Kan sjefen se hva du skriver til ChatGPT? Innsyn, logging og personvern på jobben

Du limer inn en e-postutveksling med en misfornøyd kunde og ber ChatGPT om et diplomatisk svar. Praktisk. Men et lite spørsmål melder seg: kan IT-avdelingen se dette? Kan sjefen? Svaret er ikke et enkelt ja eller nei, og det avhenger av om du bruker en jobbkonto eller din egen, hvilket verktøy det er, og hva norsk lov faktisk tillater arbeidsgiveren din å gjøre.

La oss ta det viktigste først: i de fleste tilfeller sitter ikke sjefen din og leser AI-samtalene dine i sanntid. Men muligheten for innsyn finnes, den varierer stort mellom løsninger, og reglene for når arbeidsgiver har lov til å bruke den er strengere enn mange tror. Her er hvordan det henger sammen i praksis.

Det avgjørende skillet: privat konto eller jobbkonto

Alt starter med hvilken konto du er logget inn på. Bruker du din personlige ChatGPT-konto, den du opprettet med din egen e-post, har arbeidsgiveren din ingen teknisk tilgang til samtalene dine. De ligger hos OpenAI, ikke hos bedriften. Sjefen kan ikke logge inn og lese dem.

Bruker du derimot en konto bedriften har satt opp og betaler for, altså ChatGPT Enterprise, ChatGPT Team, Microsoft Copilot koblet til jobbkontoen din, eller en tilsvarende bedriftsløsning, er bildet et annet. Da er kontoen administrert av bedriften, og administratorer kan i prinsippet ha innsyn i bruken. Ikke nødvendigvis i hvert eneste ord du skriver, men i at kontoen brukes, og i mange tilfeller også i innholdet.

Og her er en felle mange går i: selv om du bruker din private ChatGPT-konto, kan bedriften ha innsyn i selve nettverkstrafikken eller ha overvåkingsprogramvare på maskinen. Det er en annen inngang til det du gjør enn AI-kontoen din, men den finnes.

Hva bedriftskontoer faktisk logger

La oss være konkrete om hva som skjer bak kulissene i de vanligste jobbverktøyene.

Microsoft Copilot (jobb): Når Copilot er koblet til bedriftens Microsoft 365, behandles samtalene innenfor bedriftens eget datamiljø. Prompter og svar kan logges i Microsofts etterlevelsesverktøy (Microsoft Purview), som IT- og compliance-ansvarlige kan søke i. Det betyr at en administrator med riktige rettigheter i prinsippet kan finne igjen hva du har spurt Copilot om. Til gjengjeld brukes ikke dataene til å trene Microsofts modeller.

ChatGPT Enterprise og Team: OpenAI lover at data fra disse kontoene ikke brukes til å trene modellene. Men bedriftsadministratoren har et adminpanel, og med Enterprise finnes det mulighet for å eksportere samtaler og bruke compliance-verktøy. Hvor mye den enkelte bedrift faktisk aktiverer av dette, varierer. Noen logger nesten ingenting, andre har full sporing.

Din private ChatGPT-konto: Samtalene lagres hos OpenAI og brukes som standard til å forbedre modellene, med mindre du skrur det av i innstillingene. Arbeidsgiveren din har ingen tilgang. Vi har skrevet mer utfyllende om nettopp dette i Lagrer ChatGPT det du skriver.

Poenget er at logging er teknisk mulig i alle bedriftsløsninger. Om den brukes, og hvordan, avhenger av bedriften din, ikke av verktøyet alene.

Hva norsk lov faktisk sier om innsyn

Her blir det interessant, for norsk rett gir arbeidstakere et reelt vern. Arbeidsgiver kan ikke fritt snoke i det du gjør, selv på jobbutstyr.

Hovedregelen finnes i personopplysningsloven og GDPR, samt i en egen forskrift om arbeidsgivers innsyn i ansattes e-post og elektronisk lagret materiale. For at arbeidsgiver skal ha innsyn i for eksempel din e-postkasse eller lignende personlig arbeidsområde, må ett av to vilkår være oppfylt: enten er det nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten, eller det foreligger begrunnet mistanke om at bruken utgjør grovt brudd på pliktene i arbeidsforholdet eller kan gi grunnlag for oppsigelse eller avskjed.

I tillegg skal du som hovedregel varsles på forhånd og få mulighet til å være til stede. Vilkårlig, rutinemessig gjennomlesing av hva ansatte skriver er altså ikke lov. Datatilsynet har vært tydelig på dette i flere saker.

AI-logger er et nyere fenomen enn e-post, og det er ikke gitt at de faller nøyaktig inn under e-postforskriften. Men prinsippene er de samme: arbeidsgiver må ha et lovlig grunnlag, formålet må være tydelig, og overvåkingen må stå i forhold til hensikten. Skjult, kontinuerlig overvåking av alt ansatte skriver ville vært i strid med både GDPR og arbeidsmiljølovens regler om kontrolltiltak.

Kontrolltiltak må drøftes

Arbeidsmiljøloven krever at kontrolltiltak i virksomheten drøftes med de tillitsvalgte, og at de ansatte informeres om formål, praktiske konsekvenser og hvor lenge tiltaket varer. Innfører bedriften logging av AI-bruk, skal du i utgangspunktet vite om det. Gjør du ikke det, er det grunn til å spørre.

Så, kan sjefen din faktisk lese det akkurat nå?

Kort oppsummert: teknisk mulig i bedriftsløsninger, men rettslig begrenset når det gjelder å faktisk gå inn og lese. De fleste arbeidsgivere har verken tid, systemer eller lovlig grunn til å overvåke AI-samtaler i detalj. Men du bør oppføre deg som om det du skriver til en jobbkonto kan bli sett, fordi det i prinsippet kan det.

Den fornuftige holdningen ligger et sted mellom paranoia og naivitet: du trenger ikke å slutte å bruke AI på jobb, men du bør være bevisst på hva du limer inn.

Slik bruker du AI trygt uten å lekke sensitiv info

Dette er den delen som faktisk beskytter deg, uansett hva bedriften logger. Grunnregelen er enkel: ikke gi AI-en informasjon den ikke trenger for å løse oppgaven.

For helsepersonell, saksbehandlere og andre med streng taushetsplikt er terskelen enda lavere: her skal pasient- og brukeropplysninger rett og slett aldri inn i et alminnelig AI-verktøy. Vi har en egen gjennomgang for helsefeltet i AI for sykepleiere og helsepersonell.

Før og etter: samme oppgave, tryggere utført

Den andre varianten gir deg et like brukbart utkast, men uten at et eneste identifiserbart datapunkt har forlatt maskinen din. Det er teknikken i et nøtteskall.

Spørsmål mange stiller

Kan arbeidsgiver bruke AI-logger som grunnlag for oppsigelse?

I prinsippet kan opplysninger fra lovlig innsyn brukes, men da må innsynet i seg selv ha vært lovlig gjennomført, med grunnlag og varsling. Innsyn hentet i strid med reglene kan bli underkjent, og ulovlig overvåking kan gi arbeidsgiver problemer, ikke deg.

Hva om jeg bruker min egen ChatGPT på min egen mobil i lunsjen?

Da er du på din egen konto, ditt eget nett og ditt eget utstyr. Arbeidsgiveren har ingen teknisk tilgang. Men taushetsplikten din gjelder fortsatt: du kan ikke lime inn konfidensiell jobbinfo bare fordi du bruker privat utstyr.

Er bedriftens Copilot tryggere enn min private ChatGPT?

For sensitiv jobbinfo som skal behandles i jobbsammenheng, som regel ja, fordi dataene holdes innenfor bedriftens avtale og ikke brukes til modelltrening. Men bedriften kan til gjengjeld ha innsyn i bruken. Det er en avveining mellom personvern for deg og datasikkerhet for bedriften.

Kort sagt

Bruk privat konto til private og ufarlige oppgaver, bruk bedriftens godkjente verktøy til jobbinnhold, og anonymiser alltid det som er sensitivt. Da spiller det mindre rolle hvem som logger hva. Vil du ha en bredere innføring i å ta i bruk AI på arbeidsplassen på en forsvarlig måte, har vi samlet det i AI på jobben.

Av Munin | altom.ai