Personvernkonsekvensvurdering (DPIA)

Underlag fra Graidable til institusjonens egen DPIA (GDPR art. 35). Institusjonen (behandlingsansvarlig) er ansvarlig for endelig, godkjent vurdering. Ikke juridisk rådgivning.

1. Sammendrag

Graidable leser elevarbeid, sorterer det til elevene og lager utkast til vurdering og tilbakemelding som læreren går gjennom og godkjenner. Behandlingen innebærer KI-basert vurdering av enkeltpersoner, kanskje barn, og potensielt store datamengder, og en DPIA er derfor påkrevd eller anbefalt.

Lagring, lesing og KI-modellene som vurderer arbeidet, kjører i EU. To deler kjører i USA: alle KI-kall går gjennom OpenRouter, og sorteringsmodellen Jev (TypeSafe) får elevenes navn og teksten i arbeidet deres (punkt 2). Hvert KI-kall er låst i koden til endepunkter med null datalagring, der leverandøren ikke lagrer eller trener på kallet. Læreren bestemmer hvert resultat.

Graidables eget anslag over restrisikoen, med tiltakene under, er lav til moderat. Institusjonen gjør den endelige vurderingen.

2. Beskrivelse og dataflyt

1. Opplasting. Læreren laster opp klasselisten, egne filer (oppgave, fasit, kriterier, klassemateriell) og elevarbeid. Lagres i AWS S3 (eu-west-1) og databasen (Railway, EU).
2. Lesing. Skannede sider, og maskinskrevne sider med matematikk eller bilder, leses av LandingAI på EU-verten (eu-west-1).
3. Sortering (USA). Jev, drevet av TypeSafe i USA og nådd gjennom OpenRouter (USA), får filnavnet og teksten på sidene og foreslår hva hver side er og hvem arbeidet tilhører. For å koble arbeid til elevene får den klasselisten for oppgaven, med hver elevs fulle navn, elevnummer og kandidatnummer. En kobling den er sikker på, legges inn som KI-ens forslag; en den er usikker på, havner under «Usikker på hvem». Læreren kan flytte hvilken som helst side.
4. Oppgaver og kriterier (EU). GPT-6 Luna hos Microsoft Azure i EU (reserve: Gemini 3.5 Flash Lite hos Google Vertex AI i EU), gjennom OpenRouter, lager utkast til oppgavene, kriteriene og fasiten ut fra lærerens filer. Ikke elevarbeid. Læreren godkjenner kriteriene.
5. Vurdering (EU). De samme modellene, gjennom OpenRouter, vurderer én elev om gangen mot de godkjente kriteriene. De får teksten på elevens sider, med linjene der elevens navn står fjernet, og sidebildene, som kan vise et håndskrevet navn. De får ikke klasselisten eller filnavnet.
6. Gjennomgang. Læreren går gjennom hvert utkast, endrer det hun eller han er uenig i, og godkjenner. Tilbakemeldings-PDF-er lages bare fra godkjente resultater.

Endelig karakter settes av læreren; KI-output er bare et utkast.

3. Formål og behandlingsgrunnlag

Formål: mer effektiv og konsistent vurdering og tilbakemelding. Institusjonen fastsetter behandlingsgrunnlaget (typisk GDPR art. 6(1)(e) offentlig oppgave, eller (f) berettiget interesse, eller (a) samtykke). Behandling hos Graidable skjer på institusjonens vegne etter databehandleravtale (art. 28). Elevarbeid kan inneholde særlige kategorier (art. 9) i fritekst; se risikotabellen.

4. Datakategorier og registrerte

Om elever: identifikatorer (navn, og der læreren legger dem inn: e-post, elevnummer, kandidatnummer), arbeidet deres (filer, sidebilder og teksten som leses fra dem) og vurderingsdata (poeng, utkast og godkjente resultater, tilbakemelding). Om lærere og undervisningsassistenter: konto-, rolle- og loggdata. Ved bruk i ungdomsskole eller videregående behandles barns data, noe som gir skjerpede krav.

5. Underdatabehandlere og overføring

Graidable velger KI-modellene; det finnes ingen policy per konto. Rutingen er fastsatt i koden for hvert KI-kall: bare endepunktene over, ingen reserve hos en annen leverandør, bare endepunkter OpenRouter oppgir har null datalagring, og bare leverandører som ikke lagrer eller trener på kallene. Et kall med annen ruting stoppes før det sendes. Graidable bruker TypeSafe, Microsoft og Google bare gjennom OpenRouter. Koden har også Gemini 3.8 Flash på Googles globale endepunkt (utenfor EU) som vurderingsmodell; den brukes bare i Graidables egne testkjøringer, aldri på kundenes data.

6. Nødvendighet og proporsjonalitet

Dataminimering. Hvert KI-steg får det jobben krever (punkt 2):

• Å finne oppgavene og lage kriterier får bare lærerens filer.
• Vurderingen får én elevs arbeid, med navnelinjene fjernet fra teksten, men ikke fra sidebildene.
• Sorteringen må koble arbeid til navn, så Jev får klasselisten med navn, og teksten på sidene.

Institusjonen kan redusere det som sendes, ved å bruke kandidatnumre eller elevnumre i stedet for navn, på klasselisten og på arbeidet.

Lagringstid. Data beholdes så lenge klassen eller kontoen finnes, uten automatisk sluttdato. Slettede klasser og oppgaver slettes sammen med filene etter 30 dager i «Nylig slettet». Sletting av kontoen sletter dataene med én gang. KI-leverandørene beholder ingenting (null datalagring, krevd i hvert kall).

7. Risikovurdering

8. KI-forordningen

KI som vurderer læringsutbytte er høyrisiko (vedlegg III). Menneskelig tilsyn er bygd inn (utkast-output, læreren bestemmer); elevene informeres av institusjonen; dette DPIA-underlaget, databehandleravtalen og underdatabehandlerlisten dokumenterer behandlingen; systemet utfører ingen følelsesgjenkjenning eller biometrisk kategorisering. Institusjonen er «deployer».

9. Konklusjon

Graidables anslag er at restrisikoen med disse tiltakene er lav til moderat. Det bygger på menneskelig gjennomgang av hvert resultat, null datalagring og ingen datainnsamling hos alle KI-leverandørene, og EU-endepunkter for modellene som vurderer arbeidet. Det veies mot overføringen av elevenes navn og tekst til TypeSafe i USA og av alle KI-kall gjennom OpenRouter (R2). Endelig godkjenning gjøres av institusjonen og personvernombudet.