Har man lov til å legge kundedata inn i KI-systemer?

Til orientering Dette innlegget plasserer temaet og erstatter ingen juridisk rådgivning. Hva som gjelder for deres konkrete tilfelle, avhenger av dataene deres, formålet deres og leverandøren deres – og bør vurderes én gang av noen som har ansvaret for det.

Det viktigste kort

Personopplysninger kan gå inn i et KI-system når det finnes en databehandleravtale, behandlingsstedet er avklart og bruk til trening er utelukket i avtalen.
En innstilling i kontoen holder ikke. Det som teller, er den avtalefestede forsikringen – innstillinger lar seg endre, også ved et uhell.
Gratis tilganger og privatkontoer er i utgangspunktet uegnet for kundedata, uavhengig av leverandør.
Det vanligste bruddet er ikke den bevisste beslutningen, men den ansatte som limer inn en kundetekst for å få den omformulert.

Knapt noe tema skaper så mye usikkerhet i bedrifter – og så få konkrete regler. I praksis går det som regel slik: noen bruker et KI-verktøy i det daglige arbeidet, limer på et tidspunkt inn en kundehenvendelse, og ingen har noen gang fastsatt om det er tillatt.

Den gode nyheten: rettstilstanden er klarere enn diskusjonsnivået skulle tilsi. Det dreier seg om tre spørsmål.

Lysende partikler omsluttes av et gjennomskinnelig hylster, andre driver forbi på utsiden — Grensen går ikke mellom tillatt og forbudt, men mellom regulert og uregulert.

De tre spørsmålene

Hva som må være avklart før første innlegging

1. Finnes det en databehandleravtale?: Den som lar personopplysninger behandles av en tjenesteleverandør, trenger en avtale om det – i EU etter artikkel 28 i GDPR, i Sveits etter den reviderte personvernloven. Uten denne avtalen er behandlingen ulovlig, uavhengig av hvor sikkert leverandøren arbeider teknisk.
2. Hvor behandles dataene?: Innenfor EU henholdsvis Sveits er det uproblematisk. Ved behandling i tredjeland trengs et bærekraftig grunnlag – for eksempel en tilstrekkelighetsbeslutning eller standardavtalevilkår. Kontroller hva leverandøren forsikrer om dette, og om vedkommende tilbyr et behandlingssted i Europa.
3. Er bruk til trening utelukket?: Punktet der forretnings- og privattilganger skiller seg tydeligst. Det avgjørende er ikke en bryter i innstillingene, men en avtalefestet forsikring. En bryter kan skrus om, av én person, ved et uhell, ved et produktbytte.

Visste du at …?

GDPR gjelder også for sveitsiske bedrifter så snart de behandler data om personer i EU – for eksempel hos kunder, interessenter eller nyhetsbrevmottakere fra EU-området. Å ha sete i Sveits fritar ikke alene.

Omvendt gjelder den reviderte sveitsiske personvernloven for behandlinger med tilknytning til Sveits. Mange bedrifter må altså oppfylle begge deler – noe som i praksis stort sett betyr å innrette seg etter den strengeste målestokken.

Hva som overhodet er personopplysninger

Her ligger den vanligste feilvurderingen. Personopplysning er ikke bare navnet i et felt, men alt som gjør en person identifiserbar.

Utvetydig personopplysning

Navn, e-postadresser, telefonnumre, adresser, kundenumre i forbindelse med et navn, fotografier.

Behandling: kun innenfor en regulert ramme

Ofte oversett

En kundehenvendelse ordrett. Et samtalereferat. Et tilbud med firmanavn og kontaktperson. En klage-e-post som skal omformuleres.

Behandling: den samme som over – dette undervurderes jevnlig

Stort sett uproblematisk

Aggregerte tall uten enkeltkobling. Offentlig tilgjengelige markedsdata. Egne tekster uten personkobling.

Behandling: etter eget skjønn

Særlig beskyttelsesverdig

Helseopplysninger, opplysninger om religion, fagforeningstilhørighet, seksualliv, biometriske data. Her gjelder tydelig strengere krav.

Behandling: ikke uten juridisk vurdering i hvert enkelt tilfelle

Hva dere bør spørre leverandøren om

To geometriske flater møtes langs en presis lyssøm — Avtalen er den egentlige fugen. Uten den passer ingenting sammen, uansett hvor god teknikken er.

Disse seks spørsmålene lar seg stille per e-post og bør besvares skriftlig. Den som viker unna ett av dem, har besvart spørsmålet.

Henvendelse til leverandøren

1. Stiller dere en databehandleravtale etter art. 28 i GDPR
   til rådighet? Send oss gjerne standardavtalen.

2. I hvilke land behandles og lagres dataene?
   Tilbyr dere behandling utelukkende innenfor EU?

3. Er bruken av våre innlegg til trening av modeller
   utelukket i avtalen – ikke bare via en kontoinnstilling?

4. Hvor lenge lagres innlegg og svar, og hvordan
   kan vi få dem slettet?

5. Hvilke underleverandører bruker dere, og hvordan blir
   vi informert om endringer?

6. Hvordan støtter dere oss ved innsyns- og slettekrav
   fra berørte personer?

Spørsmål tre er det avgjørende. «Vi bruker ikke dataene deres til trening» i en markedsuttalelse er noe annet enn den samme uttalelsen i avtalen.

Regelen som faktisk fungerer

Fra praksis

De fleste bruddene oppstår ikke gjennom en bevisst beslutning i ledelsen, men i hverdagen: noen har en vanskelig kunde-e-post foran seg og limer den inn for å få formulert et svar. Det er forståelig, effektivt – og avhengig av rammen ulovlig.

Det som virker i praksis, er ingen opplæring i rettsgrunnlag, men én eneste tydelig regel som alle kan huske. Hos oss lyder den: det som inneholder et navn, går bare inn i det godkjente systemet. Alt annet er fritt.

Den formuleringen er juridisk ikke fullstendig – det finnes personopplysninger uten navn. Men den blir fulgt, og det er mer verdt enn en korrekt regel ingen husker.

Tips Når et godkjent system står klart, synker antallet brudd tydelig mer enn ved noen instruks. Grunnen er enkel: de fleste mennesker omgår ikke en regel av trass, men fordi de vil få gjort jobben sin og ikke ser noen tillatt vei.

Anonymisering som mellomvei

Der ikke noe godkjent system står til rådighet, lar personkoblingen seg ofte fjerne før teksten legges inn. Av «Herr Meier fra byggefirmaet Schmidt klager over den forsinkede leveringen 12. juni» blir «En kunde klager over en forsinket levering».

To forbehold hører med. For det første: hvis nok enkeltheter blir igjen, er personen identifiserbar likevel – stedsangivelser, bransjebetegnelser og datoer i kombinasjon holder ofte til det. For det andre: det som er vesentlig for oppgaven, kan ikke falle bort, ellers er resultatet verdiløst.

Som tommelfingerregel: for formuleringshjelp fungerer anonymisering godt. For alt som trenger det konkrete tilfellet, fungerer det ikke – der fører ingen vei utenom et regulert system.

Konklusjon

Spørsmålet lar seg besvare, og det lar seg besvare før noe skjer. Avklare tre punkter, inngå en avtale, godkjenne et system og formulere en regel man kan huske – det er en ettermiddags arbeid og en regning fra advokaten.

Hva det koster å la være, lar seg dårligere tallfeste. Bøtenivået er det ene. Det andre er kunden som spør hva som har skjedd med dataene sine – og som man ikke kan gi et holdbart svar.

Vanlige spørsmål

Har man lov til å legge kundedata inn i ChatGPT?

Bare med en databehandleravtale, avklart behandlingssted og avtalefestet utelukkelse av bruk til trening. For gratis tilganger og privatkontoer er disse forutsetningene som regel ikke oppfylt. For bedriftstilbud lar de seg kontrollere – og det hører hjemme før den første innleggingen.

Gjelder GDPR for sveitsiske bedrifter?

Ja, så snart data om personer i EU behandles. Å ha sete i Sveits fritar ikke alene. I tillegg gjelder den reviderte sveitsiske personvernloven. Mange bedrifter må oppfylle begge deler og innretter seg derfor etter den strengeste målestokken.

Holder det å slå av trening i innstillingene?

Nei. En innstilling lar seg endre – av én person, ved et uhell eller ved et produktbytte. Det som teller, er den avtalefestede forsikringen. Den som bare legger om bryteren, har ikke noe holdbart grunnlag.

Hva regnes som en personopplysning?

Alt som gjør en person identifiserbar – ikke bare navnet. Dit hører også kundehenvendelser ordrett, samtalereferater og tilbud med kontaktperson. Nettopp disse tilfellene overses hyppigst i hverdagen.

Hjelper det å anonymisere teksten på forhånd?

For formuleringsoppgaver ja. Viktig er at personen etterpå faktisk ikke lenger er identifiserbar – sted, bransje og dato gir i kombinasjon ofte en kobling igjen. For oppgaver som trenger det konkrete tilfellet, er anonymisering ingen erstatning for en regulert ramme.

Hva er den mest praktiske regelen for et team?

En som lar seg huske: det som inneholder et navn, går bare inn i det godkjente systemet. Juridisk ikke fullstendig, men fulgt i hverdagen – og det virker mer enn en korrekt regel ingen husker. Viktigere enn regelen er imidlertid at et godkjent system i det hele tatt står klart.

Markedsføring som setter seg opp selv

Betaen for Studio Engine er åpen. Sikre deg en plass og bidra fra starten.

Bli med i betaen →

← Tilbake til oversikten