ChatGPT Plus og Team på jobb: problemet med dataresidens

Når de som har ansvar for IT eller personvern, begynner å lete, finner de nesten alltid det samme: ansatte som bruker private ChatGPT-kontoer til arbeidsoppgaver. Spørsmålet er ikke om det skjer, men hva dere gjør med det. Og det første du må forstå, er at valget av plan avgjør hvor dataene dine havner.

Hvilke planer lagrer data i USA

OpenAI selger flere nivåer, og de skiller seg fra hverandre på ett punkt som sjelden synes i markedsføringen: geografisk datalagring. Free, Plus, Pro og Business mangler et valg for dataresidens innenfor EU, og data lagres i USA. Vil du ha lagring innenfor EU, trenger du Enterprise, Edu eller API-plattformen konfigurert mot en Europe-region.

Det betyr at den mest populære betalte planen blant enkeltansatte, ChatGPT Plus, er nettopp den som ikke kan gi deg EU-residens. Oppgraderingen fra Free til Plus føles som et skritt mot «proffversjonen», men den flytter ikke dataene nærmere Europa.

Trening på innhold: den andre forskjellen

Dataresidens handler om hvor data lagres. Trening handler om hva som skjer med dataene etterpå, og der går det en like viktig grense.

• Forbrukerplaner (Free, Plus, Pro): Innholdet brukes til trening som standard. Du kan reservere deg, men det er et aktivt valg noen må ta.
• Bedrifts- og API-nivåer: Leverandøren trener ikke på kundedata. Det er bygget inn i vilkårene, ikke en innstilling.

Forskjellen blir konkret i det øyeblikket en medarbeider limer inn et kunderegister, en kravspesifikasjon eller en intern rapport i chatten. På en privat Plus-konto går den teksten inn i et system som kan bruke den til trening hvis ingen aktivt har slått det av.

Et scenario fra virkeligheten

Si at en prosjektleder bruker sin private Plus-konto til å oppsummere møtenotater med kundeopplysninger. Innholdet lagres i USA, og hvis ingen har reservert seg, kan det inngå i treningsdata. Ingen har gjort noe galt med vilje, men etter GDPR er personopplysninger da overført til tredjeland uten avtale, uten et kartlagt overføringsgrunnlag og uten at organisasjonen engang vet om det.

Gang det med hundre ansatte, og du har en skygge-IT-situasjon som er umulig å dokumentere i etterkant. Det er derfor forbud uten alternativ sjelden holder: Behovet er der fortsatt, og det finner bare veien rundt policyen.

Policyen som faktisk fungerer

Den vanligste refleksen er å blokkere ChatGPT helt. Den nest vanligste er å ikke gjøre noe. Begge deler er dårlig. En policy som holder over tid, gjør tre ting:

Poenget er å møte behovet, ikke bare begrense det. Hvis åpent markedsføringsmateriell kan bearbeides i hvilket som helst verktøy, men personopplysninger bare i en Enterprise- eller API-løsning med EU-residens, har medarbeiderne en vei som er både tillatt og praktisk.

Slik ruller dere ut det godkjente alternativet

Å tilby et godkjent alternativ er bare halve jobben. Det må også være enklere å bruke enn skyggeveien, ellers vinner bekvemmeligheten. Noen steg som pleier å avgjøre om det slår an:

1. Gjør det lett å komme til. Krever den godkjente kontoen tungvinte innlogginger, mens den private Plus-kontoen er ett klikk unna, kommer folk til å velge Plus. Senk tersklene for det som er tillatt.
2. Vær konkret om hva som kan limes inn hvor. «Bruk sunn fornuft» holder ikke. Gi eksempler: markedsføringstekster i valgfritt verktøy, men kundeopplysninger og avtaler bare i den EU-konfigurerte kontoen.
3. Gi kort og praktisk opplæring. De fleste bryter ikke policyen av ond vilje, men av uvitenhet. En kort gjennomgang av hvorfor dataene forlater EU gjør mer nytte enn et langt policydokument ingen leser.
4. Følg opp uten å jakte. Målet er å styre atferd, ikke å ta folk. Gjør det enkelt å gjøre riktig, så blir behovet for kontroll mindre.

En vanlig fallgruve er å stoppe ved forbudet og tro at saken er løst. Behovet er der fortsatt, og uten et smidig alternativ flytter det bare til neste verktøy ingen overvåker. En annen fallgruve er å låse policyen til et produktnavn: Neste gang leverandøren gir en plan nytt navn, er dokumentet utdatert.

Vilkårene endres: Gjør policyen robust

Plannavn, grenser og funksjoner skiftes ofte ut. Det som gjelder i dag, kan være utdatert neste kvartal. Skriv derfor policyen slik at den peker på egenskaper (EU-residens, ingen trening på kundedata) heller enn på et bestemt produktnavn, og sjekk leverandørens gjeldende vilkår før dere spikrer dokumentet.

Å sette opp denne klassifiseringen og knytte den til riktige tekniske valg er et håndverk i seg selv. Vil dere ha hjelp til å kartlegge hvilke datakategorier som kan håndteres hvor, kan dere lese mer om AI-tjenestene våre eller ta kontakt med en beskrivelse av situasjonen deres, så ser vi på den sammen.