Utsending av kundedatabase til ChatGPT: hva som er lovlig

Se på denne teksten som praktiske notater delt helt gratis: vi viser hvordan det pleier å løses, ikke hvordan det nødvendigvis må se ut hos deg. Se for deg et kontor med 50 ansatte. En selger ser opp fra skjermen og forteller at han den siste måneden har limt inn deler av kundedatabasen i ChatGPT for å skrive tilbud raskere. Det fungerer, han sparer 2 timer daglig. Spørsmålet er: er dette lovlig? For et selskap som er behandlingsansvarlig avhenger svaret av én ting: hva slags konto selgeren bruker, og om selskapet har signert en databehandleravtale med leverandøren. De fleste små og mellomstore bedrifter bruker gratis personlige kontoer, og det er det verste alternativet.

AIBilde generert av AI.

Forskjellen er vesentlig. I Free- og Plus-abonnementene opptrer OpenAI som behandlingsansvarlig: det finnes ingen databehandleravtale, og innholdet kan brukes til å trene modellene. I abonnementene Team, Enterprise og API opptrer OpenAI som databehandler, signerer Data Processing Addendum og lar deg slå av modelltreningsfunksjonen på kundedata. Dette er det første valget som avgjør resten. Behandlingsgrunnlaget er vanligvis GDPR artikkel 6 nr. 1 bokstav b eller f, og for sensitive personopplysninger artikkel 9. Overføring til USA etter EU-kommisjonens beslutning av 10. juli 2023 baserer seg på Data Privacy Framework, forutsatt at leverandøren er sertifisert.

Dette kan gjøres denne uken

Trinn 1: Sjekk hvilke kontoer medarbeiderne bruker. Tidsbruk: 30 minutter, utføres av ledelsen eller IT. Spør ganske enkelt salgs- og markedsavdelingen hvem som bruker ChatGPT, Claude eller Gemini, og om de logger inn med jobb- eller privatadresse. Trinn 2: Gå over til bedriftskonto. Tidsbruk: 1 dag, utføres av administrator. For 50 personer koster et Team-abonnement ca. 15 000–30 000 PLN årlig (25–30 USD per bruker per måned). I Team og Enterprise signerer du en DPA og slår av modelltreningsfunksjonen under innstillinger. Trinn 3: Oppdater protokollen over behandlingsaktiviteter. Tidsbruk: 2 timer, utføres av personvernansvarlig. Oppføringen bør inneholde: navn på aktiviteten (f.eks. «Utarbeidelse av tilbud ved hjelp av ChatGPT Team»), formål, rettslig grunnlag, kategorier av registrerte og personopplysninger, mottaker (OpenAI Ireland Ltd som databehandler), overføring til USA med hjemmel i GDPR artikkel 45 jf. DPF, lagringstid (for API inntil 30 dager, for Enterprise ut avtaleperioden) samt sikkerhetstiltak. Trinn 4: Oppdater personvernerklæringen og informer de ansatte. Tidsbruk: 2 timer, utføres av markedsavdelingen eller jurist. Det holder å legge til ett avsnitt om den nye databehandleren og sende en e-post som minner om at kun nødvendige data skal legges inn i modellen.

Dette bør du ikke gjøre med en gang

Ikke kjøp Enterprise med en gang: for 50 ansatte er det som regel unødvendig dyrt. Team dekker behovet, og prisforskjellen kan være det dobbelte. Ikke sett opp en lokal open source-modell bare for å unngå skyen: det krever måneder med arbeid, mens problemet kan løses med en bedriftskonto på en uke. Ikke skriv en helt ny personvernerklæring fra bunnen av: et tillegg til den eksisterende holder som regel. Ikke blokker tilgangen til AI fullstendig: de ansatte vil gå tilbake til private kontoer, og du mister kontrollen. Og ikke signer en DPA uten å kontrollere at leverandøren faktisk står oppført i Data Privacy Framework-registeret: selve avtaleteksten er ikke gyldig uten en aktiv sertifisering.

AIBilde generert av AI.

Slik bekrefter du effekten etter to uker

Én indikator: andelen ansatte som bruker AI på bedriftskonto med deaktivert modelltrening. Målingen er enkel: i administrasjonspanelet til OpenAI sjekker du hvor mange som logger inn med jobb-e-post, og hvor mange som fortsatt bruker private kontoer. Hvis mer enn 20% av brukerne fortsatt jobber på gratiskontoer etter to uker, betyr det at opplæringen ikke fungerte. Da må dere ta en ny prat eller blokkere tilgangen til gratisversjoner teknisk. Under 20% er et akseptabelt utgangspunkt, resten justerer du inn neste måned.

Kostnadene denne uken består hovedsakelig av tid: totalt ca. 6 timers arbeid fordelt på fire personer. Bedriftslisenser koster rundt 15 000–30 000 PLN årlig, men sammenlign det med risikoen: boten for manglende rettslig grunnlag eller databehandleravtale er opptil 20 millioner EUR eller 4% av den globale omsetningen. I praksis får SMB-er sjelden maksimal straff, men selve tilsynssaken hos personvernmyndighetene kan trekke ut i flere måneder. Hvis dere ikke vil gjøre dette selv, implementerer HEXART slike oppsett for kunder: fra valg av abonnement og signering av DPA til registrering i protokollen og opplæring av teamet. Uten omveltninger, på én uke.