Datasikkerhed og GDPR i Censai: hvor elevernes data er, og hvem der ser dem

Data bruges ikke til at træne modeller, og OpenAI får ikke adgang til dem. Censai beder om, at svar ikke gemmes hos Microsoft; Microsofts automatiske misbrugsovervågning kan dog gemme en forespørgsel, der markeres som mulig overtrædelse af Microsofts vilkår, i op til 30 dage til gennemgang af autoriserede medarbejdere i EØS. Censai har søgt om at få den lagring slået fra og opdaterer privatlivspolitikken, når ansøgningen er afgjort. Almindelige PDF- og Word-filer læses på Censais egen server; kun scannede dokumenter og billeder sendes til Microsoft for at blive læst, og de gemmes ikke som filer dér. Platformen kan ikke sende noget til OpenAI’s almindelige tjeneste: er der ikke en EU-adresse at sende til, sker der intet AI-kald.

Hosting af hjemmesiden, mails og mødebooking ligger hos leverandører, der ikke behandler elevernes besvarelser. Den fulde liste med formål, placering og overførselsgrundlag står på siden med underdatabehandlere.

Eleverne oprettes i Censai som Elev-01, Elev-02 og så videre. Kun læreren kender koblingen til navnet, og den ligger uden for Censai. Elevens navn fra platformen sendes aldrig til sprogmodellen; det gør elevfilens navn heller ikke, fordi besvarelsen gemmes under elevens pseudonym. Navnene på opgavens bilag (lærerens egne filer) sendes med, så modellen kan henvise til dem.

Står der et navn i selve teksten, kommer det med, og derfor bekræfter læreren ved upload, at besvarelserne ikke indeholder navne. Inden teksten sendes, maskerer systemet CPR-numre og e-mailadresser, og ved scannede PDF’er fjernes filens metadata, fx forfatterfeltet. Teksten er stadig pseudonymiseret persondata, ikke anonym, og behandles som sådan.

Når en lærer beder om et udkast, sendes opgavebeskrivelsen, lærerens kriterier, opgavens bilag og elevens tekst til sprogmodellen sammen med relevante uddrag af Undervisningsministeriets fagplaner. Elevens tekst sendes som data, ikke som instruktioner, og udkastets citater tjekkes mod teksten, før det gemmes.

Modellen sætter ingen karakter: udkastet indeholder kun feedback, og karakteren sætter læreren selv. Der træffes ingen afgørelser alene på grundlag af automatisk behandling: læreren retter og godkender alt.

Adgangen styres på databaseniveau, ikke kun i skærmbilledet. En lærer ser kun egne hold og elever. En skoleleder ser tal for godkendte besvarelser (aktivitet, karakterfordeling og sparet tid), men ingen elevtekster, ingen feedback og ikke AI’ens interne tal. Skoleledere og Censais egen adgang til platformen kræver tofaktorgodkendelse.

Filer ligger i private lagerområder og hentes via tidsbegrænsede links. Følsomme handlinger som rolleændringer, sletninger og godkendelser logges. Adgangskoder skal være mindst 10 tegn, og antallet af forsøg på login-relaterede funktioner er begrænset.

• Elevdata gemmes, så længe skolens aftale løber, eller til læreren eller skolen sletter dem. Læreren kan når som helst slette elever, hold, opgaver og besvarelser; slettes en elev, slettes elevens besvarelser og feedback også.
• Når aftalen ophører, slettes skolens elever, besvarelser, feedback og filer automatisk 30 dage senere. Hver automatisk sletning registreres i revisionssporet.
• Sikkerhedskopier: Censai tager i dag ingen sikkerhedskopier af databasen. Det, der slettes, er væk med det samme og kan ikke gendannes.

Opdager Censai et brud på persondatasikkerheden, der vedrører elevdata, underrettes skolen uden unødig forsinkelse, så skolen kan vurdere og anmelde bruddet. De fulde regler for opbevaring, rettigheder og retsgrundlag står i privatlivspolitikken.

Skal I vurdere Censai som enhver anden leverandør, har vi samlet de spørgsmål, skolen bør stille, i guiden om AI-værktøjer og GDPR i skolen, sammen med vores egne svar. Vil I have databehandleraftalen eller dokumentation tilsendt, så skriv til os; vi er to, og vi svarer selv.