s riktlinjer om personuppgiftsansvariga och personuppgiftsbiträden förklarar att rollerna avgörs av de faktiska ändamålen med och medlen för varje behandling, inte bara av vilka beteckningar parterna har valt.
Den här checklistan gör om de styrningsfrågorna till en praktisk karta. Den avgör inte om en leverantör eller ett visst införande är lagligt.
Kartlägg flödet i åtta steg
Skapa en rad för varje mottagare eller behandling. Slå inte ihop flera leverantörer i en enda ruta märkt ”molnet”.
- Insamling och uppladdning. Notera vilket gränssnitt som tar emot CV:t, svaren i ansökan, kontaktuppgifterna och rekryterarens anteckningar. Ta reda på var validering, virussökning och tillfällig lagring av uppladdade filer sker.
- Primär lagring. Ange vem som levererar databas och fillagring, primär region, hur kundernas data hålls åtskilda, hur data krypteras och vilka personer eller tjänsteroller som har åtkomst.
- Utvinning och tolkning. Notera om hela filen eller den utvunna texten lämnar den primära lagringen, vilken tjänst som tar emot den och vilka tillfälliga kopior eller fil-id:n som finns kvar.
- AI-stödd analys. Lista modelleverantören, vilka kategorier av indata som skickas, vilka utdata som genereras, vilken lagringsinställning som gäller och om indata eller utdata får återanvändas för träning eller förbättring av tjänsten.
- Rekryterarens granskning. Ta reda på var tolkade uppgifter, belägg krav för krav, luckor, granskningsstatus och mänskliga beslut lagras. Håll isär det som AI har tagit fram och de åtgärder som en inloggad person har utfört.
- Drift och support. Ta med köer, loggar, spårningsdata, feldiagnostik, analysverktyg, supportåtkomst, incidentutredningar och all felsökning som kunden har godkänt.
- Export och integrationer. Lista nedladdningar, e-post, kopplingar till rekryteringssystem (ATS), webhooks, manuella kopior och andra system längre fram i kedjan. Vart och ett av dem innebär en ny gräns för lagring och åtkomst.
- Avslut och radering. Notera vad som utlöser raderingen, tidsfrist, omfattning, hur ofta den körs, hur säkerhetskopior hanteras, radering hos leverantörer, vad som händer när avtalet upphör och vilket underlag som finns när raderingen är klar.
CNIL:s frågor och svar om införande av generativ AI rekommenderar att man klargör roller, ansvar enligt avtalet, behörig åtkomst, överföringar och om en leverantör får återanvända de data den tar emot. CNIL skiljer också mellan olika sätt att införa AI i stället för att se alla hostade tjänster och API-tjänster som likvärdiga.
Använd samma underlagsmatris för alla leverantörer
Skilltages vägledning: begär samma uppgifter från varje leverantör ni har kvar i urvalet och notera källan till varje svar.
| Fält | Fråga att besvara | Underlag att spara |
|---|---|---|
| Ändamål | Varför behöver den här behandlingen kandidatdata? | Produktdokumentation och avtalsklausul |
| Data | Vilka filer, fält, promptar, utdata, metadata och identifierare ingår? | Dataflödesdiagram eller ifyllt frågeformulär från leverantören |
| Roll | Vem bestämmer ändamålet och de väsentliga medlen för den här behandlingen? | Personuppgiftsbiträdesavtal och förklaring av rollerna |
| Leverantör | Vilken juridisk person utför behandlingen, och vilka underbiträden är inblandade? | Aktuell förteckning över underbiträden och villkor för ändringar |
| Plats | Var kan data lagras, nås, hanteras av support eller föras över? | Regioninställning och dokumentation om överföringar |
| Åtkomst | Vilka kund-, leverantörs-, support- och tjänsteroller kan hämta ut data? | Beskrivning av behörighetsstyrningen och testresultat |
| Återanvändning | Används data för modellträning, förbättring av tjänsten, utvärdering eller bevakning av missbruk? | Produktinställning, avtal och leverantörens policy |
| Lagringstid | Vad startar och avslutar varje lagringsperiod? | Gallringsplan för både primära och härledda data |
| Radering | Vad tas bort ur lagring, modeller, loggar, säkerhetskopior och hos leverantörer längre fram? | Raderingsrutin och protokoll från ett genomfört test |
| Ändringar | Hur informeras ni om nya leverantörer, ändamål, regioner eller villkor? | Informationsrutin, ändringslogg och möjlighet att invända |
Ett säljmejl väger inte lika tungt som ett bindande villkor eller en inställning som faktiskt finns i produkten. Notera den starkaste källan och när den granskades.
Klassa varje svar innan du poängsätter det
Använd tre nivåer för underlaget:
- Observerat: ert team har sett inställningen, åtkomstgränsen eller resultatet av raderingen i en godkänd testmiljö.
- Dokumenterat: svaret stöds av ett aktuellt avtal, personuppgiftsbiträdesavtal, meddelande om underbiträden, tekniskt dokument eller en leverantörspolicy.
- Ej verifierat: svaret är ett påstående, en plan, tvetydigt eller saknar stöd i det material du som köpare har tillgång till.
Ett svar kan behöva mer än en nivå. Teamet kan till exempel se att en fil försvinner ur gränssnittet, medan raderingen av säkerhetskopior bara är dokumenterad och inte går att observera direkt. Uppgradera inte i det tysta någon av delarna till bevisad.
Exempel: följ ett fiktivt CV
Ett mindre tillverkningsföretag jämför två produkter för AI-stödd CV-granskning. Företaget skapar ett fiktivt CV för en underhållsplanerare och en rollbeskrivning och kartlägger sedan ett komplett genomflöde.
| Steg | Noterad iakttagelse | Underlagets nivå | Uppföljning |
|---|---|---|---|
| Uppladdning | PDF-filen hamnar i organisationens arbetsyta och blir bara synlig för arbetsytans medlemmar | Observerat | Fråga hur åtkomsten mellan kunder upprätthålls på serversidan |
| Tolkning | Leverantören uppger att en modelleverantör tar emot PDF-filen tillfälligt | Dokumenterat | Begär modelleverantörens namn, inställd lagringstid och hur raderingen fungerar |
| Granskning | Tolkade uppgifter och belägg krav för krav visas bredvid källmaterialet | Observerat | Bekräfta var utdata lagras och hur länge |
| Diagnostik | Säljkontakten säger att loggarna inte innehåller någon kandidattext | Ej verifierat | Begär loggningspolicyn och en representativ, maskerad logghändelse |
| Radering | Kandidaten försvinner efter en testradering | Observerat | Fråga vad som händer med filer, härledda poster, leverantörens filer, loggar och säkerhetskopior |
Resultatet är inget betyg i stil med godkänt eller underkänt för dataskyddet. Det är en lista över kända fakta, obesvarade frågor, ansvariga och villkor för köpet.
Testa kartan innan du laddar upp riktiga CV:n
- Använd ett fiktivt CV som är skrivet från grunden och en ny sandlåde- eller demoarbetsyta som leverantören har godkänt.
- Lås produktversion, konfiguration, datum och den leverantörsdokumentation som testet bygger på.
- Följ test-CV:t genom uppladdning, behandling, granskning, export och radering. Notera synliga identifierare och statusar utan att begära konfidentiellt material om den tekniska lösningen.
- Testa två kundroller och bekräfta att vanliga användare inte kan ta sig förbi den avsedda gränsen för arbetsyta eller behörighet.
- Be leverantören skilja mellan omedelbar radering, schemalagd rensning, när säkerhetskopior löper ut, hur länge loggar sparas och radering hos externa leverantörer.
- Stäm av det du har observerat mot avtalet, personuppgiftsbiträdesavtalet, förteckningen över underbiträden, integritetsdokumentationen och de tekniska svaren.
- Utse en ansvarig och sätt en tidsfrist för varje punkt som inte är verifierad. Ladda inte upp riktiga kandidatdata så länge ett väsentligt dataflöde som inte går att stänga av fortfarande är oförklarat.
EDPB:s yttrande om AI-modeller visar varför det inte räcker att bara påstå att en modell är anonym: bedömningen beror på omständigheterna i det enskilda fallet och kräver underlag om möjligheten att extrahera uppgifter och om modellens utdata. Yttrandet gör inte det här testet inför köpet till en bedömning av anonymitet eller regelefterlevnad.
Varningssignaler i leverantörens svar
- ”Hostat inom EU” gäller en databas men inte modellbehandling, supportåtkomst, loggar eller överföringar.
- ”Vi lagrar inga CV:n” utelämnar promptar, utvunnen text, utdata, fil-id:n eller lagring för bevakning av missbruk.
- ”Vi följer GDPR” ersätter en konkret förklaring av roller, instruktioner, underbiträden och radering.
- Leverantören kan inte skilja kundens innehåll från telemetri eller data för modellförbättring.
- Förteckningen över underbiträden saknar ändamål, plats, information om ändringar eller ett aktuellt granskningsdatum.
- Radering innebär att en post döljs i gränssnittet, utan svar om lagrade objekt, härledda data, loggar, säkerhetskopior eller leverantörer.
- Supportpersonalen har bred åtkomst, men det är oklart hur åtkomsten godkänns, loggas och upphör.
Skilltages dokumenterade exempel
Skilltages vägledning: Skilltage publicerar aktuella uppgifter om leverantörernas ändamål, regioner, lagringstid och träning samt om hur överföringar regleras på sidan om underbiträden. Det dokumenterade flödet skiljer mellan gränssnitt som hostas hos Cloudflare, backend och asynkrona processer hos AWS, autentisering, databas och fillagring hos Supabase samt tolkning och inferens med stöd av OpenAI. Valfria telemetrileverantörer redovisas också för sig i stället för att bakas in i applikationens huvudflöde.
I produktens arbetsflöde laddar behöriga användare i organisationen upp CV:n som PDF. Tolkade uppgifter och belägg krav för krav stöder den mänskliga granskningen, och det är fortfarande rekryterarna som ansvarar för status, vem som går vidare, avslag och kontakten med kandidaterna. Produktdata, mänskliga åtgärder, metadata från AI-spårning och driftloggar har olika syften och bör inte beskrivas som en och samma granskningslogg.
Det är de offentliga redovisningarna och det godkända avtalsmaterialet – inte den här artikeln – som gäller för aktuella uppgifter om leverantörerna. Kontrollera dem på nytt när ni utvärderar Skilltage, eftersom leverantörer, inställningar och villkor kan ändras. Guiden om lagringstid när en rekrytering avslutas beskriver separat hur rensningen av underlag fungerar i dag.
Begränsningar och beslutsgränser
Det här arbetsunderlaget är ingen konsekvensbedömning avseende dataskydd (DPIA), bedömning av överföringar, juridisk bedömning, penetrationstest, avtalsgranskning eller säkerhetscertifiering. Det avgör inte vilken rättslig grund som gäller för rekryteringen, om ett personuppgiftsbiträde ger tillräckliga garantier, om en modell är anonym eller om en viss överföring är tillåten.
Ett test med fiktiva data kan inte avslöja alla säkerhetskopior, privilegierade åtkomstvägar, incidentrutiner eller framtida byten av leverantör. Kvalificerade specialister på dataskydd, informationssäkerhet, arbetsrätt och inköp behöver bedöma den faktiska organisationen, jurisdiktionen, avtalet, den avsedda användningen och riskerna.
Nästa steg
Välj en av leverantörerna ni har kvar i urvalet och rita upp kartan med de åtta stegen före nästa säljmöte. Skicka de obesvarade raderna i förväg och kräv en källa för varje svar. Använd sedan leverantörstestet med syntetiska CV:n för att se arbetsflödet i praktiken och den bredare checklistan för leverantörer av AI för rekrytering för att utvärdera belägg, mänsklig kontroll, felhantering och påståenden.
Referenser
Källorna ovan ger regelmässigt och praktiskt sammanhang för relationen till personuppgiftsbiträden, införande av AI, återanvändning av data och underlag om AI-modeller. Tillämpa de aktuella versionerna på ert faktiska införande. Matrisen är ett verktyg för köparens underlag, inte en bedömning av regelefterlevnad.