Kort svar
Ja, det er lovlig. Men det er ikke lov å legge personopplysninger eller taushetsbelagt informasjon inn i et verktøy bedriften ikke har avtale med. Grensen går ved hva dere deler, ikke ved verktøyet selv.
Hvorfor verktøyet i seg selv er greit
Det finnes ingen norsk lov som forbyr ChatGPT eller lignende tjenester på arbeidsplassen. Å bruke en språkmodell til å forbedre en tekst, lage et utkast til en annonse eller oppsummere et offentlig dokument er like lovlig som å bruke en søkemotor. Datatilsynet har heller aldri sagt at verktøyene er forbudt. Det de har sagt, gjentatte ganger, er at reglene for personopplysninger gjelder fullt ut når verktøyene brukes.
Der det faktisk kan gå galt
Problemet oppstår når noen limer inn opplysninger om kunder, ansatte eller pasienter i en gratisversjon. Da sender dere personopplysninger til en leverandør dere ikke har databehandleravtale med, ofte til servere utenfor Europa, og uten kontroll på hva opplysningene brukes til videre. Det samme gjelder forretningshemmeligheter og informasjon underlagt taushetsplikt. Det er dette som kan bryte GDPR, ikke selve bruken av verktøyet.
Skillet i praksis
Trygt uten videre
- Utkast til tekster uten persondata
- Oppsummere offentlige dokumenter
- Idéarbeid, disposisjoner og research
- Forbedre egne formuleringer
Ikke uten avtale og vurdering
- Kundelister og kontaktinformasjon
- Opplysninger om ansatte
- Helseopplysninger og sensitive data
- Forretningshemmeligheter og kontrakter
Hva bør dere gjøre?
Tre ting løser det meste. Skaff en virksomhetsversjon med databehandleravtale, der leverandøren forplikter seg til ikke å trene på dataene deres. Lag enkle retningslinjer for KI-bruk som forteller de ansatte hvor grensen går. Og gi folk grunnleggende opplæring, for de ansatte bruker verktøyene uansett, spørsmålet er bare om de gjør det trygt. Lurer dere på om leverandøren trener på dataene deres, har vi svart på det også.
Vil dere ha hjelp til å sette dette i system, er det en naturlig del av en AI-strategi. Og skal verktøyene kobles mot egne data på en kontrollert måte, er AI-agenter med tilgangsstyring en tryggere vei enn løs klipp og lim.