Du limer inn en e-postutveksling med en misfornøyd kunde og ber ChatGPT om et diplomatisk svar. Det er en praktisk måte å bruke verktøyet på. Men et lite spørsmål melder seg: kan IT-avdelingen se dette? Kan sjefen? Svaret er ikke et enkelt ja eller nei, og det avhenger av om du bruker en jobbkonto eller din egen, hvilket verktøy det er, og hva norsk lov faktisk tillater arbeidsgiveren din å gjøre.
Først det grunnleggende: i de fleste tilfeller sitter ikke sjefen din og leser AI-samtalene dine i sanntid. Men muligheten for innsyn finnes, den varierer stort mellom løsninger, og reglene for når arbeidsgiver har lov til å bruke den er strengere enn du kanskje tror. Her er hvordan det henger sammen i praksis.
Privat konto eller jobbkonto avgjør
Alt starter med hvilken konto du er logget inn på. Bruker du din personlige ChatGPT-konto, den du opprettet med din egen e-post, har arbeidsgiveren din ingen teknisk tilgang til samtalene dine. De ligger hos OpenAI, og bedriften har dem ikke. Sjefen kan ikke logge inn og lese dem.
Bruker du derimot en konto bedriften har satt opp og betaler for, altså ChatGPT Enterprise, ChatGPT Business (het tidligere Team), Microsoft Copilot koblet til jobbkontoen din, eller en tilsvarende bedriftsløsning, er bildet et annet. Da er kontoen administrert av bedriften, og administratorer kan i prinsippet ha innsyn i bruken. Det gjelder ikke nødvendigvis hvert eneste ord du skriver, men at kontoen brukes, og i mange tilfeller også innholdet.
Det finnes også en felle her: selv om du bruker din private ChatGPT-konto, kan bedriften ha innsyn i selve nettverkstrafikken eller ha overvåkingsprogramvare på maskinen. Slik overvåking er en annen inngang til det du gjør enn AI-kontoen din, men den finnes.
Hva bedriftskontoer faktisk logger
La oss være konkrete om hva som skjer bak kulissene i de vanligste jobbverktøyene.
Microsoft Copilot (jobb): Når Copilot er koblet til bedriftens Microsoft 365, behandles samtalene innenfor bedriftens eget datamiljø. Prompter og svar kan logges i Microsofts etterlevelsesverktøy (Microsoft Purview), som IT- og compliance-ansvarlige kan søke i. Det betyr at en administrator med riktige rettigheter i prinsippet kan finne igjen hva du har spurt Copilot om. Til gjengjeld brukes ikke dataene til å trene Microsofts modeller.
ChatGPT Enterprise og Business (tidligere Team): OpenAI lover at data fra disse kontoene ikke brukes til å trene modellene. Men bedriftsadministratoren har et adminpanel, og med Enterprise finnes det mulighet for å eksportere samtaler og bruke compliance-verktøy. Hvor mye den enkelte bedrift faktisk aktiverer av dette, varierer. Noen logger nesten ingenting, andre har full sporing. Har du ChatGPT-appen på Mac, er det også verdt å vite at funksjonen «Computer History» kan registrere klikk og tastetrykk på maskinen hvis du takker ja til den.
Din private ChatGPT-konto: Samtalene lagres hos OpenAI og brukes som standard til å forbedre modellene, med mindre du skrur det av i innstillingene. Arbeidsgiveren din har ingen tilgang. Vi har skrevet mer utfyllende om nettopp dette i Lagrer ChatGPT det du skriver.
Logging er teknisk mulig i alle bedriftsløsninger. Om den brukes, og hvordan, bestemmes av bedriften din. Verktøyet alene avgjør det ikke.
Hva norsk lov faktisk sier om innsyn
Norsk rett gir arbeidstakere et reelt vern på dette området. Arbeidsgiver kan ikke fritt snoke i det du gjør, selv på jobbutstyr.
Hovedregelen finnes i personopplysningsloven og GDPR, samt i en egen forskrift om arbeidsgivers innsyn i ansattes e-post og elektronisk lagret materiale. For at arbeidsgiver skal ha innsyn i for eksempel din e-postkasse eller lignende personlig arbeidsområde, må ett av to vilkår være oppfylt: enten er det nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten, eller det foreligger begrunnet mistanke om at bruken utgjør grovt brudd på pliktene i arbeidsforholdet eller kan gi grunnlag for oppsigelse eller avskjed.
I tillegg skal du som hovedregel varsles på forhånd og få mulighet til å være til stede. Vilkårlig, rutinemessig gjennomlesing av hva ansatte skriver er altså ikke lov. Datatilsynet har vært tydelig på dette i flere saker.
AI-logger er et nyere fenomen enn e-post, og det er ikke gitt at de faller nøyaktig inn under e-postforskriften. Men prinsippene er de samme: arbeidsgiver må ha et lovlig grunnlag, formålet må være tydelig, og overvåkingen må stå i forhold til hensikten. Skjult, kontinuerlig overvåking av alt ansatte skriver ville vært i strid med både GDPR og arbeidsmiljølovens regler om kontrolltiltak.
Kontrolltiltak må drøftes
Arbeidsmiljøloven krever at kontrolltiltak i virksomheten drøftes med de tillitsvalgte, og at de ansatte informeres om formål, praktiske konsekvenser og hvor lenge tiltaket varer. Innfører bedriften logging av AI-bruk, skal du i utgangspunktet vite om det. Får du ikke informasjon om det, bør du spørre.
Kan sjefen lese samtalene dine nå
Kort oppsummert er det teknisk mulig i bedriftsløsninger, men rettslig begrenset å faktisk gå inn og lese. De fleste arbeidsgivere har verken tid, systemer eller lovlig grunn til å overvåke AI-samtaler i detalj. Men du bør oppføre deg som om det du skriver til en jobbkonto kan bli sett, fordi det i prinsippet kan det.
Vi mener du bør legge deg mellom paranoia og naivitet: du trenger ikke å slutte å bruke AI på jobb, men du bør være bevisst på hva du limer inn.
Slik bruker du AI trygt uten å lekke sensitiv info
Disse vanene beskytter deg, uansett hva bedriften logger. Grunnregelen er enkel: ikke gi AI-en informasjon den ikke trenger for å løse oppgaven.
Fem vaner som holder deg trygg
Steg 1: Anonymiser før du limer inn.
Bytt ut navn, personnummer, kundenavn, kontonumre og adresser med plassholdere som «Kunde A» eller «Person 1». AI-en gir like godt svar, og du har ikke delt noe identifiserbart.
Steg 2: Beskriv oppgaven i stedet for å dele rådataene.
Trenger du hjelp til å formulere et svar, beskriv situasjonen i stedet for å lime inn hele e-postkjeden med alle detaljer.
Steg 3: Bruk bedriftens godkjente verktøy hvis det finnes.
Har arbeidsgiveren satt opp Copilot eller ChatGPT Enterprise, er det som regel tryggere for sensitiv jobbinfo enn din private konto, fordi dataene holdes innenfor bedriftsavtalen.
Steg 4: Aldri lim inn taushetsbelagt eller sensitiv personinfo.
Helseopplysninger, personnummer, lønnsdata om andre, forretningshemmeligheter og alt som er underlagt taushetsplikt skal ikke inn i et AI-verktøy uten at bedriften uttrykkelig har godkjent det.
Steg 5: Sjekk om bedriften har en AI-policy.
Mange norske arbeidsplasser har fått retningslinjer for AI-bruk det siste året. Du bør lese dem. De forteller deg hva som er lov og hvilke verktøy som er godkjent.
For helsepersonell, saksbehandlere og andre med streng taushetsplikt er terskelen enda lavere: her skal pasient- og brukeropplysninger rett og slett aldri inn i et alminnelig AI-verktøy. Vi har en egen gjennomgang for helsefeltet i AI for sykepleiere og helsepersonell.
Før og etter: samme oppgave, tryggere utført
«Skriv et svar til Kari Nordmann (fnr 010190 12345), som klager på at faktura nummer 4471 på 18 400 kr for behandling ved Storgata Legesenter ikke stemmer.»
«Skriv et høflig svar til en kunde som mener en faktura er feil. Kunden har fått regning for en tjeneste og bestrider beløpet. Be om kontonummer for kreditering og forklar at vi ser på saken innen tre virkedager.»
Den andre varianten gir deg et like brukbart utkast, men uten at et eneste identifiserbart datapunkt har forlatt maskinen din. Det er slik teknikken fungerer i praksis.
Spørsmål mange stiller
Kan arbeidsgiver bruke AI-logger som grunnlag for oppsigelse?
I prinsippet kan opplysninger fra lovlig innsyn brukes, men da må innsynet i seg selv ha vært lovlig gjennomført, med grunnlag og varsling. Innsyn hentet i strid med reglene kan bli underkjent, og ulovlig overvåking kan gi arbeidsgiver problemer. Du blir normalt ikke rammet av det.
Hva om jeg bruker min egen ChatGPT på min egen mobil i lunsjen?
Da er du på din egen konto, ditt eget nett og ditt eget utstyr. Arbeidsgiveren har ingen teknisk tilgang. Men taushetsplikten din gjelder fortsatt: du kan ikke lime inn konfidensiell jobbinfo bare fordi du bruker privat utstyr.
Er bedriftens Copilot tryggere enn min private ChatGPT?
For sensitiv jobbinfo som skal behandles i jobbsammenheng, som regel ja, fordi dataene holdes innenfor bedriftens avtale og ikke brukes til modelltrening. Men bedriften kan til gjengjeld ha innsyn i bruken. Her må du veie ditt eget personvern opp mot bedriftens behov for datasikkerhet.
Dette bør du gjøre videre
Bruk privat konto til private og ufarlige oppgaver, bruk bedriftens godkjente verktøy til jobbinnhold, og anonymiser alltid det som er sensitivt. Da spiller det mindre rolle hvem som logger hva. Vil du ha en bredere innføring i å ta i bruk AI på arbeidsplassen på en forsvarlig måte, har vi samlet det i AI på jobben.
