Nyhetsbrev om nasjonal DPIA for Google Workspace for Education og Microsoft 365

Hvordan jobber vi med oppdateringer i Google-DPIAen 

Hei !

Du som har drevet med informasjonssikkerhet og personvern en stund vet at noe av det kjipeste med å jobbe intenst med risiko- og personvernkonsekvensvurderinger, er når de ender opp i en skuff. ‘

Da blir de gjerne heller ikke oppdatert.

Vi kan meddele at dette ikke er tilfelle for DPIAen vår av Google Workspace for Education. Vi holder nemlig på å oppdatere den.

Dette fordi Google har rullet ut generativ KI i løsningen, noe som betyr at vi må oppdatere flere ting.

La meg i dette nyhetsbrevet fortelle om hvordan vi arbeider for å få til oppdateringen.

Hva vi jobber med innholdsmessig

Kort fortalt er dette som vi skal gjøre:

Utarbeide nytt scope for prosjektet

Dette betyr at vi skal ta stilling til hvilke KI- komponenter som skal være inkludert i DPIAen, noe som er første skritt i å forstå hva det er vi nå har å gjøre med.

Ny beskrivelse av roller og ansvar for KI-komponentene

Vi må se på om de nye tjenestene endrer rollebeskrivelsene av hvem som er behandlingsansvarlig og hvem som er databehandler.

Ny beskrivelse av hvordan denne teknologien fungerer

KI betyr så mangt og derfor er det viktig å kunne forklare dem. De KI-komponentene som nå har blitt en del av Google Workspace for Education er generativ KI basert på Google sin store språkmodell Gemini. Google har også tilpasset denne spesielt for skolesektoren via LearnLM. Det er viktig at vi som skal vurdere disse verktøyene forstår hvordan de er laget før vi kan ta dem i bruk i skolen. 

Oppdatering av behandlingsprotokollen for Google Workspace for Education hvor formål, behandlingsgrunnlag og behandlingsaktivitet defineres

Vi i SkoleSec har vært skikkelig opptatt av at det er skoleeier som skal velge å ta i bruk KI-teknologi. Nye tillegg og nye funksjoner må være skrudd av som standard og skoleeier må selv kunne skru dem på.  Men  det er vanskelig når KI-funksjonalitet bare rulles ut i løsninger vi allerede har. Men hvordan sikrer vi at skoleeier tar eierskap til hvordan bruke denne teknologien? Vi har tenkt at dette må defineres og bli en del av behandlingsprotokollen. Derfor vil vi oppdatere den ifbm dette prosjektet.

Oppdatering av nødvendighetsvurderingen i DPIAen for å romme de nye KI-komponentene

En nødvendighetsvurdering er den delen av en DPIA hvor du som skoleeier og behandlingsansvarlig tar stilling til om dette er et verktøy som er nødvendig å bruke for å oppfylle de formålene du har med behandlingen. Dette er en veldig viktig del av det å ta stilling til om og hvordan KI-teknologi skal brukes. Nødvendighetsvurderingen i Google-DPIAen vil derfor oppdateres for å gjenspeile dette.  

Oppdatering av beskrivelse av personvernrisiko og risikoreduserende tiltak

Når nye tjenester blir en del av Google Workspace for Education, må vi vurdere om det betyr at risikobildet endrer seg, og om det er behov for at vi iverksetter nye risikoreduserende tiltak. Dette virker selvsagt. KI-komponentene i Google Workspace for Education er som nevnt generativ KI, og den kan i prinsippet brukes til veldig mye forskjellig. Vurdering av personvernrisiko er derfor også et verktøy vi mener at skoleeier må bruke for å ta stilling til hvordan denne teknologien best kan brukes i skolen.

Hvordan vi jobber

Det vi nå gjør er en oppdatering av den DPIAen vi publiserte i desember 2024, og vi i SkoleSec har lyst til å prøve om vi kan få til en forholdsvis rask oppdatering. Vi har dermed organisert oss noe forskjellig fra da vi først gjennomførte selve DPIAen.

Vi har samlet de kommunene som hjalp oss med Google DPIAen (pluss en ny), men denne gangen er det ikke prosjektmedarbeiderne fra kommunene som skriver, det er oss i SkoleSec.

Vi møtes en gang i uka for et arbeidsmøte på maks 1,5 timer (dette er maks konsentrasjonstid undertegnede har kapasitet til om gangen). I disse møtene har vi arbeidstid hvor vi har temaer som vi skal se på.

Og så er det som sagt vi i SkoleSec som tar det vi diskuterer oss frem til, og omformer det til tekst som vi bruker til å oppdatere DPIAen. Denne teksten sendes så ut til prosjektmedlemmene for innspill, kommentarer og rettelser.

Og slik oppdaterer vi DPIAen. Ett arbeidsmøte av gangen.

Hvor lang tid vil dette ta?

Så til det evige spørsmålet: hvor lang tid vil dette ta? Her prøver vi å være skikkelig ambisiøse. Vi har som mål å publisere DPIAen i første halvår av 2026.

Det er godt mulig vi blir forsinket, men DET er målet!

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

Ps. På mandag har vi webinar om innhenting av den registrertes mening. Kom for informasjon om hvordan gjøre dette, og ikke minst for innsikt i hva elever, lærere og foresatte egentlig synes om M365 og personvern. Meld deg på her!

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education and Microsoft 365

How we work with updates to the Google DPIA

Hi !

If you’ve been working with information security and privacy for a while, you know that one of the most frustrating things about putting a lot of effort into risk and data protection impact assessments is when they end up in a drawer. When that happens, they usually don’t get updated either.

We can let you know that this is not the case for our DPIA of Google Workspace for Education. We are in fact in the process of updating it.

This is because Google has rolled out generative AI in the solution, which means we have to update several things.

Let me use this newsletter to explain how we are working to get the update done.

What we are working on content-wise

In short, here’s what we’re going to do:

Develop a new scope for the project
This means we will determine which AI components are to be included in the DPIA – which is the first step in understanding what it is we are now dealing with.

New description of roles and responsibilities for the AI components
We need to look at whether the new services change the role descriptions of who is the data controller and who is the data processor.

New description of how this technology works
“AI” can mean many different things, so it’s important to be able to explain them. The AI components that have now become part of Google Workspace for Education are generative AI based on Google’s large language model Gemini. Google has also specifically adapted this for the school sector via LearnLM. It is important that we, who are assessing these tools, understand how they are built before we can use them in schools.

Updating the processing register for Google Workspace for Education, where purpose, legal basis and processing activities are defined
At SkoleSec, we have been very concerned that it is the school owner who should choose whether to use AI technology. New add-ons and new features must be turned off by default, and the school owner must be able to turn them on themselves. But this is difficult when AI functionality is simply rolled out into solutions we already have. So how do we ensure that the school owner takes ownership of how this technology is used? We have concluded that this has to be defined and become part of the processing register. Therefore, we will update it in connection with this project.

Updating the necessity assessment in the DPIA to cover the new AI components
A necessity assessment is the part of a DPIA where you, as school owner and data controller, decide whether this is a tool that is necessary to use in order to fulfil the purposes you have with the processing. This is a very important part of deciding whether and how AI technology should be used. The necessity assessment in the Google DPIA will therefore be updated to reflect this.

Updating the description of privacy risks and risk-reducing measures
When new services become part of Google Workspace for Education, we have to assess whether this changes the risk picture and whether we need to implement new risk-reducing measures. This is obvious. As mentioned, the AI components in Google Workspace for Education are generative AI, and in principle they can be used for many different things. We therefore believe that privacy risk assessment is also a tool the school owner must use to decide how this technology can best be used in schools.

How we work

What we are doing now is an update of the DPIA we published in December 2024, and at SkoleSec we want to see if we can manage a relatively quick update. We have therefore organised ourselves somewhat differently from when we first carried out the DPIA itself.

We have brought together the municipalities that helped us with the Google DPIA (plus one new), but this time it is not the project staff from the municipalities who are doing the writing – it is us at SkoleSec.

We meet once a week for a working meeting of max 1.5 hours (this is the maximum concentration span the undersigned is capable of at a time). In these meetings we have working time where we focus on specific topics.

And as mentioned, it is we at SkoleSec who then take what we have discussed, turn it into text, and use it to update the DPIA. This text is then sent out to the project members for input, comments and corrections.

And that’s how we update the DPIA. One working meeting at a time.

How long will this take?

Now to the eternal question: how long will this take? Here we’re trying to be really ambitious. Our goal is to publish the updated DPIA in the first half of 2026.

It’s entirely possible we’ll be delayed, but THAT is the goal!

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Have you missed any newsletter? You can read them here!