Vad händer med företagsdata när kommunikationsteamet använder ChatGPT?

Den här artikeln är inte emot ChatGPT. Den är skriven för dem som redan använder det eller funderar på att börja – och som borde veta vad det innebär ur ett dataskyddsperspektiv.

Det händer varje dag

En kommunikationschef öppnar webbläsaren, klistrar in ett utkast till pressmeddelande i ChatGPT och ber om en sammanfattning. Eller en copywriter matar in en kundbrief och ber om tre rubrikalternativ. Eller VD:n säger högt kommunikationsstrategins viktigaste punkter och ber AI:n bygga ett presentationsskelett utifrån dem.

Var och en av dessa är en vardaglig, användbar, effektiv åtgärd. Och var och en av dem överför information utanför organisationen på ett sätt som ingen uttryckligen godkänt.

Vad händer egentligen när du skriver text i ChatGPT?

Det finns ingen konspiration här. OpenAI redovisar sina rutiner i användarvillkoren. Problemet är att få läser dem – och ännu färre funderar på vad de innebär för organisationens dataskydd.

I konsumentversionen (gratis och Plus) tillåter OpenAI:s användarvillkor att inmatad data används för modellutveckling, om inte användaren uttryckligen väljer bort det i inställningarna. I många organisationer har ingen någonsin gått in och ändrat den inställningen.

I praktiken kan det innebära:

• Ett opublicerat pressmeddelande kan hamna som en del av modellens träningsdata

• Detaljer från en kundbrief skickas till tredjepartsservrar

• En intern kommunikationsstrategi skrivs ut i ett verktyg vars dataskyddsrutiner inte har utvärderats

• Ingen i organisationen vet vem som använde vad och med vilken data

Det betyder inte att ChatGPT är ett farligt verktyg. Det betyder att konsumentversionen inte är designad med organisationens säkerhetskrav i åtanke.

GDPR dyker upp snabbare än man tror

I många organisationer ser inte kommunikationsteamet sig själva som behandlare av personuppgifter. Men så fort ett namn, en titel, en e-postadress eller en identifierbar roll nämns i ett meddelande eller utkast befinner man sig inom personuppgiftsbehandlingens område.

GDPR kräver att du vet: var personuppgifter behandlas, vem som behandlar dem, på vilken rättslig grund, och hur länge uppgifterna lagras.

När ett kommunikationsteam använder konsument-AI utan organisationens godkännande och utvärdering är svaren på dessa frågor: okänt, okänt, ej utvärderat, okänt. Det är inte en godtagbar situation – varken juridiskt eller ur organisationens egna riskhanteringsperspektiv.

Är ChatGPT Teams eller Enterprise lösningen?

Ja, delvis. OpenAI erbjuder företagsversioner där träningsanvändning är inaktiverat som standard och dataskyddsvillkoren är striktare. Detsamma gäller Anthropics och Googles enterprise-erbjudanden.

Men en enterprise-licens löser bara en del av problemet. Den löser inte:

• Att arbetet fortfarande sker i enskilda chattfönster utan versionshistorik, godkännandeprocess eller granskningslogg

• Att ingen har en helhetsbild av vad teamet gör, med vilken data och med vilka resultat

• Att AI-assisterat innehåll inte stannar kvar i organisationens minne – det försvinner när webbläsarfönstret stängs

En enterprise-licens gör verktyget mer lagenligt. Den gör det inte till ett kommunikationshanteringssystem.

Vad gör ett ändamålsbyggt verktyg annorlunda?

Lyyli byggdes från grunden med organisationskommunikationens säkerhets- och compliance-krav i åtanke.

Data stannar hos din organisation

Lyyli använder Anthropics, OpenAI:s och Googles enterprise-API:er – inte konsumentversioner. Kundinnehåll används inte för att träna modeller. Innehåll hamnar inte hos tredje part.

Åtkomstkontroll är inbyggd

Rollbaserad åtkomstkontroll, arbetsytedelning och användarroller är inte tilläggsfunktioner – de är kärnan i produkten. Du vet vem som har tillgång till vad.

Granskningsloggen visar vad som hände

Alla innehållsrelaterade ändringar och godkännanden lämnar ett spår. Inga fler situationer där ingen vet vem som gjorde vad och när.

Godkännandeprocessen är en del av arbetsflödet

Innehåll går igenom en strukturerad godkännandeprocess innan publicering. Rätt personer godkänner rätt innehåll – inte via ett Slack-meddelande, inte via en e-posttråd.

GDPR-rutiner är uppdaterade

Våra dataskyddsrutiner, personuppgiftsbiträdesavtal och registeransvarsförpliktelser finns tillgängliga på lyyli.ai/legal.

Tre frågor värda att stanna upp vid

Om ditt kommunikationsteam använder eller börjar använda AI, stanna upp ett ögonblick:

Vet vi vilken data vårt team matar in i AI-verktyg? Om svaret är "inte exakt" är det det första som är värt att ta reda på.

Har verktyget vi använder utvärderats mot vår organisations dataskyddskrav? IT eller legal kan utvärdera det om de tillfrågas. Ofta tillfrågas de inte.

Stannar AI-assisterat arbete kvar i organisationens minne? Resultat, versioner, godkännanden, ändringar – eller försvinner allt med webbläsarfönstret?

Det kräver varken oro eller brådska. Men det är värt att veta.

Till sist

AI i kommunikation är inte en risk att undvika. Det är ett verktyg som behöver implementeras på ett kontrollerat sätt.

Skillnaden mellan konsument-AI och ett ändamålsbyggt organisationsverktyg är inte vilket som producerar bättre texter. Det är vilket som bygger förtroende hos kunder, medarbetare och myndigheter medan arbetet utförs.

Läs även om säkerhet

Intresserad av ISO 27001-certifiering och vad det innebär i praktiken för ett B2B-SaaS-företag? Läs: ISO 27001 och B2B-SaaS: Varför säkerhetscertifiering avgör affärer

En djupare genomgång av Lyylis säkerhetsarkitektur för IT-avdelningar: Cybersäkerhet och integritet i Lyyli.ai. Alla säkerhets- och compliance-lösningar sammanfattade på vår Trust-sida.