Du limer inn en e-postutveksling med en misfornøyd kunde og ber ChatGPT om et diplomatisk svar. Det er en praktisk måte å bruke verktøyet på. Men et lite spørsmål melder seg: kan IT-avdelingen se dette? Kan sjefen? Svaret er ikke et enkelt ja eller nei, og det avhenger av om du bruker en jobbkonto eller din egen, hvilket verktøy det er, og hva norsk lov faktisk tillater arbeidsgiveren din å gjøre.
Kan sjefen se hva du skriver til ChatGPT? Det korte svaret
Kort svar: bruker du din egen ChatGPT-konto, har arbeidsgiveren ingen teknisk tilgang til samtalene dine. Bruker du en konto bedriften har satt opp, kan en administrator i prinsippet hente fram det du har skrevet, men norsk rett setter tydelige grenser for når det faktisk er lov. De fleste arbeidsgivere har verken systemer eller grunnlag for å lese AI-samtaler i detalj, og vilkårlig gjennomlesing er ikke tillatt. Resten av denne artikkelen handler om hvor de grensene går, og hva du selv kan gjøre for at spørsmålet skal bli mindre viktig.
Du bør likevel oppføre deg som om det du skriver til en jobbkonto kan bli sett, fordi det i prinsippet kan det. Legg deg mellom paranoia og naivitet: du trenger ikke å slutte å bruke AI på jobb, men du bør være bevisst på hva du limer inn.
Privat konto eller jobbkonto avgjør
Alt starter med hvilken konto du er logget inn på. Bruker du din personlige ChatGPT-konto, den du opprettet med din egen e-post, har arbeidsgiveren din ingen teknisk tilgang til samtalene dine. De ligger hos OpenAI, og bedriften har dem ikke. Sjefen kan ikke logge inn og lese dem.
Bruker du derimot en konto bedriften har satt opp og betaler for, altså ChatGPT Enterprise, ChatGPT Business (het tidligere Team), Microsoft Copilot koblet til jobbkontoen din, eller en tilsvarende bedriftsløsning, er bildet et annet. Da er kontoen administrert av bedriften, og administratorer kan i prinsippet ha innsyn i bruken. Det gjelder ikke nødvendigvis hvert eneste ord du skriver, men at kontoen brukes, og i mange tilfeller også innholdet.
Ser IT noe når du bruker privat konto på jobb-PC-en?
En privat konto gjør at samtalene ikke ligger i bedriftens AI-løsning, men maskinen og nettet er fortsatt arbeidsgiverens. Mange virksomheter logger hvilke nettsteder jobb-PC-en besøker, og noen har sikkerhetsprogramvare som kan registrere mer enn det. IT kan altså i prinsippet se at du har vært innom chatgpt.com, uten å se hva du skrev der. Bruker du bedriftens wifi på egen mobil, gjelder det samme for trafikken, men ikke for innholdet i selve samtalen. Vil du holde privat bruk privat, er egen mobil på eget nett det enkleste.
Hva bedriftskontoer faktisk logger
La oss være konkrete om hva som skjer bak kulissene i de vanligste jobbverktøyene.
Microsoft Copilot (jobb): Når Copilot er koblet til bedriftens Microsoft 365, behandles samtalene innenfor bedriftens eget datamiljø. Prompter og svar kan logges i Microsofts etterlevelsesverktøy (Microsoft Purview), som IT- og compliance-ansvarlige kan søke i. Det betyr at en administrator med riktige rettigheter i prinsippet kan finne igjen hva du har spurt Copilot om. Til gjengjeld brukes ikke dataene til å trene Microsofts modeller.
ChatGPT Enterprise og Business (tidligere Team): OpenAI lover at data fra disse kontoene ikke brukes til å trene modellene. Men bedriftsadministratoren har et adminpanel, og med Enterprise finnes det mulighet for å eksportere samtaler og bruke compliance-verktøy. Hvor mye den enkelte bedrift faktisk aktiverer av dette, varierer. Noen logger nesten ingenting, andre har full sporing. Har du ChatGPT-appen på Mac, er det også verdt å vite at funksjonen «Computer History» kan registrere klikk og tastetrykk på maskinen hvis du takker ja til den.
Din private ChatGPT-konto: Samtalene lagres hos OpenAI og brukes som standard til å forbedre modellene, med mindre du skrur det av i innstillingene. Arbeidsgiveren din har ingen tilgang. Vi har skrevet mer utfyllende om nettopp dette i Lagrer ChatGPT det du skriver.
Hva med Copilot i Teams og Gemini i Google Workspace?
Copilot i Teams lager møtereferater og sammendrag som lagres i bedriftens Microsoft 365-miljø, på samme måte som chattene dine med Copilot. Microsoft skriver selv at det du spør Copilot om i et møte kan bli tatt vare på etter bedriftens oppbevaringsregler i Purview, selv om opptak og transkripsjon er slått av. Gemini i Google Workspace følger samme prinsipp: samtalene oppbevares fra 90 dager til ubegrenset, etter hva administratoren velger, og brukerne kan slette dem selv med mindre administrator har sperret for det. Regelen er den samme uansett leverandør: er verktøyet koblet til jobbkontoen din, er det bedriften som eier loggene. Spør IT hvilke av disse funksjonene som faktisk er slått på hos dere, for forskjellene mellom to arbeidsplasser kan være store.
Logging er teknisk mulig i alle bedriftsløsninger. Om den brukes, og hvordan, bestemmes av bedriften din. Verktøyet alene avgjør det ikke.
Hva norsk lov faktisk sier om innsyn
Norsk rett gir arbeidstakere et reelt vern på dette området. Arbeidsgiver kan ikke fritt snoke i det du gjør, selv på jobbutstyr.
Hovedregelen finnes i personopplysningsloven og GDPR, samt i en egen forskrift om arbeidsgivers innsyn i ansattes e-post og elektronisk lagret materiale. For at arbeidsgiver skal ha innsyn i for eksempel din e-postkasse eller lignende personlig arbeidsområde, må ett av to vilkår være oppfylt: enten er det nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten, eller det foreligger begrunnet mistanke om at bruken utgjør grovt brudd på pliktene i arbeidsforholdet eller kan gi grunnlag for oppsigelse eller avskjed.
I tillegg skal du som hovedregel varsles på forhånd og få mulighet til å være til stede. Vilkårlig, rutinemessig gjennomlesing av hva ansatte skriver er altså ikke lov. Datatilsynet har vært tydelig på dette i flere saker.
AI-logger er et nyere fenomen enn e-post, og det er ikke gitt at de faller nøyaktig inn under e-postforskriften. Men prinsippene er de samme: arbeidsgiver må ha et lovlig grunnlag, formålet må være tydelig, og overvåkingen må stå i forhold til hensikten. Skjult, kontinuerlig overvåking av alt ansatte skriver ville vært i strid med både GDPR og arbeidsmiljølovens regler om kontrolltiltak.
Kontrolltiltak må drøftes
Arbeidsmiljøloven krever at kontrolltiltak i virksomheten drøftes med de tillitsvalgte, og at de ansatte informeres om formål, praktiske konsekvenser og hvor lenge tiltaket varer. Innfører bedriften logging av AI-bruk, skal du i utgangspunktet vite om det. Får du ikke informasjon om det, bør du spørre.
Er det lov å bruke ChatGPT på jobb?
Ja, det finnes ingen norsk lov som forbyr deg å bruke ChatGPT eller annen kunstig intelligens (KI) på jobb. Det som begrenser deg er arbeidsgiverens egne retningslinjer, taushetsplikten din og reglene for hvilke personopplysninger som kan deles med en ekstern leverandør. Har arbeidsplassen din en AI-policy, sier den hvilke verktøy som er godkjent og hva som ikke skal limes inn. Finnes det ingen policy der du jobber, er bruken ikke automatisk ulovlig, men da sitter du selv med ansvaret for opplysningene du deler. Er du i tvil, spør nærmeste leder eller IT, og be om å få svaret skriftlig.
Slik bruker du AI trygt uten å lekke sensitiv info
Disse vanene beskytter deg, uansett hva bedriften logger. Grunnregelen er enkel: ikke gi AI-en informasjon den ikke trenger for å løse oppgaven.
Fem vaner som holder deg trygg
Steg 1: Anonymiser før du limer inn.
Bytt ut navn, personnummer, kundenavn, kontonumre og adresser med plassholdere som «Kunde A» eller «Person 1». AI-en gir like godt svar, og du har ikke delt noe identifiserbart.
Steg 2: Beskriv oppgaven i stedet for å dele rådataene.
Trenger du hjelp til å formulere et svar, beskriv situasjonen i stedet for å lime inn hele e-postkjeden med alle detaljer.
Steg 3: Bruk bedriftens godkjente verktøy hvis det finnes.
Har arbeidsgiveren satt opp Copilot eller ChatGPT Enterprise, er det som regel tryggere for sensitiv jobbinfo enn din private konto, fordi dataene holdes innenfor bedriftsavtalen.
Steg 4: Aldri lim inn taushetsbelagt eller sensitiv personinfo.
Helseopplysninger, personnummer, lønnsdata om andre, forretningshemmeligheter og alt som er underlagt taushetsplikt skal ikke inn i et AI-verktøy uten at bedriften uttrykkelig har godkjent det.
Steg 5: Sjekk om bedriften har en AI-policy.
Mange norske arbeidsplasser har fått retningslinjer for AI-bruk det siste året. Du bør lese dem. De forteller deg hva som er lov og hvilke verktøy som er godkjent.
For helsepersonell, saksbehandlere og andre med streng taushetsplikt er terskelen enda lavere: her skal pasient- og brukeropplysninger rett og slett aldri inn i et alminnelig AI-verktøy. Vi har en egen gjennomgang for helsefeltet i AI for sykepleiere og helsepersonell.
Slik finner du ut hva arbeidsplassen din logger
Du trenger ikke være teknisk for å få svar på dette. Be IT eller nærmeste leder om tre ting: hvilke AI-verktøy som er godkjent, om bruken logges, og hvor lenge loggene oppbevares. Spør også om logging av AI-bruk er drøftet som kontrolltiltak med de tillitsvalgte, for det er et krav i arbeidsmiljøloven. Får du ikke svar, kan verneombud eller tillitsvalgt ta det videre på vegne av flere. Et skriftlig svar er mer verdt enn et muntlig, både for deg og for arbeidsgiveren.
Før og etter: samme oppgave, tryggere utført
«Skriv et svar til Kari Nordmann (fnr 010190 12345), som klager på at faktura nummer 4471 på 18 400 kr for behandling ved Storgata Legesenter ikke stemmer.»
«Skriv et høflig svar til en kunde som mener en faktura er feil. Kunden har fått regning for en tjeneste og bestrider beløpet. Be om kontonummer for kreditering og forklar at vi ser på saken innen tre virkedager.»
Den andre varianten gir deg et like brukbart utkast, men uten at et eneste identifiserbart datapunkt har forlatt maskinen din. Det er slik teknikken fungerer i praksis.
Hjelper det å slette samtalen på jobbkontoen?
Som regel ikke på samme måte som på en privat konto. Sletter du en samtale i en bedriftsløsning, forsvinner den fra din egen oversikt, men bedriften kan ha oppbevaringsregler eller etterlevelsesverktøy som tar vare på innholdet lenger. OpenAI skriver at bedriften selv styrer hvor lenge data oppbevares i ChatGPT Enterprise, og tilbyr et eget grensesnitt der bedriften kan hente ut logger til sine egne systemer for innsyn og bevissikring. Hos Google bestemmer administratoren om Gemini-samtaler skal ligge i 90 dager eller på ubestemt tid. Hvor lenge det ligger, og hvem som kan hente det fram, bestemmes altså av bedriftens oppsett og ikke av deg. Derfor er det tryggere å styre hva du limer inn enn å stole på sletteknappen i ettertid. På din egen private konto har du reell kontroll, og vi går gjennom sletting, minne og treningsinnstillinger steg for steg i Lagrer ChatGPT det du skriver.
Spørsmål mange stiller
Kan arbeidsgiver bruke AI-logger som grunnlag for oppsigelse?
I prinsippet kan opplysninger fra lovlig innsyn brukes, men da må innsynet i seg selv ha vært lovlig gjennomført, med grunnlag og varsling. Innsyn hentet i strid med reglene kan bli underkjent, og ulovlig overvåking kan gi arbeidsgiver problemer. Du blir normalt ikke rammet av det.
Hva om jeg bruker min egen ChatGPT på min egen mobil i lunsjen?
Da er du på din egen konto, ditt eget nett og ditt eget utstyr. Arbeidsgiveren har ingen teknisk tilgang. Men taushetsplikten din gjelder fortsatt: du kan ikke lime inn konfidensiell jobbinfo bare fordi du bruker privat utstyr.
Er bedriftens Copilot tryggere enn min private ChatGPT?
For sensitiv jobbinfo som skal behandles i jobbsammenheng, som regel ja, fordi dataene holdes innenfor bedriftens avtale og ikke brukes til modelltrening. Men bedriften kan til gjengjeld ha innsyn i bruken. Her må du veie ditt eget personvern opp mot bedriftens behov for datasikkerhet.
Dette bør du gjøre videre
Bruk privat konto til private og ufarlige oppgaver, bruk bedriftens godkjente verktøy til jobbinnhold, og anonymiser alltid det som er sensitivt. Da spiller det mindre rolle hvem som logger hva. Vil du ha en bredere innføring i å ta i bruk AI på arbeidsplassen på en forsvarlig måte, har vi samlet det i AI på jobben.
