Hvilke GDPR-regler gælder for dig som medarbejder, når du bruger et AI-værktøj?

De GDPR-regler, medarbejdere skal kende, kan koges ned til tre sætninger. Brug kun de oplysninger, opgaven kræver. Send dem kun derhen, hvor arbejdsgiveren har godkendt, at de må sendes. Sig til med det samme, hvis noget er gået galt. Som ansat er du ikke selv dataansvarlig, det er din arbejdsgiver, men reglerne gælder for hvert tastetryk, du foretager på arbejdsgiverens vegne. Et AI-værktøj i browseren er ingen undtagelse.

GDPR-regler medarbejdere kan bruge i praksis

De tre sætninger ovenfor er ikke en forenklet udgave af noget større, de er det, du reelt skal forholde dig til i det daglige.

Resten ligger hos arbejdsgiveren: behandlingsgrundlag, databehandleraftaler, fortegnelser, sletning og de tekniske foranstaltninger. Du skal ikke kunne artikelnumre udenad. Du skal kunne genkende en personoplysning og vide, hvad jeres godkendte vej er.

Datatilsynets katalog over foranstaltninger beskriver awareness som en organisatorisk foranstaltning, der normalt supplerer de trusler, som ikke kan håndteres tilstrækkeligt teknisk. Oversat: hvis en fejl kan forhindres af et system, er det ikke din opgave at huske den. De fejl, systemet ikke fanger, er til gengæld dine.

De syv principper, oversat til tastaturet

Artikel 5 er hele forordningen i kort form, og principperne er nemmere at bruge, end de lyder:

• Lovlighed, rimelighed og gennemsigtighed. Den, oplysningen handler om, skal kunne se det komme.
• Formålsbegrænsning. Oplysninger, du har fået til én opgave, bliver i den opgave.
• Dataminimering. Indsæt uddraget, ikke hele sagen. En AI-chat svarer sjældent bedre på 40 sider end på 4 linjer.
• Rigtighed. Rettelser skal slå igennem, og et AI-genereret udkast er ikke en kilde.
• Opbevaringsbegrænsning. Lokale kopier, skærmbilleder og eksporter er også opbevaring.
• Integritet og fortrolighed. Oplysningerne skal beskyttes mod dem, der ikke skal se dem.
• Ansvarlighed. Den dataansvarlige skal kunne påvise, at de seks foregående er overholdt.

Hvad må du aldrig skrive i en AI-chat?

Digitaliseringsstyrelsen skriver i guiden til virksomheder, at personoplysninger kun må indtastes i et generativt AI-værktøj, hvis værktøjet er vurderet og godkendt til brug med personoplysninger. Fortrolige oplysninger bør kun indtastes, hvis der er lavet en risikovurdering først. Så længe du ikke ved, om jeres værktøj er godkendt, gælder den korte version:

• CPR-numre, for eksempel 240571-0000
• Helbredsoplysninger, sagsakter og notater om borgere eller kunder
• Navne og mailadresser på andre mennesker, for eksempel anders@havnia.dk
• Hele lister, eksporter og regneark med personoplysninger
• Forretningshemmeligheder, priser og kontrakter under forhandling

Til gengæld er selve hjælpen fri. Sprog, struktur, oversættelse, kode, en indvending du skal forberede: alt det kan du få hjælp til, når personoplysningerne er taget ud af teksten først.

Hvad er arbejdsgiverens ansvar, og hvad er dit?

Arbejdsgiveren skal beslutte, hvilke værktøjer der er godkendt, og skrive det ned, så det kan findes på under et minut. Arbejdsgiveren skal også sikre, at den godkendte vej er hurtig nok til, at ingen fristes til at gå udenom.

Du skal bruge den vej og sige til, når den ikke slår til. Det er ikke brok. En arbejdsgang, der tvinger folk til at vælge mellem at følge reglerne og at nå deres arbejde, er et ledelsesproblem, og det bliver først løst, når nogen siger det højt.

Kontrol af, hvad du gør på jobbet, hører også til arbejdsgiverens side, og den er ikke fri for regler. Skal internetbrug registreres, eller skal mails kunne gennemgås og sikkerhedskopieres, kræver Datatilsynets vejledning om ansættelsesforhold, at det er meldt ud på forhånd, klart og utvetydigt. Loggen over internetbrug må gennemgås ved mistanke om misbrug. Sikkerhedskopiering og gennemgang af dine mails må kun ske, når det er nødvendigt, for at arbejdsgiveren kan forfølge berettigede interesser, og undervejs må arbejdsgiveren ikke læse dine private mails.

Hvad med billeder og vedhæftede filer?

Billeder af medarbejdere er personoplysninger. Datatilsynet nævner billeder blandt de almindelige personoplysninger på linje med navn, adresse og arbejdsoplysninger, og et billede af en genkendelig person er derfor omfattet af de samme regler som en tekst om personen.

Vedhæftede filer er den hyppigste kilde til at sende for meget. Et regneark har flere faner end den, du selv kigger på. Et tekstdokument kan bære rundt på kommentarer, sporede ændringer og navne, du ikke kan se på skærmen. En sag gemt som PDF rummer hele sagen, også de sider, du ikke havde brug for hjælp til.

Den enkle løsning er som regel den rigtige. Kopiér de linjer ind i chatten, du faktisk vil have et svar om, i stedet for at vedhæfte hele filen. Det går hurtigere, og svaret bliver som regel bedre, fordi værktøjet ikke skal gætte sig til, hvad du mente.

Tjekliste, før du trykker send

1. Hvem peger teksten på? Hvis den kun kan passe på én person, er det personoplysninger. Se hvad der tæller som personoplysninger.
2. Er værktøjet på jeres liste? Er du i tvivl, er svaret nej, indtil nogen har svaret dig.
3. Kan opgaven løses med mindre? Fjern navne, numre og alt, du ikke har brug for et svar om.
4. Er der en vedhæftet fil? Filer indeholder ofte mere end det, du kan se på skærmen.
5. Gik det galt alligevel? Sig det samme dag. Et brud skal anmeldes til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer, efter at den dataansvarlige er blevet bekendt med det, medmindre det er usandsynligt, at bruddet indebærer en risiko for de berørte.

Hvad gør I, hvis reglerne alligevel ikke bliver fulgt?

Så er problemet sjældent viljen. Det er afstanden mellem reglen og det øjeblik, den skal bruges. En politik, der læses i januar, hjælper ikke i marts klokken 15.40.

Derfor virker de foranstaltninger bedst, der sidder i selve arbejdsgangen: en kort besked i det øjeblik en oplysning er på vej ud, en godkendt konto der er lige så hurtig som den private, og en opgørelse i antal, som ledelsen kan se uden at læse med. Brugen af værktøjer uden om jeres liste er behandlet i artiklen om shadow AI.

Se også: awareness-træning og AI og medarbejderorienteringen på dokumentationssiden.