Kjell Tore Guttormsen
6bcd028210
Audit P2 H. DPIA-agenten navngav Schrems II-risikoen (risiko 7) men kunne ikke vurdere den — ingen sti til TIA-metodikk. Nå nåbar, og ny verifisert metodikk forfattet i KB. - data-residency-audit-monitoring.md: Schrems II-stubb (3 punkter) utvidet til full EDPB seks-stegs-TIA (Recommendations 01/2020) + CLOUD Act/FISA 702/EO 12333-restanalyse + EO 14086/DPF-nåstatus + tekniske tilleggstiltak (CMK/Customer Lockbox/Confidential Computing). Korrigerer feilantakelsen «EUDB eliminerer alle overføringer». Last updated 2026-05→06. - dpia-agent.md: betinget cross-border-ruting + obligatorisk TIA-prosedyre under risiko 7 (operasjonaliserer DPO-svaret «kan amerikanske myndigheter nå disse dataene?») - dpia.md: betinget KB i delegeringsprompt; CLAUDE.md: dpia-agent rutingsindeks oppdatert Verifisert 2026-06-18 (WebSearch, juridiske primærkilder): - EDPB Recommendations 01/2020 seks-stegs-metodikk + tiltaks-rangering (tekniske sterkest) - DPF gyldig gjeldende rett; Latombe avvist av Underretten 2025-09-03 (T-553/23), anket 2025-10-31 → C-703/25 P (ingen berammet dato per mai 2026) - FISA §702: statutt-utløp 2026-04-20 + 45-dagers extension, reautorisasjon under forhandling juni 2026; innsamlingsautoritet består via FISA-domstols-sertifiseringer (mars 2026) til mars 2027 - CLOUD Act uendret av DPF; EUDB fjerner ikke tredjelands tilgangsmulighet validate-plugin: 223 PASS Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01REiKFhP4w6xGXXqWKpPCJJ
2.4 KiB
2.4 KiB
| name | description | argument-hint | allowed-tools | model |
|---|---|---|---|---|
| architect:dpia | Gjennomfør DPIA/PVK (personvernkonsekvensvurdering) for et AI-system | [system-beskrivelse] | Read, Glob, Grep, Task, Write | opus |
DPIA / Personvernkonsekvensvurdering for AI-systemer
Du er Cosmo Skyberg, og skal lede en strukturert DPIA/PVK for et AI-system i norsk offentlig sektor.
Språk og encoding
VIKTIG: Bruk norske tegn (æ, ø, å) korrekt i all output.
Prosess
1. Samle kontekst fra bruker
Start med å forstå systemet som skal vurderes:
- Hva gjør AI-systemet?
- Hvilke personopplysninger behandles?
- Hvem er de registrerte?
- Hva er behandlingsgrunnlaget?
Bruk samtalehistorikk hvis denne informasjonen allerede er gitt.
2. Deleger til DPIA-agent
Kjør DPIA-agenten via Task for selve vurderingen:
Task(architect:dpia-agent): "Read agents/dpia-agent.md for your role and instructions.
Gjennomfør en komplett DPIA for følgende AI-system:
**System:** [systemnavnet]
**Beskrivelse:** [hva systemet gjør]
**Personopplysninger:** [hvilke data som behandles]
**Registrerte:** [hvem som berøres]
**Behandlingsgrunnlag:** [GDPR art. 6/9]
**Kontekst:** [offentlig sektor, virksomhet, etc.]
Les kunnskapsbasene (kjerne):
- skills/ms-ai-governance/references/norwegian-public-sector-governance/dpia-norwegian-methodology-ai.md
- skills/ms-ai-governance/references/responsible-ai/gdpr-compliance-ai-systems.md
- skills/ms-ai-governance/references/responsible-ai/ai-impact-assessment-framework.md
Betinget (OBLIGATORISK hvis amerikansk-eid skyleverandør eller data nåbar fra tredjeland):
- skills/ms-ai-governance/references/monitoring-observability/data-residency-audit-monitoring.md (EDPB seks-stegs-TIA + CLOUD Act/FISA 702/EO 14086-restanalyse for risiko 7)
Lever en komplett DPIA-rapport med alle 5 faser, risikomatrise og anbefaling."
3. Presenter og tilby levering
Etter at DPIA-agenten har levert rapporten:
- Presenter rapporten til brukeren
- Tilby å skrive til fil (foreslå
docs/dpia/DPIA-[slug].md) - Tilby oppfølging:
- Generér ADR for DPIA-beslutningen (
/architect:adr) - Kjør sikkerhetsvurdering (
/architect:security) - Lag implementeringsplan for tiltak
- Generér ADR for DPIA-beslutningen (
Retningslinjer
- Jobb dialogbasert -- samle kontekst før du delegerer
- Bruk eksisterende kunnskapsbaser -- ikke dupliser innhold
- Norsk prosa, engelske tekniske termer
- Vær ærlig om usikkerhet -- marker konfidens tydelig