Vad får du klistra in i en chatt? GDPR i praktiken på jobbet

Du har ett mejl från en kund, ett protokoll från ett medarbetarsamtal, eller en lista över sökande till en tjänst. Du vill att en chatt sammanfattar det, kortar det eller hittar ett mönster i det. Frågan du borde ställa innan du klistrar in det är inte om AI är tillåtet på din arbetsplats. Den är om det du håller på att klistra in är en personuppgift, och om just det här verktyget är rätt ställe för den.

Det är inte samma fråga som AI-förordningen

EU:s AI-förordning, som vi gått igenom i en annan artikel, reglerar vad AI-system används till och hur höga riskerna är. GDPR reglerar något annat: personuppgifter, oavsett vilket verktyg som hanterar dem. Ett kalkylark med kundnamn omfattas av exakt samma regelverk som samma namn inklistrat i en chatt. Skillnaden är att ingen tvekar innan de öppnar ett kalkylark — det känns inte som att skicka något iväg. En chatt gör det, för det är precis vad den gör.

Vad som räknas som en personuppgift

Vidare än de flesta tror. Ett namn, ett personnummer, en mejladress, ett IP-nummer, en bild på ett ansikte — men också sådant som inte är unikt i sig men blir det i sammanhanget. "Ekonomichefen på det företaget som precis fick tvillingar" pekar ut en identifierbar person lika säkert som ett namn gör. Går texten att koppla till en levande, identifierbar människa är den en personuppgift, oavsett hur den ser ut.

Den kategori som kräver att du stannar upp

GDPR sätter en högre tröskel för det som kallas särskilda kategorier av personuppgifter — uppgifter som kan användas för att diskriminera eller skada någon om de hamnar fel. Hit hör:

• Hälsa — sjukdomar, diagnoser, sjukskrivningar, medicinering.
• Etniskt ursprung.
• Religiös eller filosofisk övertygelse.
• Politiska åsikter.
• Fackligt medlemskap.
• Sexuell läggning eller sexualliv.
• Genetiska och biometriska uppgifter som används för att identifiera en person.

Uppgifter om brottmålsdomar och lagöverträdelser regleras separat, men med samma skärpa. Ett kundärende som nämner en sjukskrivning, ett rekryteringsunderlag som nämner facklig tillhörighet, en incidentrapport som nämner någons sexuella läggning — allt sådant hör till kategorin där du tänker två gånger, inte en.

Vem som bär ansvaret — och vem som inte slipper undan

Det formella ansvaret ligger nästan alltid hos arbetsgivaren, som är personuppgiftsansvarig. Det är arbetsgivaren som ska ha en laglig grund, informera de berörda och se till att verktygen som används uppfyller kraven. Det betyder inte att du som anställd är skyddad av att bara följa vanan: klistrar du in kunduppgifter i ett privat AI-konto som arbetsgivaren varken känner till eller godkänt, agerar du utanför de instruktioner som gör arbetsgivarens ansvar hanterbart. Det är den typen av händelse som brukar sluta med en policy ingen får bryta mot igen.

Gratiskontot är inte samma verktyg som firmans

Det här är distinktionen som oftast saknas i råden som cirkulerar. Flera stora chattjänsters gratis- och privatnivåer använder som standard det du skriver för att träna framtida modeller, om du inte aktivt stänger av det i inställningarna. Företags- och enterprisenivåer gör i regel motsatsen: data undantas från träning som standard, och de kommer ofta med ett personuppgiftsbiträdesavtal som arbetsgivaren tecknat och som reglerar exakt vad leverantören får och inte får göra med det som klistras in. Ett privat gratiskonto har inget sådant avtal. Att klistra in en kunds uppgifter i ett konto utan biträdesavtal är en annan, större risk än att göra det i ett verktyg arbetsgivaren tecknat avtal för — även om gränssnittet ser identiskt ut.

Var datan faktiskt hamnar

De flesta stora AI-leverantörerna kör sina modeller i USA, vilket gör varje inklistring till en överföring av personuppgifter utanför EU/EES. Det är tillåtet, men bara under vissa förutsättningar: antingen finns ett adekvansbeslut som täcker just den mottagaren — vilket gäller för leverantörer som är certifierade under EU-US Data Privacy Framework — eller så krävs andra skyddsåtgärder, till exempel standardavtalsklausuler. Det är arbetsgivarens jobb att ha kontrollerat detta innan ett verktyg godkänns för arbetet, inte något du kan avgöra från chattfönstret. Är du osäker på vilken status ett verktyg har, fråga din chef eller organisationens dataskyddsombud innan du använder det till något känsligt.

Den här texten beskriver hur reglerna är uppbyggda. Den ersätter inte juridisk rådgivning eller er organisations egen bedömning — hör med ert dataskyddsombud eller IMY för det som gäller er specifika situation.

Tre frågor innan du klistrar in det

1. Går det att korta bort identiteten?

   Ta bort namn, personnummer och andra unika detaljer innan du klistrar in. Frågan du ställer till modellen handlar oftast om innehållet, inte om vem det gäller.

2. Är det en känslig uppgift?

   Hälsa, facklig tillhörighet, sexuell läggning och liknande kräver en högre tröskel än ett namn. Är du osäker, fråga innan — inte efter.

3. Är verktyget godkänt för det här, eller är det ditt privata konto?

   Ett verktyg din arbetsgivare har tecknat avtal för är inte samma sak som appen du själv laddat ned. Använd det ena för jobbet och håll det andra för dig själv.

Det vanligaste misstaget

Är sällan att någon medvetet läcker något. Det är att någon kopierar in ett helt kundmejl i sitt privata AI-konto för att spara fem minuter, utan att tänka på att mejlet innehåller ett namn, en adress och en sjukskrivning i sidled. Det tar exakt lika lång tid att först ta bort de raderna.

Ett klistra in-kommando känns som ingenting. Juridiskt är det en överföring av personuppgifter till en tredje part. Behandla det som vad det är, inte som vad det känns som.