Hvad virksomheden kan se af medarbejdernes brug af AI-tjenester, afhænger næsten kun af én ting: hvem ejer kontoen. På en virksomhedskonto med administration kan I ofte eksportere eller søge i samtaler og logs, hvis jeres regler tillader det. På en privat konto kan I som udgangspunkt intet se, og I må heller ikke forsøge.
Artiklen er til leder og IT, der vil vide, hvad der faktisk kan hentes frem, før en sag opstår, eller når den allerede er der.
De tre typer konti
De fleste virksomheder har en blanding af tre typer, ofte uden at vide det.
- Virksomhedsløsning med administration · Styre brugere, ofte eksportere eller søge i data og logs
- Mindre teamabonnement · Styre brugere og betaling, men ofte begrænset indsyn
- Privat gratis- eller betalt konto · Intet, medmindre medarbejderen selv viser det
Grænsen mellem de to første er ikke ens fra tjeneste til tjeneste, og den ændrer sig, når leverandøren opdaterer sine abonnementer. Tjek derfor jeres egen aftale og administrationsside, ikke en generel beskrivelse.
Hvad gælder for de store tjenester?
Microsoft 365 Copilot. Når Copilot er en del af jeres Microsoft 365-licens, gemmes interaktionerne typisk i jeres eget miljø. De kan ofte findes med de samme compliance-værktøjer, som I bruger til mail og Teams, og de kan omfattes af jeres opbevaringsregler. Det er en fordel: data ligger hos jer.
Google Gemini i Workspace. Her afhænger det af jeres udgave og indstillinger, om samtalerne kan bevares og søges frem på samme måde som mail og dokumenter.
ChatGPT og lignende tjenester. Virksomhedsudgaverne giver typisk administratorer mulighed for at styre brugere og i nogle udgaver hente samtaledata ud. De mindre abonnementer giver ofte kun adgang til brugerstyring. En medarbejders private konto er helt uden for jeres rækkevidde.
Uanset tjeneste gælder: Kan I ikke finde funktionen i administrationen i dag, kan I ikke regne med den, når sagen opstår.
→ Chatbots og AI-værktøjer som bevis
Hvad gør I nu, hvis I står med en sag?
- Find ud af, hvilken konto der er brugt. Spørg IT, om medarbejderen er oprettet i en virksomhedsløsning. Tjek fakturaer og udlæg for abonnementer, der er betalt med firmakort.
- Tjek opbevaringen. Hvor længe gemmes samtalerne, og kan brugeren selv slette dem? Hvis brugeren kan slette, skal I handle hurtigt.
- Sæt et hold, hvor det er muligt. I Microsoft 365 og Google Workspace kan data ofte bevares centralt, så sletning hos brugeren ikke fjerner dem helt.
- Eksportér med dokumentation. Notér, hvem der eksporterede, hvornår, med hvilket værktøj, og hvad eksporten indeholder.
- Begræns hvem der læser. Eksporten kan indeholde private emner og andres persondata. Lad kun den eller de personer, der har en saglig grund, se den.
Er sagen alvorlig, så lad en uvildig IT-sagkyndig stå for eksporten. → Fortrolige data i en AI-tjeneste: de første skridt
Må I kigge, bare fordi I kan?
Nej. At en funktion findes, betyder ikke, at I må bruge den frit. Kontrol med medarbejdere kræver et sagligt formål, og medarbejderne skal som udgangspunkt være orienteret om, at deres brug kan logges og gennemgås. Der kan også være en overenskomst eller en kontrolaftale, der stiller krav til varsling.
Det, der gør en gennemgang lettere at forsvare, er:
- en politik, der siger, hvilke AI-tjenester der må bruges, og at brugen kan logges,
- en konkret grund til gennemgangen,
- et afgrænset omfang: én medarbejder, en periode, et emne,
- et notat om, hvem der har set hvad.
→ Hvad må arbejdsgiveren kontrollere?
Hvem gør hvad
- IT · Kortlægger konti, opbevaring og eksport
- Leder · Beslutter, om der skal gennemgås noget
- HR · Sikrer, at orientering og politik er på plads
- Advokat · Vurderer grundlaget, når det er alvorligt
Det skal I lade være med
- Lad være med at logge ind på en medarbejders private konto, heller ikke fra firmacomputeren med en gemt adgangskode.
- Lad være med at nulstille adgangskoden på en konto, der er oprettet på en privat mail. Så overtager I en konto, I ikke ejer.
- Lad være med at slå logning til i stilhed og bruge den bagudrettet. Orientering kommer først.
- Lad være med at slette brugeren i virksomhedsløsningen, før data er eksporteret eller bevaret. Ved sletning kan samtalerne forsvinde.
Sådan bliver I klar, før der sker noget
Det bedste tidspunkt at afklare indsyn er, før der er en sag. Gå disse punkter igennem med IT:
- ☐ Hvilke AI-tjenester bruges i virksomheden, også dem, ingen har godkendt?
- ☐ Hvilke af dem kører på virksomhedskonti med administration?
- ☐ Kan samtaler og logs eksporteres, og hvem har rettigheden?
- ☐ Hvor længe gemmes data, og kan brugeren selv slette dem?
- ☐ Er medarbejderne orienteret om, at brugen kan logges?
Svarene hører hjemme i jeres politik. → AI-politik, der kan bruges i en sag
Når medarbejderen stopper
Fratrædelse er det tidspunkt, hvor flest AI-data går tabt. I mange virksomhedsløsninger forsvinder brugerens samtaler, når brugeren slettes eller licensen fjernes. Læg derfor AI-tjenesterne ind i jeres faste rutine ved fratræden: spær adgangen, men vent med at slette brugeren, til I har taget stilling til, om noget skal bevares.
Har medarbejderen brugt en privat konto til arbejdet, følger samtalerne med medarbejderen ud af døren. Det kan I ikke ændre bagefter. Det kan I kun forebygge ved at stille en virksomhedskonto til rådighed og sige tydeligt, at private konti ikke må bruges til virksomhedens data.
Skjult brug: tjenester, ingen har godkendt
I mange virksomheder bruges der flere AI-tjenester, end ledelsen kender til. Medarbejdere opretter gratis konti, betaler et abonnement med firmakortet eller bruger en funktion, der er indbygget i et program, I allerede har. Den brug er ikke nødvendigvis et problem, men den er usynlig for jer, og det er den, der skaber sager, hvor I intet kan se.
Start med det, der er let at finde: udlæg og fakturaer, de programmer IT allerede kender, og et åbent spørgsmål til medarbejderne om, hvad de bruger. Formålet er overblik, ikke at finde syndere.
Hvornår skal I have hjælp?
Få hjælp udefra, når eksporten skal kunne bruges som dokumentation i en tvist, når den mistænkte selv er administrator, eller når I er i tvivl om, hvad I må. En uvildig IT-sagkyndig kan lave eksporten, så den kan efterprøves, og afgrænse den, så I ikke ser mere end nødvendigt.
Kort sagt
Virksomhedskonto betyder, at I ofte kan bevare og eksportere. Privat konto betyder, at I ikke kan. Afklar i dag, hvilke konti I har, og hvad de kan, og fortæl medarbejderne det. Så står I bedre, hvis der en dag opstår en sag.
Læs også: Fortrolige data i ChatGPT eller en anden AI-tjeneste: de første skridt · AI-notetagere i møder: hvem har optagelsen?
→ IT-sagkyndig for virksomheder · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
