Overførsel af en kundedatabase til ChatGPT: hvad er lovligt

Betragt denne tekst som en praktikers gratis noter: vi viser, hvordan det typisk fungerer, ikke hvordan det absolut skal gøres hos jer. Forestil Dem et kontor med 50 medarbejdere. En sælger kigger op fra sin bærbare computer og fortæller, at han i en måned har indsat dele af kundedatabasen i ChatGPT for hurtigere at udarbejde tilbud. Det virker, og det sparer ham for 2 timer dagligt. Spørgsmålet er: er det overhovedet lovligt? I en virksomhed, der er dataansvarlig, afhænger svaret af ét afgørende punkt: hvilken konto sælgeren bruger, og om virksomheden har indgået en databehandleraftale med leverandøren. De fleste små og mellemstore virksomheder benytter gratis privatkonti, hvilket er det værst tænkelige scenarie.

AIBillede genereret af AI.

Forskellen er ikke blot kosmetisk. I abonnementerne Free og Plus optræder OpenAI som dataansvarlig: der foreligger ingen databehandleraftale, og data kan bruges til træning af modeller. I abonnementerne Team, Enterprise og API fungerer OpenAI som databehandler, underskriver et Data Processing Addendum og giver mulighed for at fravælge træning på kundens data. Dette er den første og afgørende afklaring. Det juridiske grundlag er som regel GDPR art. 6, stk. 1, litra b eller f, og for følsomme oplysninger art. 9. Overførsel til USA efter EU-Kommissionens afgørelse af 10. juli 2023 baseres på Data Privacy Framework, forudsat at leverandøren er certificeret.

Hvad der kan gøres i denne uge

Trin 1: Undersøg, hvilke konti medarbejderne benytter. Tid: 30 minutter, udføres af ledelsen eller IT. Spørg salgs- og marketingafdelingen, hvem der bruger ChatGPT, Claude eller Gemini, og om de logger ind med arbejdsmail eller privat mail. Trin 2: Skift til en virksomhedskonto. Tid: 1 dag, udføres af administratoren. For 50 personer koster et Team-abonnement ca. 15.000–30.000 PLN årligt (25–30 USD pr. bruger pr. måned). Med Team og Enterprise indgår I en DPA og deaktiverer træning i indstillingerne. Trin 3: Opdater fortegnelsen over behandlingsaktiviteter. Tid: 2 timer, udføres af den GDPR-ansvarlige. Registreringen skal indeholde: aktivitetens navn (f.eks. "Udarbejdelse af tilbud med ChatGPT Team"), formål, retsgrundlag, kategorier af registrerede personer og data, modtager (OpenAI Ireland Ltd som databehandler), overførsel til USA i henhold til GDPR art. 45 jf. DPF, opbevaringsperiode (for API op til 30 dage, for Enterprise i aftaleperioden) samt sikkerhedsforanstaltninger. Trin 4: Opdater privatlivspolitikken, og orienter medarbejderne. Tid: 2 timer, udføres af marketing eller juridisk afdeling. Tilføj et afsnit om den nye databehandler, og send en e-mail til medarbejderne med påmindelse om kun at uploade oplysninger, der er strengt nødvendige.

Hvad man ikke skal gøre med det samme

Køb ikke straks et Enterprise-abonnement: til 50 personer er det ofte overdimensioneret, Team rækker fuldt ud, og prisforskellen kan være det dobbelte. Implementer ikke en lokal open source-model blot for at undgå skyen: det er et projekt på flere måneder, mens problemet kan løses med en virksomhedskonto på en uge. Skriv ikke en ny privatlivspolitik fra bunden: et tillæg til den eksisterende er normalt nok. Bloker ikke medarbejdernes adgang til AI fuldstændigt, da de blot vil vende tilbage til private konti, hvorved kontrollen mistes. Underskriv ikke en DPA uden at kontrollere, om leverandøren reelt fremgår af Data Privacy Frameworks søgedatabase: dokumentet alene er utilstrækkeligt uden aktiv certificering.

AIBillede genereret af AI.

Sådan kontrollerer du efter to uger, at det virker

Én metrik: andelen af medarbejdere, der bruger AI på en virksomhedskonto med modeltræning slået fra. Aflæsningen er enkel: i OpenAI-administrationspanelet kontrollerer I, hvor mange der logger ind med deres arbejdsmail, og hvor mange der stadig bruger private konti. Hvis over 20% af brugerne stadig arbejder på gratis konti efter to uger, er det et tegn på, at oplæringen ikke virkede, og at I skal genoptage dialogen eller teknisk blokere adgangen til gratisversionerne. Under 20% er acceptabelt til en start. Resten følger I op på i den efterfølgende måned.

Omkostningerne i denne uge er primært tid: i alt ca. 6 arbejdstimer fordelt på fire personer. Virksomhedslicenser koster i omegnen af 15.000–30.000 PLN årligt, men sammenlign det med risikoen: Bøden for manglende retsgrundlag eller manglende databehandleraftale når op på 20 mio. EUR eller 4% af den globale årsomsætning. I praksis får SMV'er sjældent maksimale sanktioner, men selve tilsynssagen hos datatilsynet kan trække ud i månedsvis. Hvis I ikke ønsker at gøre det selv, implementerer HEXART sådanne konfigurationer for kunder, lige fra valg af abonnement og underskrivelse af DPA til registrering i fortegnelsen og medarbejderkursus. Uden revolutioner, på en uge.