Er ChatGPT GDPR-sikker når du bruger den til arbejde

Annonce – sponsoreret indhold.

Bruger du ChatGPT til at skrive kundemails, opsummere mødereferater eller finpudse kontrakter? Så har du sikkert stillet dig selv spørgsmålet mindst én gang: Er det overhovedet lovligt, det her? Du er langt fra alene. Tusindvis af selvstændige, freelancere og ansatte i mindre virksomheder bruger ChatGPT dagligt uden at vide, om de overholder GDPR. Sandheden er, at svaret afhænger af præcis hvilken version du bruger, hvilke indstillinger du har aktiveret, og hvilke data du taster ind. Mange spørger sig selv, om er ChatGPT sikker efter GDPR, når de bruger værktøjet til klientkommunikation eller interne processer — og svaret afhænger i høj grad af, hvilken version og hvilke indstillinger man benytter. Denne artikel giver dig den fulde forståelse, så du kan bruge ChatGPT uden at sætte dig selv eller dine kunder i klemme.

Hvad ChatGPT gemmer — og hvorfor det har betydning for GDPR

For at forstå GDPR-problemstillingen skal du først vide, hvad der faktisk sker, når du trykker “Send” i ChatGPT. Det er ikke magi — det er databehandling, og GDPR har klare regler for netop det.

Når du skriver en besked til ChatGPT, sker følgende i tre trin:

1. Transmission: Din tekst sendes krypteret via HTTPS fra din browser eller app til OpenAI’s servere
2. Behandling: Modellen behandler dit input på OpenAI’s infrastruktur, som primært ligger hos Microsoft Azure i USA
3. Lagring: OpenAI gemmer som standard dine samtaler på sine servere og kan bruge dem til at forbedre fremtidige modeller

Det tredje punkt er kernen i GDPR-problemet. Når OpenAI gemmer dine samtaler og potentielt bruger dem til træning, sker der en overførsel af persondata til et tredjeland (USA), og der sker en viderebehandling af data til et formål, som dine kunder eller samarbejdspartnere ikke nødvendigvis har givet samtykke til.

Tænk på det konkret: Du indsætter et udkast til en ansættelseskontrakt med en ny medarbejders navn, adresse og løn. Uden de rette indstillinger kan disse oplysninger potentielt indgå i OpenAI’s træningsdata. Det er ikke et teoretisk problem — det er et konkret GDPR-brud, som du som dataansvarlig hæfter for.

Hvor længe gemmes data?

OpenAI gemmer samtalehistorik på ubestemt tid, medmindre du aktivt sletter den eller slår historikfunktionen fra. Derudover kan OpenAI-medarbejdere gennemgå dine samtaler som led i sikkerhedsgennemgang og kvalitetskontrol. Det betyder, at fortrolige oplysninger potentielt kan læses af mennesker — ikke kun maskiner.

Forskellen på Free, Plus, Team og Enterprise — set med GDPR-briller

Ikke alle ChatGPT-abonnementer er skabt lige, når det handler om GDPR-compliance. Her er den afgørende forskel, som mange brugere overser:

ChatGPT Free og Plus

De to forbrugerversioner er designet til privatpersoner. Det har konkrete konsekvenser:

• Ingen databehandleraftale (DPA): OpenAI tilbyder ikke en DPA til Free- og Plus-brugere. Det betyder, at du juridisk set ikke kan bruge disse versioner til at behandle andres persondata i erhvervsmæssig sammenhæng
• Samtaler bruges til træning som standard: Med mindre du aktivt slår det fra, indgår dine samtaler i træningsdata
• Begrænset kontrol over dataopbevaring: Du kan slette samtaler manuelt, men har ingen garanti for, hvornår data faktisk fjernes fra OpenAI’s systemer
• Ingen audit-adgang: Du kan ikke dokumentere over for Datatilsynet, hvordan dine data behandles

Det betyder ikke, at du slet ikke kan bruge Free eller Plus til arbejde. Men du skal være ekstremt bevidst om, at du aldrig indtaster personhenførbare oplysninger — hverken kundenavne, medarbejderdata, CPR-numre eller andre identificerbare data.

ChatGPT Team

Team-versionen er OpenAI’s første egentlige erhvervsprodukt og tilbyder væsentlige forbedringer:

• Databehandleraftale tilgængelig: OpenAI tilbyder en DPA, som opfylder GDPR’s krav til behandling af persondata
• Samtaler bruges IKKE til træning: Som standard er modeltræning slået fra for Team-brugere
• Administratorkontrol: Du kan styre indstillinger centralt for alle brugere i dit team
• Forbedret dataopbevaring: Mere gennemsigtighed om, hvornår og hvordan data slettes

ChatGPT Enterprise

Enterprise er den mest GDPR-venlige løsning og tilbyder:

• Fuld DPA med tilpassede vilkår: Mulighed for at forhandle specifikke databehandlingsvilkår
• Ingen datatræning overhovedet: Dine data berører aldrig OpenAI’s træningspipeline
• SOC 2-certificering: Dokumenteret sikkerhedsniveau
• Dedikeret dataisolering: Dine data holdes adskilt fra andre kunders
• SSO og avanceret brugeradministration: Fuld kontrol over adgang og rettigheder

Hvad betyder det for dig?

Hvis du er soloselvstændig eller freelancer, der behandler kundedata, står du over for et valg: Enten opgraderer du til Team (eller finder en Enterprise-løsning via en samarbejdspartner), eller også accepterer du, at ChatGPT kun kan bruges til opgaver, der ikke involverer persondata overhovedet.

Som selvstændig bærer du det fulde dataansvar selv. GDPR skelner ikke mellem, om du er en stor virksomhed eller en enkeltmandsvirksomhed — ansvaret er det samme. Hvis du overvejer at tage springet til selvstændig tilværelse og samtidig vil bruge AI-værktøjer professionelt, er det værd at læse op på, hvad du skal vide, før du går fra medarbejder til selvstændig.

De indstillinger du skal ændre i dag

Uanset hvilken version du bruger, er der konkrete indstillinger, du bør gennemgå med det samme. Her er en trin-for-trin guide:

1. Slå datatræning fra

Dette er den vigtigste indstilling. Sådan gør du:

1. Log ind på chat.openai.com
2. Klik på dit profilbillede eller initialer i øverste højre hjørne
3. Vælg “Settings” i menuen
4. Klik på “Data controls” i venstremenuen
5. Find “Improve the model for everyone” og slå den fra, så toggle-knappen bliver grå

Når denne indstilling er slået fra, bruger OpenAI ikke længere dine samtaler til at træne modellen. Dine data bliver stadig behandlet på deres servere (det er sådan tjenesten fungerer), men de indgår ikke i fremtidig modeltræning.

2. Overvej at slå samtalehistorik fra

Under samme “Data controls”-menu finder du “Chat history & training”. Hvis du slår denne fra:

• Gemmes dine samtaler ikke i din historik
• OpenAI gemmer stadig samtaler i 30 dage af sikkerhedshensyn, men sletter dem derefter
• Du mister muligheden for at gå tilbage og se tidligere samtaler

For mange erhvervsbrugere er dette en acceptabel afvejning — især hvis du arbejder med følsomme data.

3. Deaktiver delte links

Funktionen “Shared links” giver dig mulighed for at dele samtaler via et link. Det kan være praktisk, men det øger risikoen for, at fortrolige oplysninger utilsigtet deles. Slå den fra, hvis du primært bruger ChatGPT til arbejdsopgaver.

4. Eksporter og dokumenter

Brug “Export data”-funktionen regelmæssigt. Det giver dig:

• Overblik over, hvilke data OpenAI har om dig
• Dokumentation, som kan være relevant ved en eventuel GDPR-henvendelse
• Mulighed for at slette specifikke samtaler, hvis du opdager, at du har indtastet følsomme oplysninger

Hvornår har du brug for en databehandleraftale?

En databehandleraftale (DPA) er et juridisk dokument, der regulerer forholdet mellem dig som dataansvarlig og OpenAI som databehandler. GDPR kræver en sådan aftale, når du overlader behandling af persondata til en tredjepart.

Du har brug for en DPA, hvis du:

• Indtaster kunders personoplysninger i ChatGPT (navne, kontaktinfo, købshistorik)
• Behandler medarbejderdata (lønsedler, sygemeldinger, vurderinger)
• Arbejder med følsomme personoplysninger (helbredsoplysninger, fagforeningsmedlemskab)
• Bruger ChatGPT som en integreret del af din kundeservice eller sagsbehandling

Du har ikke nødvendigvis brug for en DPA, hvis du:

• Udelukkende bruger ChatGPT til at generere generisk indhold uden persondata
• Anonymiserer alle oplysninger, før du indtaster dem
• Kun bruger værktøjet til personlige formål uden erhvervsmæssig karakter

Konsekvensen af manglende DPA

Hvis du behandler persondata i ChatGPT uden en DPA, risikerer du:

• Bøder fra Datatilsynet: Op til 20 millioner euro eller 4% af global årsomsætning for grove overtrædelser
• Erstatningskrav fra registrerede: Kunder eller medarbejdere kan kræve erstatning for krænkelse af deres rettigheder
• Omdømmeskade: Tab af kundernes tillid kan være lige så alvorligt som de juridiske konsekvenser

OpenAI’s egne GDPR-tiltag — og hvor de kommer til kort

OpenAI har taget flere skridt for at imødekomme europæisk databeskyttelseslovgivning:

• EU-repræsentant: OpenAI har udpeget en repræsentant i EU som krævet af GDPR artikel 27
• Standardkontraktbestemmelser (SCC): OpenAI bruger EU-godkendte standardkontrakter for overførsel af data til USA
• Privacy Shield-efterfølger: OpenAI deltager i EU-U.S. Data Privacy Framework
• Opt-out muligheder: Som beskrevet kan brugere fravælge datatræning

Men der er stadig udfordringer:

• Ingen DPA for Free/Plus: Den største brugergruppe har ikke adgang til en databehandleraftale
• USA-baseret infrastruktur: Selvom der er juridiske rammer, er data stadig underlagt amerikansk lovgivning
• Begrænset gennemsigtighed: Det er svært at få præcis dokumentation for, hvordan specifikke data behandles
• Kompleks modelarkitektur: Selv med datatræning slået fra er det uklart, om inputdata påvirker modellen på andre måder

En praktisk tjekliste du kan bruge mandag morgen

Her er de konkrete handlinger, du skal tage for at bruge ChatGPT mere sikkert:

Gør i dag:

• Log ind og slå “Improve the model for everyone” fra
• Overvej at slå samtalehistorik fra
• Gennemgå din samtalehistorik og slet samtaler med følsomme oplysninger

Gør denne uge:

• Lav en liste over, hvilke typer opgaver du bruger ChatGPT til
• Identificer, hvilke af disse opgaver involverer persondata
• Vurder, om du har brug for at opgradere til Team

Gør denne måned:

• Udarbejd en intern politik for AI-brug, hvis du har medarbejdere eller samarbejdspartnere
• Opdater din privatlivspolitik, hvis du bruger ChatGPT til behandling af kundedata
• Overvej at søge juridisk rådgivning, hvis du er i tvivl

Praktiske arbejdsvaner:

• Anonymiser altid data, før du indtaster dem — erstat navne med “Kunde A”, adresser med “By X”
• Brug ChatGPT til struktur og idéer, ikke til at behandle rå kundedata
• Hav en “pause og tænk”-regel: Før du trykker send, spørg dig selv om inputtet indeholder persondata

Ofte stillede spørgsmål

Kan jeg bruge den gratis version af ChatGPT til mit arbejde?

Ja, men med væsentlige begrænsninger. Du må ikke indtaste personhenførbare oplysninger som kundenavne, CPR-numre eller andre data, der kan identificere enkeltpersoner. Den gratis version tilbyder ingen databehandleraftale, så du kan juridisk set ikke bruge den til at behandle andres persondata. Brug den til generelle opgaver som brainstorming, tekststrukturering eller research — men aldrig med ægte kundedata.

Hvad er forskellen på at slå datatræning fra og at slå samtalehistorik fra?

Når du slår datatræning fra (“Improve the model for everyone”), forhindrer du OpenAI i at bruge dine samtaler til at forbedre fremtidige AI-modeller. Dine samtaler gemmes stadig i din historik. Når du slår samtalehistorik fra, gemmes samtalerne ikke i din historik, og OpenAI sletter dem efter 30 dage. For maksimal beskyttelse bør du overveje at slå begge fra, men vær opmærksom på, at du mister muligheden for at gå tilbage til tidligere samtaler.

Hvad sker der, hvis jeg allerede har indtastet følsomme oplysninger i ChatGPT?

Gå til din samtalehistorik og slet de relevante samtaler med det samme. Vær opmærksom på, at sletning fra din historik ikke nødvendigvis betyder øjeblikkelig sletning fra OpenAI’s servere — de kan bevare data i en periode af sikkerhedshensyn. Hvis oplysningerne var særligt følsomme (f.eks. sundhedsdata eller CPR-numre), bør du overveje at kontakte OpenAI direkte via deres privacy-team og potentielt også orientere de berørte personer, afhængigt af oplysningernes karakter.

Er ChatGPT Enterprise den eneste helt sikre løsning?

Enterprise tilbyder det højeste sikkerhedsniveau med fuld databehandleraftale, ingen datatræning og dedikeret dataisolering. Men “helt sikker” er relativt. Selv med Enterprise-versionen sender du data til eksterne servere, og der vil altid være en restrisiko. For de fleste mindre virksomheder og selvstændige er ChatGPT Team en tilstrækkelig løsning, forudsat at du kombinerer den med fornuftige arbejdsvaner som anonymisering af data og begrænsning af, hvilke oplysningstyper du indtaster. Den vigtigste faktor er ofte ikke hvilken version du bruger, men hvordan du bruger den.