En medarbejder har kopieret en kundeliste, en kontrakt eller en personalesag ind i ChatGPT eller en anden AI-tjeneste. Det første, I skal gøre, er at finde ud af, hvad der er delt, hvornår og fra hvilken konto. Først derefter kan I vurdere, om det er et persondatabrud, et brud på en fortrolighedsaftale eller en sag, der kan klares med en samtale og en bedre politik.
De fleste af disse sager handler ikke om ond vilje. Medarbejderen ville spare tid. Men virksomheden har stadig et ansvar for de data, der har forladt huset, og det ansvar kræver dokumentation.
Tre spørgsmål, der styrer resten
Før I gør noget andet, så prøv at svare på tre spørgsmål. Svarene afgør, hvor meget I selv kan, og hvem der skal ind over.
- Hvilken konto blev brugt? En virksomhedskonto, som I administrerer, eller en privat konto på medarbejderens egen mail? Forskellen er afgørende for, hvad I kan se og eksportere. → Hvad kan I se i AI-tjenesterne?
- Hvad blev delt? Persondata om kunder eller kolleger, forretningshemmeligheder, kode, tilbud eller noget, der er offentligt alligevel?
- Hvornår skete det? Én gang i går, eller regelmæssigt over flere måneder?
Kan I ikke svare endnu, er det i orden. Skriv ned, hvad I ved, og hvad I mangler.
Hvad gør I nu, i rækkefølge
- Skriv et notat. Hvem opdagede det, hvornår og hvordan? Hvad er det konkret, I har set? Hold notatet sagligt og uden vurderinger af medarbejderen.
- Stop yderligere deling uden at slette noget. Bed medarbejderen holde pause med tjenesten, til I har overblik. Bed ikke om, at samtalerne slettes. Sletning fjerner netop det, I skal bruge til at vurdere omfanget.
- Sikr det, der ligger hos jer. Er det en virksomhedskonto, kan IT ofte eksportere samtalehistorik eller hente oplysninger via administrationen. Er det Microsoft 365 Copilot, kan interaktionerne ofte findes via jeres egne compliance-værktøjer. Bed IT dokumentere, hvad der er eksporteret, hvornår og af hvem.
- Sikr spor på computeren. Browserhistorik, kopierede filer og logs fra jeres netværk kan vise, hvornår tjenesten blev brugt. Undgå at gennemgå computeren selv. Tag den evt. ud af brug, hvis sagen kan blive alvorlig.
- Vurdér persondatabrud. Er der delt persondata uden et grundlag og uden en aftale med tjenesten, skal I vurdere, om det er et brud, der skal anmeldes til Datatilsynet. Fristen er 72 timer fra, I blev bekendt med bruddet. → Persondatabrud: dokumentationen inden for 72 timer
- Tal med medarbejderen. Når de første spor er sikret, så spørg roligt, hvad der er delt, og hvorfor. Skriv svarene ned.
Privat konto: det, I ikke kan
Har medarbejderen brugt en privat konto, kan virksomheden ikke selv logge ind og se samtalerne. Det må I heller ikke forsøge, heller ikke hvis adgangskoden er gemt i browseren på firmacomputeren. I kan bede medarbejderen om at vise eller eksportere de relevante samtaler frivilligt. Gør det skriftligt, og skriv ned, hvad der bliver vist.
Siger medarbejderen nej, eller er vedkommende fratrådt, er det en sag for jeres advokat. → Medarbejderen har lagt fortrolige data i en AI-tjeneste
Hvem gør hvad
- Leder · Beslutter omfang, holder kredsen lille
- IT · Eksporterer historik, sikrer logs og computer
- HR · Samler politik, kontrakt og orientering
- DPO eller den ansvarlige for persondata · Vurderer brud og anmeldelse
- Advokat · Vurderer fortrolighed, kontrakt og ansættelsesret
Er der ingen DPO, skal den person, der normalt har ansvaret for persondata, tage stillingen. Notér, hvem det er, og hvilken vurdering der blev lavet, også hvis I ender med ikke at anmelde.
Det skal I lade være med
- Bed ikke medarbejderen slette samtalerne. Det ser ansvarligt ud, men det fjerner sporene.
- Log ikke ind på en privat konto. Heller ikke med en gemt adgangskode.
- Gennemgå ikke hele computeren selv. I ændrer spor og risikerer at se private data.
- Lav ikke en hurtig afsked. En sag om AI-brug uden klare regler er svær at bære, hvis I ikke kan vise, hvad medarbejderen vidste.
- Spred ikke sagen. Kun de personer, der skal handle, skal vide det.
Har I en AI-politik?
Det første, advokaten vil spørge om, er, hvad medarbejderen var blevet fortalt. Fandtes der en politik om AI-tjenester? Var den udleveret, og kan I vise det? Var der godkendte værktøjer, som medarbejderen kunne have brugt i stedet?
Har I ikke en politik, er det ikke for sent at få en. Men den gælder fremad, ikke for det, der allerede er sket. → AI-politik, der kan bruges i en sag
Hvad skal tjenesten selv gøre?
Mange AI-tjenester har en proces for anmodninger om sletning af data. Det kan være relevant at bede om det, men først når I har sikret jer det, der skal bruges som dokumentation. Rækkefølgen er: sikr, vurdér, og bed derefter om sletning. Skriv ned, hvornår anmodningen blev sendt, og hvad tjenesten svarede.
Tjek også jeres aftale med tjenesten, hvis der er en. Står der noget om træning på jeres data, opbevaringstid og databehandling? Det har betydning for vurderingen af risikoen for de personer, hvis data er delt.
Skal kunden have besked?
Er det en kundes data, der er delt, kan I have pligt til at give kunden besked. Det kan stå i jeres kontrakt, i en databehandleraftale eller følge af reglerne om persondata, hvis kunden selv er registreret. Vent med at skrive, til I ved, hvad der er delt. En besked, der senere viser sig at være forkert, skaber mere uro end en besked, der kommer en dag senere, men er præcis.
Aftal ordlyden med den, der har ansvaret for kunden, og helst med jeres advokat. Skriv sagligt: hvad er sket, hvad I har gjort, og hvad I gør nu. Gem en kopi af beskeden og af kundens svar sammen med jeres notat, så hele forløbet ligger samlet.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis:
- der er delt persondata om mange personer eller følsomme oplysninger,
- der er delt forretningshemmeligheder, kode eller kundeaftaler,
- medarbejderen er fratrådt eller er på vej ud,
- I overvejer en advarsel eller en afsked,
- en kunde eller samarbejdspartner kræver dokumentation for, hvad der er sket.
En uvildig IT-sagkyndig kan sikre historikken og sporene på computeren, så de kan efterprøves, og lave en saglig opgørelse af, hvad der er delt. Haster det, fordi medarbejderen er på vej ud, så sig det. Hastesager koster ekstra. → Pris og tilbud
Kort sagt
Svar først på de tre spørgsmål: hvilken konto, hvad og hvornår. Sikr det, I selv har adgang til, uden at slette. Vurdér persondatabrud inden for fristen. Tal med medarbejderen, når sporene er sikret. Brug sagen til at få en politik på plads, der gør næste gang lettere at håndtere.
Læs også: AI-politik: skriv den, så den kan bruges, hvis der opstår en sag · Virksomhedskonto eller privat konto: hvad kan I se i AI-tjenesterne?
→ IT-sagkyndig for virksomheder · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
