ChatGPT's informationslækagerisiko: Introduktion til fire nødvendige forholdsregler

Den generative AI “ChatGPT”, som for nylig har tiltrukket sig stor opmærksomhed, kan håndtere opgaver fra manuskriptskrivning og programmering til generering af noder og tegning, hvilket har gjort den bemærkelsesværdig i forskellige områder.

ChatGPT’s “GPT” står for “Generative Pre-training Transformer”, og ved at fortræne med en stor mængde tekst, billeder og lyd (via udvidelser), kan den føre naturlige samtaler, der ligner dem, mennesker har.

ChatGPT har vundet opmærksomhed som et værktøj, der kan forbedre effektiviteten og omkostningseffektiviteten af komplekse opgaver. Anvendelsen af ChatGPT er allerede fremskreden i mange områder, og mange tech-virksomheder er begyndt at udvikle deres egne AI-systemer.

Samtidig med at AI-teknologier som ChatGPT forventes at skabe mange forretningsmuligheder, er der også blevet påpeget potentielle risici såsom ophavsretlige problemer, spredning af misinformation, lækage af fortrolige oplysninger, privatlivets fred og misbrug i forbindelse med cyberangreb.

I denne artikel vil en advokat forklare de risici, der er forbundet med brugen af ChatGPT, især med hensyn til lækage af information, og hvilke forholdsregler man bør tage.

Risici for lækage af information relateret til ChatGPT

De primære risici forbundet med virksomheders implementering af ChatGPT kan opsummeres i følgende fire punkter:

• Sikkerhedsrisici (information lækage, nøjagtighed, sårbarheder, tilgængelighed osv.)
• Risiko for krænkelse af ophavsret
• Risiko for misbrug (f.eks. cyberangreb)
• Etiske udfordringer

Risikoen for lækage af information i ChatGPT refererer til, at hvis fortrolige oplysninger indtastes i ChatGPT, kan disse oplysninger potentielt blive set af medarbejdere hos OpenAI eller andre brugere, eller blive anvendt som træningsdata.

Ifølge OpenAIs datapolitik vil data indtastet i ChatGPT blive indsamlet og anvendt (til træning) af OpenAI, medmindre det sker via ChatGPTs ‘API’ eller brugeren aktivt vælger ‘opt-out’ (dette vil blive forklaret mere detaljeret senere).

Tilfælde hvor brugen af ChatGPT har ført til læk af information

Her introducerer vi tilfælde, hvor personlige oplysninger og indtastede fortrolige oplysninger, der er registreret ved brug af ChatGPT, er blevet lækket.

Tilfælde af læk af personlige oplysninger

Den 24. marts 2023 annoncerede OpenAI, at de havde taget ChatGPT midlertidigt offline den 20. marts på grund af en fejl, der viste personlige oplysninger for nogle brugere, herunder de sidste fire cifre af en anden brugers kreditkortnummer og kortets udløbsdato. De personlige oplysninger, der blev lækket, tilhørte en del af abonnenterne på ‘ChatGPT Plus’ betalingsplanen (omkring 1,2% af medlemmerne).

Samtidig med denne fejl blev det også annonceret, at der var en anden fejl, der viste chatlogfiler fra andre brugere i brugernes egne chatlogfiler.

Som følge heraf udstedte den italienske databeskyttelsesmyndighed den 31. marts 2023 en forbedringsordre, der pålagde OpenAI midlertidige restriktioner i behandlingen af data for brugere i Italien, da der manglede et juridisk grundlag for ChatGPT’s indsamling og opbevaring af persondata til læring. OpenAI blokerede derefter adgangen til ChatGPT fra Italien. Denne blokering blev ophævet den 28. april samme år, efter at OpenAI havde forbedret håndteringen af persondata.

Tilfælde af læk af fortrolige virksomhedsoplysninger

I februar 2023 offentliggjorde det amerikanske cybersikkerhedsfirma Cyberhaven en rapport om brugen af ChatGPT til deres kundevirksomheder.

Ifølge rapporten havde 8,2% af de videnarbejdere blandt de 1,6 millioner ansatte, der bruger Cyberhaven-produkter, brugt ChatGPT på arbejdspladsen mindst én gang, og 3,1% af disse havde indtastet virksomhedshemmeligheder i ChatGPT.

Desuden rapporterede det sydkoreanske medie ‘Economist’ den 30. marts 2023, at en afdeling inden for Samsung Electronics havde tilladt brug af ChatGPT, hvilket førte til, at fortrolige oplysninger blev indtastet. Selvom Samsung Electronics havde gjort opmærksom på intern informationssikkerhed, var der ansatte, der indtastede kildekoden til programmer og indholdet af møder.

Under disse omstændigheder er der lande og virksomheder, der begrænser brugen af ChatGPT, mens andre fremmer en politik, der anbefaler brugen. Når man overvejer at implementere ChatGPT, bør man forstå risikoen for læk af information og overveje dette grundigt.

Fire foranstaltninger til at forhindre lækage af informationer med ChatGPT

En lækage af informationer kan, når den først har fundet sted, medføre ikke kun juridisk ansvar, men også store tab af tillid og omdømme. Derfor er det vigtigt at etablere og uddanne i et internt informationsstyringssystem for at forhindre lækage af informationer.

Her vil vi introducere fire foranstaltninger til at forhindre lækage af informationer ved brug af ChatGPT.

Tiltag 1: Udarbejdelse af anvendelsesregler

Først og fremmest skal man fastlægge virksomhedens holdning til ChatGPT og inkludere bestemmelser om brugen af ChatGPT i virksomhedens interne regler. Det er vigtigt at fastsætte klare regler, såsom ikke at indtaste personlige eller fortrolige oplysninger, og at følge disse regler i praksis.

I den forbindelse er det ønskeligt at udarbejde en vejledning for brugen af virksomhedens ChatGPT. Desuden bør man sørge for at inkludere bestemmelser om brugen af ChatGPT i kontrakter med eksterne parter.

Den 1. maj 2023 (Reiwa 5) offentliggjorde General Incorporated Association Japanese Deep Learning Association (JDLA) en sammenfatning af etiske, juridiske og sociale problemstillinger (ELSI) relateret til ChatGPT og udgav en “Vejledning for brugen af generativ AI”.

Der er også igangsat overvejelser om udarbejdelse af vejledninger i forskellige sektorer, herunder industri, akademia og offentlige institutioner. Ved at tage disse vejledninger som udgangspunkt og udarbejde en skriftlig vejledning for brugen af virksomhedens ChatGPT, kan man forvente at undgå visse risici.

Reference: General Incorporated Association Japanese Deep Learning Association (JDLA) | Vejledning for brugen af generativ AI[ja]

Det er dog ikke nok blot at udarbejde en vejledning; den skal også være velkendt og strengt overholdt for at være meningsfuld. En vejledning alene er ikke tilstrækkelig som foranstaltning.

Foranstaltning 2: Etablering af systemer til at forhindre lækage af information

Som en foranstaltning til at forhindre menneskelige fejl kan man indføre et system kendt som DLP (Data Loss Prevention), som forhindrer lækage af specifikke data og gør det muligt at forhindre transmission og kopiering af fortrolige oplysninger.

DLP er et system, der konstant overvåger dataene, ikke brugerne, og som automatisk identificerer og beskytter fortrolige oplysninger og vigtige data. Ved brug af DLP kan man, hvis fortrolige oplysninger opdages, sende alarmer eller blokere handlinger.

Det er muligt at forhindre lækage af informationer indefra, samtidig med at man holder administrationsomkostningerne nede, men det kræver en avanceret forståelse af sikkerhedssystemer, og det kan være vanskeligt at implementere det problemfrit i virksomheder uden en teknisk afdeling.

Foranstaltning 3: Brug værktøjer til at forhindre lækage af information

Som nævnt ovenfor kan du som en direkte forebyggende foranstaltning anmode om “opt-out” for at afvise indsamling af data, du har indtastet i ChatGPT.

Du kan anmode om “opt-out” fra ChatGPT’s indstillingsmenu. Men når du anmoder om opt-out, vil din prompt-historik ikke blive gemt, hvilket mange kan finde upraktisk.

En anden metode end opt-out-indstillingerne er at implementere værktøjer, der bruger ChatGPT’s “API”.

“API” (Application Programming Interface) refererer til et interface, som OpenAI har offentliggjort, der tillader integration af ChatGPT i egne tjenester eller eksterne værktøjer. OpenAI har klart udtalt, at de ikke vil bruge informationer ind- og udført via ChatGPT’s “API” til at bruge i deres tjenester.

Dette er også tydeligt angivet i ChatGPT’s brugsvilkår. Ifølge brugsvilkårene:

3. Indhold

(c) Brug af indhold til at forbedre tjenester

We do not use Content that you provide to or receive from our API (“API Content”) to develop or improve our Services. 

Vi bruger ikke indhold, som du leverer til eller modtager fra vores API (“API-indhold”), til at udvikle eller forbedre vores tjenester. 

We may use Content from Services other than our API (“Non-API Content”) to help develop and improve our Services.

Vi kan bruge indhold fra tjenester, der ikke er vores API (“Ikke-API-indhold”), til at hjælpe med at udvikle og forbedre vores tjenester.

 If you do not want your Non-API Content used to improve Services, you can opt out by filling out this form. Please note that in some cases this may limit the ability of our Services to better address your specific use case.

Hvis du ikke ønsker, at dit Ikke-API-indhold skal bruges til at forbedre tjenester, kan du fravælge ved at udfylde denne formular. Bemærk venligst, at dette i nogle tilfælde kan begrænse vores tjenesters evne til bedre at imødekomme dit specifikke brugstilfælde.

Citat: OpenAI officielle hjemmeside | ChatGPT’s brugsvilkår

Foranstaltning 4: Gennemførelse af intern IT-kompetenceuddannelse

Ud over de foranstaltninger, vi har introduceret indtil nu, er det også vigtigt at øge sikkerhedskompetencerne hos medarbejderne i virksomheden gennem intern uddannelse.

Som det ses i eksemplet med Samsung Electronics, kan selvom der er opmærksomhed omkring informationssikkerhed internt i virksomheden, indtastning af fortrolige oplysninger føre til lækage af information. Det er ikke kun ønskeligt at forhindre informationslækager fra et systemperspektiv, men også at gennemføre intern uddannelse i viden om ChatGPT og IT-kompetencer.

Håndtering af datalækager i ChatGPT

I tilfælde af en datalækage er det afgørende hurtigt at undersøge fakta og iværksætte modforanstaltninger.

Hvis personlige oplysninger lækkes, er det ifølge den japanske lov om beskyttelse af personoplysninger obligatorisk at rapportere til Kommissionen for Beskyttelse af Personoplysninger. Det er også nødvendigt at informere den berørte person om situationen. Hvis lækagen af personlige oplysninger krænker den anden parts rettigheder eller interesser, kan det medføre et ansvar for civilretlig erstatning. Desuden, hvis personlige oplysninger stjæles eller videregives med ulovlige hensigter, kan der også rejses strafferetligt ansvar.

I tilfælde af lækage af forretningshemmeligheder eller teknisk information, kan man ifølge den japanske lov mod unfair konkurrence anmode om sletning og andre foranstaltninger over for den part, der har modtaget informationen. Hvis lækagen af forretningshemmeligheder eller teknisk information giver den anden part en uretfærdig fordel, kan det medføre et ansvar for civilretlig erstatning. Yderligere, hvis forretningshemmeligheder eller teknisk information erhverves eller bruges ved ulovlige metoder, kan der også rejses strafferetligt ansvar.

Hvis man overtræder sin tavshedspligt i tjenesten og lækker information, kan man ifølge straffeloven eller andre love blive holdt strafferetligt ansvarlig. Desuden, hvis overtrædelsen af tavshedspligten forårsager skade på den anden part, kan det medføre et ansvar for civilretlig erstatning.

Derfor er det nødvendigt at reagere hurtigt i overensstemmelse med indholdet af den lækede information, og det er vigtigt at have et system på plads på forhånd for at kunne håndtere sådanne situationer.

Relateret artikel: Hvad er informationsafsløring, som virksomheder bør udføre ved datalækager?[ja]

Relateret artikel: Hvad skal virksomheder gøre, når personlige oplysninger lækkes? En forklaring på de administrative skridt, der skal tages[ja]

Konklusion: Forbered din organisation på risikoen for datalæk fra ChatGPT

I denne artikel har vi forklaret risikoen for datalæk fra ChatGPT og de foranstaltninger, der bør træffes. I en verden, hvor AI-baserede forretningsmodeller, såsom ChatGPT, udvikler sig hurtigt, anbefaler vi, at du konsulterer en erfaren advokat, der er velbevandret i de juridiske risici, for at forberede din organisations interne strukturer på forhånd.

Ikke kun i forhold til datalæk, men også når det kommer til at vurdere lovligheden af en AI-baseret forretningsmodel, udarbejdelse af kontrakter og brugerbetingelser, beskyttelse af intellektuel ejendomsret og håndtering af privatlivets fred, kan du føle dig tryg ved at samarbejde med en advokat, der har ekspertise og erfaring med både AI og jura.

Vores foranstaltninger hos Monolith Advokatfirma

Monolith Advokatfirma har en rig erfaring inden for IT, især internettet og juraen. AI-forretninger medfører mange juridiske risici, og det er afgørende at have støtte fra advokater, der er eksperter i juridiske spørgsmål relateret til AI. Vores firma tilbyder avanceret juridisk støtte til AI-forretninger, herunder ChatGPT, gennem et team af AI-kyndige advokater og ingeniører. Vi leverer tjenester som udarbejdelse af kontrakter, vurdering af forretningsmodellers lovlighed, beskyttelse af intellektuelle ejendomsrettigheder og håndtering af privatlivets fred. Yderligere detaljer er angivet i nedenstående artikel.

Monolith Advokatfirmas ekspertiseområder: AI (herunder ChatGPT) juridiske tjenester[ja]