Det korte svaret
ChatGPT er trygt for det meste av det daglige arbeidet hvis bedriften bruker en bedriftskonto og følger noen enkle regler. Med en gratis- eller privatkonto bør du være forsiktig. Det du skriver, kan brukes til å trene AI-en hvis du ikke slår det av, og du har ingen databehandleravtale med selskapet.
Dette er praktiske råd fra en som setter opp disse verktøyene, ikke juridisk rådgivning. Behandler dere helseopplysninger, opplysninger om barn eller annen sensitiv informasjon, bør dere snakke med en advokat eller personvernombudet deres.
Hva skjer med det du skriver?
Når du skriver i ChatGPT eller Claude, sendes teksten til serverne til AI-selskapet for å bli besvart. Tre ting avgjør hvor trygt det er:
- Brukes det til trening? På ChatGPT Business, Claude Team og Enterprise-planene gjør det ikke det som standard. På gratis- og privatkontoer kan det brukes, med mindre du slår det av i innstillingene.
- Hvor lenge lagres det? Samtalene lagres så du kan se dem senere. På bedriftsplanene har administratoren mer kontroll over dette.
- Finnes det en avtale? Når et annet selskap behandler personopplysninger for deg, krever personvernforordningen (GDPR) en databehandleravtale. OpenAI og Anthropic tilbyr det på bedriftsplanene sine. Privatkontoer har ikke det.
Hva GDPR betyr her, på godt norsk
Legger du inn personopplysninger, for eksempel navnet, e-postadressen eller telefonnummeret til en kunde, eller noe annet som kan knyttes til en person, gjelder personvernreglene på samme måte som for e-posten eller regnskapssystemet ditt. Det betyr at:
- du må ha et godt grunnlag for å bruke opplysningene (som regel at du behandler en henvendelse fra kunden selv)
- du trenger databehandleravtalen som er nevnt over
- personvernerklæringen deres bør si hvilke tjenester dere bruker til å behandle opplysninger
- opplysninger som sendes ut av EØS, må ha et rettslig grunnlag; de store AI-selskapene bruker EUs standard personvernbestemmelser og rammeavtalen mellom EU og USA til dette
Bruker du verktøyet til tekst uten personopplysninger, som en produkttekst eller en stillingsannonse, blir det langt færre spørsmål.
Datatilsynet har mer om kunstig intelligens og personvern på datatilsynet.no.
Enkle regler for de ansatte
Disse fungerer for de fleste små bedrifter:
- Bruk bedriftskontoer i jobben, aldri gratis privatkontoer.
- Ta bort det du ikke trenger. «Lag et svar til en kunde som vil flytte leveringen» fungerer like godt uten kundens navn og adresse.
- Ingen sensitive opplysninger uten at det er sjekket først: helse, privatpersoners økonomi, fødselsnummer og passord.
- En person sjekker alt som går til en kunde.
- Slå av trening på privatkontoer som brukes i jobben.
Skriv dem ned i retningslinjer for AI-bruk på én side, så alle kjenner dem.
Hva med EUs KI-forordning?
KI-forordningen (AI Act) legger mest plikter på selskaper som lager AI, og på bruk med høy risiko, som AI som avgjør hvem som får jobb eller lån. Den skal også gjelde i Norge gjennom EØS-avtalen. En liten bedrift som bruker ChatGPT til å skrive e-post, havner i den laveste kategorien. Én plikt gjelder bredt: Ansatte som bruker AI på jobben, bør vite nok til å bruke den fornuftig. Korte retningslinjer og litt opplæring dekker det.
Sjekkliste
| Spørsmål | Godt svar |
|---|---|
| Hvilken plan bruker vi? | En bedriftsplan (Team, Business eller Enterprise) |
| Er trening på dataene våre slått av? | Ja, det er standard på bedriftsplanene |
| Har vi en databehandleravtale? | Ja, godtatt i administrasjonen eller i vilkårene |
| Nevner personvernerklæringen det? | Ja, med én setning som navngir tjenesten |
| Vet de ansatte hva de ikke skal lime inn? | Ja, det står i retningslinjene våre |
Kan du svare ja på alle fem, er dere bedre stilt enn de fleste.
Vanlige spørsmål
Følger ChatGPT GDPR?
ChatGPT Business og Enterprise kan brukes i tråd med GDPR: De trener ikke på dataene deres som standard, og de har en databehandleravtale. Gratis- og privatkontoer har ikke en slik avtale, så unngå dem for personopplysninger.
Bruker ChatGPT dataene mine til trening?
Ikke på ChatGPT Business eller Enterprise, som standard. På gratis- og privatkontoer kan det skje, med mindre du slår det av i innstillingene. Claude fungerer på samme måte.
Hva sier Datatilsynet om kunstig intelligens?
Datatilsynet har veiledning om kunstig intelligens og personvern på datatilsynet.no. Hovedpoenget for små bedrifter er det samme som her: Bruk bare de personopplysningene du trenger, og ha avtale med leverandøren.
Riktig fra starten
Personvern er noe av det første jeg går gjennom i AI-kartleggingen: hvilken plan, hvilke innstillinger og hva som bør stå i personvernerklæringen. Du går derfra med svarene, ikke med en liste over bekymringer.
Vil du ha hjelp med dette?
Dette er det jeg gjør for små bedrifter. Se AI-kartleggingen, eller start med kartleggingen på 90 minutter.