Skicka kundregister till ChatGPT: vad som är lagligt

Betrakta denna text som kostnadsfria anteckningar från verkligheten: vi visar hur det brukar gå till, inte hur det nödvändigtvis måste se ut för er. Ni sitter på ett kontor med 50 anställda. En säljare tittar upp från datorn och berättar att han under en månads tid har klistrat in delar av kunddatabasen i ChatGPT för att snabbare ta fram offerter. Det fungerar, han sparar 2 timmar om dagen. Frågan är: är det ens lagligt? För ett polskt företag som är personuppgiftsansvarigt beror svaret på en sak: vilket konto säljaren använder och om företaget har tecknat ett personuppgiftsbiträdesavtal med leverantören. De flesta små och medelstora företag använder kostnadsfria privatkonton, vilket är det sämsta tänkbara alternativet.

AIBild genererad av AI.

Skillnaden är inte marginell. I planerna Free och Plus agerar OpenAI som personuppgiftsansvarig: det finns inget personuppgiftsbiträdesavtal och innehållet kan användas för att träna modellerna. I planerna Team, Enterprise och API agerar OpenAI som personuppgiftsbiträde, tecknar ett Data Processing Addendum och gör det möjligt att stänga av modellträning på kundens data. Detta är det första avgörande beslutet som styr resten. Rättslig grund är vanligtvis art. 6.1 b eller f i GDPR, och för känsliga uppgifter art. 9. Överföring till USA efter kommissionens beslut den 10 juli 2023 baseras på Data Privacy Framework, förutsatt att leverantören är certifierad.

Vad som kan göras den här veckan

Steg 1: kontrollera vilka konton medarbetarna använder. Tidsåtgång: 30 minuter, utförs av företagsledare eller IT. Fråga sälj- och marknadsavdelningen vilka som använder ChatGPT, Claude eller Gemini och om de loggar in med arbetsmejl eller privat mejl. Steg 2: byt till företagskonto. Tidsåtgång: 1 dag, utförs av administratör. För 50 personer är kostnaden cirka 15 000–30 000 PLN per år med Team-planen (25–30 USD per person och månad). I Team och Enterprise tecknar ni DPA och stänger av modellträning i inställningarna. Steg 3: uppdatera behandlingsregistret. Tidsåtgång: 2 timmar, utförs av GDPR-ansvarig. Noteringen ska innehålla: behandlingens namn (t.ex. "Framtagning av offerter med ChatGPT Team"), ändamål, rättslig grund, kategorier av registrerade och personuppgifter, mottagare (OpenAI Ireland Ltd som personuppgiftsbiträde), överföring till USA med stöd av art. 45 i GDPR jämförd med DPF, lagringsperiod (upp till 30 dagar för API, under avtalsperioden för Enterprise) samt säkerhetsåtgärder. Steg 4: uppdatera integritetspolicyn och informera personalen. Tidsåtgång: 2 timmar, utförs av marknadsansvarig eller jurist. Lägg till ett stycke om det nya personuppgiftsbiträdet och påminn via e-post om att endast mata in de uppgifter som krävs för svaret.

Vad du inte ska göra direkt

Köp inte Enterprise direkt: för 50 personer är det oftast onödigt omfattande, Team räcker och prisskillnaden kan vara den dubbla. Implementera inte en lokal open source-modell enbart för att undvika molnet: det är ett projekt som tar månader, medan problemet löses med ett företagskonto på en vecka. Skriv inte en helt ny integritetspolicy från grunden: ett tillägg till den befintliga räcker oftast. Blockera inte medarbetarnas åtkomst till AI helt, då återgår de till privata konton och ni förlorar kontrollen. Och underteckna inte ett DPA utan att kontrollera att leverantören faktiskt finns med i Data Privacy Framework-registret: själva dokumentet räcker inte om certifiering saknas.

AIBild genererad av AI.

Så verifierar du effekten efter två veckor

Ett nyckeltal: andelen anställda som använder AI via ett företagskonto med avstängd modellträning. Avläsningen är enkel: kontrollera i OpenAI:s administrationspanel hur många som loggar in med arbetsmejl och hur många som fortfarande använder privata konton. Om mer än 20% av användarna efter två veckor fortfarande arbetar på gratiskonton har utbildningen inte gett effekt. Då behöver ni ta upp frågan igen eller tekniskt blockera åtkomsten till gratisversioner. Under 20% är en acceptabel nivå i starten. Resten justerar ni nästa månad.

Kostnaderna denna vecka handlar främst om tid: totalt cirka 6 arbetstimmar fördelade på fyra personer. Företagslicenser kostar omkring 15 000–30 000 PLN per år, men jämför det med risken: böter för bristande rättslig grund eller saknat personuppgiftsbiträdesavtal når upp till 20 miljoner EUR eller 4% av årsomsättningen. I praktiken får små och medelstora företag sällan maxsanktioner, men en utredning från dataskyddsmyndigheten kan pågå i månader. Vill ni inte göra detta själva implementerar HEXART sådana konfigurationer hos kunder: från val av abonnemang och signering av DPA till registerföring och teamutbildning. Utan revolutioner, på en vecka.