L'autorité norvégienne de protection des données (Datatilsynet) a publié les conclusions d'un projet mené dans son "bac à sable" réglementaire concernant le développement de robots conversationnels par la Direction de la Santé.

La Direction de la Santé envisage de déployer des agents conversationnels basés sur l'intelligence artificielle pour fournir des conseils sur des sujets de santé sensibles, tels que la santé mentale et sexuelle, la nutrition ou les addictions. L'analyse menée avec la Datatilsynet a conclu que les informations collectées par ces outils ne peuvent être considérées comme anonymes en raison du risque de ré-identification des utilisateurs. Par conséquent, le traitement des données doit se conformer au RGPD et nécessite une base juridique valide.

L'autorité a estimé que le consentement, conformément à l'article 6 paragraphe 1 point a et à l'article 9 paragraphe 2 point a du RGPD, constitue une base juridique possible. En revanche, les bases juridiques de l'obligation légale ou de la mission d'intérêt public, prévues à l'article 6 paragraphe 1 points c et e, ne sont pas applicables en l'absence de fondement juridique complémentaire en droit national. Le rapport identifie également des mesures techniques et organisationnelles pour réduire les risques, dont l'efficacité devra être vérifiée par la Direction de la Santé avant toute mise en service. Les conclusions du bac à sable constituent des recommandations et non des décisions formelles.