Mitä tapahtuu yritystiedoille, kun viestintätiimi käyttää ChatGPT:tä?

Tämä artikkeli ei ole ChatGPT:n vastainen. Se on kirjoitettu niille, jotka käyttävät sitä jo tai harkitsevat käyttöä – ja joiden pitäisi tietää, mitä se tarkoittaa tietosuojan kannalta.

Se tapahtuu joka päivä

Viestintäpäällikkö avaa selaimen, liittää luonnoksen tiedotteesta ChatGPT:hen ja pyytää tiivistyksen. Tai copywriter syöttää asiakkaan brifin ja pyytää kolme otsikkovaihtoehtoa. Tai toimitusjohtaja sanoo ääneen viestintästrategian pääkohdat ja pyytää tekoälyä rakentamaan niistä esityksen rungon.

Jokainen näistä on arkinen, hyödyllinen, tehokas toimenpide. Ja jokainen niistä siirtää tietoa organisaation ulkopuolelle tavalla, jota kukaan ei ole erikseen hyväksynyt.

Mitä oikeasti tapahtuu, kun syötät tekstiä ChatGPT:hen?

Tässä ei ole mitään salaliittoa. OpenAI kertoo käytännöistään käyttöehdoissaan. Ongelma on, että harva lukee niitä – ja vielä harvempi miettii, mitä ne tarkoittavat organisaation tietosuojan kannalta.

Kuluttajaversiossa (ilmainen ja Plus) OpenAI:n käyttöehdot sallivat syötettyjen tietojen käyttämisen mallien kehittämiseen, ellei käyttäjä erikseen kieltäydy tästä asetuksissa. Monessa organisaatiossa tätä asetusta ei ole kukaan käynyt muuttamassa.

Käytännössä tämä voi tarkoittaa:

• Julkaisematon tiedote voi päätyä osaksi mallin koulutusaineistoa

• Asiakkaan brifin yksityiskohdat kulkevat kolmannen osapuolen palvelimille

• Sisäinen viestintästrategia kirjoitetaan auki välineessä, jonka tietosuojakäytäntöjä ei ole arvioitu

• Kukaan organisaatiossa ei tiedä, kuka käytti mitä ja millä tiedoilla

Tämä ei tarkoita, että ChatGPT on vaarallinen työkalu. Se tarkoittaa, että kuluttajaversio ei ole suunniteltu organisaation tietoturvan ehdoilla.

GDPR tulee kuvaan nopeammin kuin luulisi

Monessa organisaatiossa viestintätiimi ei miellä itseään henkilötietojen käsittelijäksi. Mutta heti kun viestissä tai luonnoksessa mainitaan henkilön nimi, titteli, sähköpostiosoite tai tunnistettava rooli, ollaan henkilötietojen käsittelyn alueella.

GDPR edellyttää, että tiedät: missä henkilötietoja käsitellään, kuka niitä käsittelee, millä oikeusperusteella, ja kuinka kauan tietoja säilytetään.

Kun viestintätiimi käyttää kuluttajatekoälyä ilman organisaation hyväksyntää ja arviointia, vastaukset näihin kysymyksiin ovat: ei tiedetä, ei tiedetä, ei arvioitu, ei tiedetä. Se ei ole hyväksyttävä tilanne – ei lain eikä organisaation oman riskienhallinnan kannalta.

Onko ChatGPT Teams tai Enterprise ratkaisu?

Kyllä, osittain. OpenAI tarjoaa yritysversioita, joissa koulutuskäyttö on oletuksena poistettu ja tietosuojaehdot ovat tiukemmat. Sama pätee Anthropicin ja Googlen enterprise-tarjontaan.

Mutta enterprise-lisenssi ratkaisee vain osan ongelmasta. Se ei ratkaise:

• Sitä, että työ tapahtuu edelleen yksittäisissä chat-ikkunoissa ilman versiohistoriaa, hyväksyntäprosessia tai audit trailia

• Sitä, että kukaan ei näe kokonaiskuvaa siitä, mitä tiimi tekee, millä tiedoilla ja millaisiin lopputuloksiin

• Sitä, että tekoälyavusteinen sisältö ei jää organisaation muistiin, vaan katoaa selainikkunan sulkeutuessa

Enterprise-lisenssi tekee työkalusta lainmukaisemman. Se ei tee siitä viestinnän hallintajärjestelmää.

Mitä tarkoitukseen rakennettu työkalu tekee toisin?

Lyyli on rakennettu alusta asti organisaatioviestinnän tietoturva- ja compliance-vaatimukset mielessä.

Tiedot pysyvät organisaatiollasi

Lyyli käyttää Anthropicin, OpenAI:n ja Googlen enterprise-rajapintoja, ei kuluttajaversioita. Asiakkaiden sisältöjä ei käytetä mallien kouluttamiseen. Sisällöt eivät päädy kolmansille osapuolille.

Pääsynhallinta on sisäänrakennettu

Roolipohjainen pääsynhallinta, työtilan jakaminen ja käyttäjäroolit eivät ole lisäominaisuuksia – ne ovat tuotteen ydin. Tiedät kuka pääsee käsiksi mihinkin.

Audit trail kertoo mitä tapahtui

Kaikki sisältöön liittyvät muutokset ja hyväksynnät jättävät jäljen. Ei enää tilanteita, joissa kukaan ei tiedä kuka teki mitä ja milloin.

Hyväksyntäprosessi on osa työnkulkua

Sisältö kulkee strukturoidun hyväksyntäprosessin läpi ennen julkaisua. Oikeat ihmiset hyväksyvät oikean sisällön – ei Slack-viestillä, ei sähköpostiketjulla.

GDPR-käytännöt ovat ajan tasalla

Tietosuojakäytäntömme, käsittelysopimukset ja rekisterinpitäjävelvoitteet löytyvät osoitteesta lyyli.ai/legal.

Kolme kysymystä, jotka kannattaa pysähtyä miettimään

Jos viestintätiimisi käyttää tekoälyä tai alkaa käyttää sitä, pysähdy hetkeksi:

Tiedämmekö, mitä tietoja tiimimme syöttää tekoälytyökaluihin? Jos vastaus on "emme tarkalleen", se on ensimmäinen asia, joka kannattaa selvittää.

Onko käytössä oleva työkalu arvioitu organisaatiomme tietosuojavaatimusten kannalta? IT tai legal pystyy arvioimaan tämän, jos heiltä kysytään. Usein heitä ei kysytä.

Jääkö tekoälyavusteinen työ organisaation muistiin? Tulokset, versiot, hyväksynnät, muutokset – vai katoaako kaikki selainikkunan mukana?

Näihin ei tarvita pelkoa eikä kiirettä. Mutta ne kannattaa tietää.

Lopuksi

Tekoäly viestinnässä ei ole riski, joka pitäisi välttää. Se on työkalu, joka pitää ottaa käyttöön hallitusti.

Ero kuluttajatekoälyn ja tarkoitukseen rakennetun organisaatiotyökalun välillä ei ole se, kumpi tuottaa parempia tekstejä. Se on se, kumpi rakentaa luottamusta asiakkaisiin, henkilöstöön ja viranomaisiin samalla kun työ tehdään.

Lue myös tietoturva-aiheesta

Kiinnostaako ISO 27001 -sertifiointi ja mitä se käytännössä tarkoittaa B2B-SaaS-yritykselle? Lue: ISO 27001 ja B2B-SaaS: miksi tietoturvasertifiointi ratkaisee kauppoja

Syvempi katsaus Lyylin tietoturva-arkkitehtuuriin IT-osastoille: Tietoturva ja yksityisyydensuoja Lyyli.ai:ssa. Kaikki tietoturva- ja compliance-ratkaisut yhteenvetona Trust-sivulla.