Kort svar: Ikke uten videre. Ansatte bør ikke legge personopplysninger om kunder, kolleger eller andre personer inn i ChatGPT eller tilsvarende AI-tjenester med mindre virksomheten har godkjent løsningen og vurdert at behandlingen er lovlig og sikker.
Det er ikke nødvendigvis forbudt å behandle personopplysninger med AI. Men virksomheten må ha kontroll på hvilke opplysninger som deles, hvordan de behandles, og hva leverandøren kan bruke dem til.
Hva regnes som personopplysninger?
Personopplysninger er informasjon som direkte eller indirekte kan knyttes til en person. Det kan for eksempel være:
- Navn, e-postadresser og telefonnumre.
- Kundeopplysninger og personalinformasjon.
- Møtereferater som omtaler identifiserbare personer.
- Helseopplysninger, økonomiske forhold og andre sensitive opplysninger.
Også en tekst uten navn kan inneholde personopplysninger dersom det er mulig å identifisere personen ut fra sammenhengen.
Hva bør virksomheten undersøke?
Før ansatte bruker en AI-tjeneste til å behandle personopplysninger, bør virksomheten avklare:
- Behandlingsgrunnlag: Har virksomheten et lovlig grunnlag for å behandle opplysningene til dette formålet?
- Databehandleravtale: Krever behandlingen en slik avtale med leverandøren, og er den i så fall på plass?
- Bruk av data: Kan leverandøren bruke opplysningene til egne formål eller modelltrening?
- Sikkerhet: Hvordan lagres og beskyttes informasjonen, og hvem kan få tilgang?
- Nødvendighet: Kan oppgaven løses uten personopplysninger eller med mindre identifiserende informasjon?
En bedriftsavtale gir ofte bedre kontroll enn en privat AI-konto, men er ingen automatisk garanti for at all behandling er lovlig.
Hva gjør vi hvis en ansatt allerede har delt personopplysninger?
Be den ansatte stoppe videre deling og varsle virksomhetens IT- eller personvernansvarlige.
Undersøk hvilke opplysninger som ble delt, hvilken tjeneste som ble brukt, og hvilke muligheter som finnes for sletting eller begrensning av videre behandling.
Virksomheten må vurdere om hendelsen utgjør et brudd på personopplysningssikkerheten, om den skal dokumenteres, og om det er nødvendig å varsle Datatilsynet eller de berørte personene.
Ikke anta at sletting av samtalen automatisk fjerner alle kopier av informasjonen.
Vår anbefaling
Virksomheter bør ha tydelige retningslinjer som beskriver hvilke AI-tjenester ansatte kan bruke, og hva slags informasjon som aldri skal legges inn uten særskilt godkjenning.
En enkel hovedregel: Ikke legg kundeinformasjon, personalopplysninger eller konfidensielle dokumenter inn i en AI-tjeneste før virksomheten har godkjent både verktøyet og den aktuelle bruken.