Må medarbejdere bruge ChatGPT med kundedata?

Et af de mest almindelige spørgsmål fra danske virksomheder: må vi lægge kundeoplysninger ind i ChatGPT? Svaret er hverken et enkelt ja eller nej. Det afhænger af, hvilke oplysninger der er tale om, hvilket abonnement I bruger, og hvilke aftaler I har.

Start med at skelne mellem typer af oplysninger

Personoplysninger er alt, der kan knyttes til en person: navn, mail, telefonnummer, adresse, en kundesag med navn på. Oplysninger uden personreference, fx en anonym problemstilling eller en generel tekst, er sjældent et GDPR-problem. Særlige kategorier, som helbred, er underlagt strengere regler.

De fem spørgsmål, I skal kunne svare på

1. Hvem er udbyderen, og hvilken aftale har vi? Når en AI-udbyder behandler personoplysninger på jeres vegne, skal der som udgangspunkt være en databehandleraftale. Tjek, at den findes for det abonnement, medarbejderne bruger.

2. Hvad må udbyderen bruge dataene til? Vilkårene for gratis private konti og virksomhedsabonnementer er ikke ens, blandt andet om samtaler bruges til at træne modeller. Læs udbyderens vilkår, og gennemgå indstillingerne.

3. Hvor behandles dataene? Ligger de uden for EU/EØS, skal der være et gyldigt overførselsgrundlag, fx standardkontraktbestemmelser eller en anerkendt ordning.

4. Har vi brug for at bruge personoplysningerne? Ofte kan opgaven løses uden. Fjern navne, cpr-numre og kontaktoplysninger, eller skriv "kunde A". Det er den nemmeste risikoreduktion.

5. Kan vi forklare det til den registrerede? Behandlingen skal have et gyldigt grundlag, og jeres privatlivspolitik skal beskrive, hvem der modtager oplysningerne.

Tommelfingerregel: Hvis I ikke ville sende oplysningen til en tilfældig leverandør uden aftale, skal den heller ikke ind i et AI-værktøj uden aftale.

Sådan gør I det praktisk

• Vælg ét eller to godkendte værktøjer med et virksomhedsabonnement, og gør det til standard.

• Skriv i jeres AI-politik, hvilke oplysninger der aldrig må indtastes, med konkrete eksempler.

• Lav en kort oplæring, så medarbejderne ved, hvordan de anonymiserer.

• Gennemgå aftaler og indstillinger, og notér dem, så I kan vise, hvad I har gjort.

Hvornår skal I tale med en jurist?

Ved særlige kategorier af oplysninger, store datamængder eller nye typer behandling kan der være krav om en konsekvensanalyse. Her skal I have juridisk rådgivning. Det, vi hjælper med, er at få værktøjer, opsætning og retningslinjer på plads i praksis. Vi erstatter ikke en advokat.

Vil I have overblik over jeres nuværende brug, kan vi gennemgå den i AI-rådgivning. Eller tag det gratis AI-tjek for et første billede.