ChatGPTs risiko for informasjonslekkasje: Hvilke er de? Introduksjon til fire nødvendige tiltak

Den generative AI-enheten “ChatGPT” har i det siste fått mye oppmerksomhet. Den kan skrive manuskripter, programmere, generere noter og tegne, og har derfor vakt interesse i mange ulike felt.

Bokstavene GPT i ChatGPT står for “Generative Pre-training Transformer”, og ved å forhåndstrene på store mengder tekst, bilder og lyd (gjennom utvidelser), kan den føre naturlige samtaler på en måte som ligner mennesker.

ChatGPT har fått mye oppmerksomhet som et verktøy som kan håndtere komplekse oppgaver, og det forventes at det vil effektivisere arbeidsoppgaver og tilby høy kostnadseffektivitet. Bruken av ChatGPT har allerede spredt seg til mange felt, og mange teknologiselskaper har begynt å utvikle sine egne AI-systemer.

Samtidig som AI-teknologi som ChatGPT forventes å bringe mange forretningsmuligheter, er det også pekt på potensielle risikoer som opphavsrettslige problemer, spredning av feilinformasjon, lekkasje av konfidensiell informasjon, personvernproblemer og muligheten for misbruk i cyberangrep.

I denne artikkelen vil en advokat forklare hvilke tiltak som bør tas for å håndtere risikoen for informasjonslekkasje ved bruk av ChatGPT.

Risiko for informasjonslekkasje knyttet til ChatGPT

Risikoen knyttet til bedrifters implementering av ChatGPT kan hovedsakelig deles inn i følgende fire punkter:

• Sikkerhetsrisiko (informasjonslekkasje, nøyaktighet, sårbarhet, tilgjengelighet osv.)
• Risiko for brudd på opphavsrett
• Risiko for misbruk (som for eksempel cyberangrep)
• Etiske utfordringer

Risikoen for informasjonslekkasje knyttet til ChatGPT innebærer at hvis konfidensiell informasjon blir inntastet i ChatGPT, kan denne informasjonen bli sett av ansatte hos OpenAI eller andre brukere, eller bli brukt som treningsdata.

I henhold til OpenAIs datapolitikk, vil data som brukere taster inn i ChatGPT bli samlet og brukt (for læring) av OpenAI, med mindre det går gjennom ChatGPTs ‘API’ eller en ‘opt-out’ forespørsel blir innsendt (dette vil bli forklart mer detaljert senere).

Tilfeller der bruk av ChatGPT har ført til informasjonslekkasje

Her vil vi introdusere tilfeller der bruk av ChatGPT har resultert i lekkasje av registrert personlig informasjon og inntastet konfidensiell informasjon.

Tilfeller der personlig informasjon har lekket ut

Den 24. mars 2023 kunngjorde OpenAI at de hadde tatt ChatGPT midlertidig offline den 20. mars på grunn av en feil som gjorde at personlig informasjon, inkludert de siste fire sifrene i kredittkortnummeret og kortets utløpsdato, ble vist for noen brukere. Lekkasjen av personlig informasjon berørte en del av abonnentene på ‘ChatGPT Plus’ betalingsplanen, omtrent 1,2 % av medlemmene.

I tillegg ble det kunngjort at det samtidig med denne feilen også var en annen feil som førte til at chatlogger fra andre brukere ble vist.

Som en følge av dette, den 31. mars 2023, utstedte Italias databeskyttelsesmyndighet en forbedringsordre som påla OpenAI midlertidige restriksjoner i behandlingen av data fra italienske brukere. Dette skyldtes mangel på juridisk grunnlag for ChatGPTs innsamling og lagring av persondata for læring. OpenAI blokkerte deretter tilgangen til ChatGPT fra Italia. Denne blokkeringen ble opphevet den 28. april samme år etter at OpenAI hadde forbedret håndteringen av persondata.

Tilfeller der konfidensiell bedriftsinformasjon har lekket ut

I februar 2023 publiserte det amerikanske cybersikkerhetsselskapet Cyberhaven en rapport om bruk av ChatGPT blant sine kundeselskaper.

Ifølge rapporten hadde 8,2 % av kunnskapsarbeiderne blant de 1,6 millioner ansatte i kundeselskapene som bruker Cyberhaven-produkter, brukt ChatGPT på jobb minst én gang, og 3,1 % av disse hadde inntastet bedriftshemmeligheter i ChatGPT.

I tillegg, i et tilfelle fra Sør-Korea, rapporterte den koreanske mediekanalen ‘Economist’ den 30. mars 2023 at en avdeling i Samsung Electronics hadde tillatt bruk av ChatGPT, noe som førte til at konfidensiell informasjon ble inntastet.

Til tross for at Samsung Electronics hadde gjennomført tiltak for å øke bevisstheten om intern informasjonssikkerhet, hadde ansatte inntastet programkode og møtedetaljer.

Under slike omstendigheter finnes det land og selskaper som begrenser bruken av ChatGPT, mens andre fremmer en politikk som støtter bruken. Når man vurderer å implementere ChatGPT, bør man forstå risikoen for informasjonslekkasje og vurdere dette nøye.

Fire tiltak for å forhindre informasjonslekkasje med ChatGPT

En informasjonslekkasje kan, når den først har funnet sted, føre til ikke bare juridisk ansvar, men også store tap av tillit og omdømme. Derfor er det viktig å etablere og opprettholde et internt informasjonsstyringssystem og sørge for tilstrekkelig opplæring for å forhindre lekkasjer.

Her vil vi introdusere fire tiltak for å forhindre informasjonslekkasje ved bruk av ChatGPT.

Tiltak 1: Etablering av bruksregler

Først må vi bestemme vår egen holdning til ChatGPT og inkludere bestemmelser om bruk av ChatGPT i våre interne retningslinjer. Det er viktig å fastsette og håndheve klare regler, som for eksempel å ikke legge inn personlig eller konfidensiell informasjon.

I den forbindelse er det ønskelig å utarbeide retningslinjer for bruk av ChatGPT i selskapet. Videre bør vi inkludere bestemmelser om bruk av ChatGPT i kontrakter med eksterne parter.

Den 1. mai 2023 (Reiwa 5), publiserte General Incorporated Association Japanese Deep Learning Association (JDLA) en sammenstilling av etiske, juridiske og sosiale problemstillinger (ELSI) knyttet til ChatGPT, og lanserte en ‘Retningslinje for bruk av generativ AI’.

Det er også igangsatt arbeid med å utarbeide retningslinjer i ulike sektorer innen industri, akademia og offentlig forvaltning. Ved å ta utgangspunkt i disse og utforme egne retningslinjer for bruk av ChatGPT, kan vi forvente å unngå visse risikoer.

Referanse: General Incorporated Association Japanese Deep Learning Association (JDLA) | Retningslinjer for bruk av generativ AI[ja]

Men, det er viktig å merke seg at retningslinjene vi utarbeider ikke har noen verdi hvis de ikke blir kjent og etterlevd. Retningslinjer alene er ikke tilstrekkelige som tiltak.

Tiltak 2: Etablere et system for å forhindre informasjonslekkasje

Som et tiltak for å forhindre menneskelige feil, kan man innføre et system kjent som DLP (Data Loss Prevention), som forhindrer lekkasje av spesifikke data og dermed blokkerer sending og kopiering av konfidensiell informasjon.

DLP er et system som overvåker dataene kontinuerlig, i stedet for brukeren, og som automatisk identifiserer og beskytter konfidensiell og viktig informasjon. Ved bruk av DLP kan man, når sensitiv informasjon oppdages, sende varsler eller blokkere handlinger.

Det er mulig å forhindre informasjonslekkasjer internt mens man holder administrasjonskostnadene nede, men en avansert forståelse av sikkerhetssystemet er nødvendig, og det kan være utfordrende å implementere det jevnt i selskaper uten en teknisk avdeling.

Tiltak 3: Bruk verktøy for å forhindre informasjonslekkasje

Som nevnt ovenfor, som en direkte forebyggende tiltak, kan du nekte innsamling av data du har skrevet inn i ChatGPT ved å søke om “opt-out”.

Du kan søke om “opt-out” fra ChatGPTs innstillingsmeny. Men mange kan finne det upraktisk at søkehistorikken ikke lagres når man har søkt om opt-out.

En annen metode enn opt-out-innstillingen er å implementere verktøy som bruker ChatGPTs “API”.

“API” (Application Programming Interface) refererer til et grensesnitt som OpenAI har gjort tilgjengelig for å integrere ChatGPT i egne tjenester eller eksterne verktøy. OpenAI har uttalt at informasjon som sendes inn eller ut via ChatGPTs “API” ikke vil bli brukt.

Dette er også spesifisert i ChatGPTs bruksvilkår. Ifølge vilkårene:

3. Innhold

(c) Bruk av innhold for å forbedre tjenesten

Vi bruker ikke innhold som du gir til eller mottar fra vår API (“API-innhold”) for å utvikle eller forbedre våre tjenester.

Vi kan bruke innhold fra andre tjenester enn vår API (“Ikke-API-innhold”) for å hjelpe med å utvikle og forbedre våre tjenester.

Hvis du ikke ønsker at ditt Ikke-API-innhold brukes til å forbedre tjenester, kan du velge bort ved å fylle ut dette skjemaet. Vær oppmerksom på at dette i noen tilfeller kan begrense evnen til våre tjenester til å bedre adressere ditt spesifikke bruksområde.

Sitat: OpenAI offisielle nettsted | ChatGPTs bruksvilkår

Tiltak 4: Gjennomføre intern opplæring i IT-kompetanse

I tillegg til de tiltakene vi har presentert så langt, er det også viktig å øke sikkerhetskompetansen blant de ansatte i selskapet gjennom intern opplæring.

Som i tilfellet med Samsung Electronics, selv om det ble gitt oppmerksomhet til informasjonssikkerhet internt, førte inntasting av konfidensiell informasjon til et datainnbrudd. Det er ikke bare ønskelig å forhindre informasjonslekkasjer fra systemets side, men også å gjennomføre intern opplæring i kunnskap om ChatGPT og IT-kompetanse.

Håndtering av informasjonslekkasje i ChatGPT

I tilfelle informasjonslekkasje er det avgjørende å raskt utføre en undersøkelse av fakta og iverksette tiltak.

Ved lekkasje av personopplysninger er det pålagt å rapportere til Personvernkomiteen i henhold til den japanske loven om beskyttelse av personopplysninger (Personal Information Protection Law). Det er også nødvendig å informere den berørte personen om situasjonen som har oppstått. Hvis lekkasjen av personopplysninger krenker den andres rettigheter eller interesser, kan det medføre et sivilt erstatningsansvar. Videre, hvis personopplysninger blir stjålet eller levert med ulovlig hensikt, kan det også medføre strafferettslig ansvar.

Når det gjelder lekkasje av forretningshemmeligheter eller teknisk informasjon, kan man i henhold til den japanske loven mot urimelig konkurranse (Unfair Competition Prevention Law) kreve tiltak som sletting fra lekkasjestedet. Hvis lekkasjen av forretningshemmeligheter eller teknisk informasjon gir urettmessig fordel til den andre parten, kan det også medføre et sivilt erstatningsansvar. Videre, hvis forretningshemmeligheter eller teknisk informasjon er oppnådd eller brukt ved ulovlige metoder, kan det også medføre strafferettslig ansvar.

Hvis man har lekket informasjon i strid med taushetsplikten på jobb, kan man bli holdt strafferettslig ansvarlig i henhold til straffeloven eller andre lover. I tillegg, hvis lekkasjen av informasjon i strid med taushetsplikten har forårsaket skade på den andre parten, kan det medføre et sivilt erstatningsansvar.

Derfor er det nødvendig å raskt håndtere lekket informasjon i henhold til innholdet, og det er viktig å ha et system på plass på forhånd for å kunne gjøre dette.

Relatert artikkel: Hva bør bedrifter gjøre med informasjonsåpenhet når en informasjonslekkasje oppstår?[ja]

Relatert artikkel: Hva bør en bedrift gjøre hvis det skjer en lekkasje av personopplysninger? En forklaring på de nødvendige administrative tiltakene[ja]

Oppsummering: Forbered deg på risikoen for informasjonslekkasje fra ChatGPT

Her har vi forklart risikoen for informasjonslekkasje fra ChatGPT og hvilke tiltak som bør tas. I en AI-drevet forretningsverden som raskt utvikler seg med verktøy som ChatGPT, anbefaler vi at du konsulterer med en erfaren advokat som er godt kjent med de juridiske risikoene, og at du forbereder interne systemer i henhold til disse risikoene på forhånd.

Ikke bare for informasjonslekkasjer, men også for å vurdere lovligheten av en forretningsmodell som bruker AI, utarbeide kontrakter og brukervilkår, beskytte intellektuelle eiendomsrettigheter og håndtere personvern, vil du være trygg hvis du samarbeider med en advokat som har kunnskap og erfaring med både AI og lovgivning.

Veiledning om tiltak fra vår advokatfirma

Monolith Advokatfirma har omfattende erfaring med IT, spesielt internett og juss. AI-virksomhet medfører mange juridiske risikoer, og støtte fra advokater som er eksperter på juridiske spørsmål relatert til AI, er avgjørende. Vårt firma tilbyr avansert juridisk støtte for AI-virksomheter, inkludert ChatGPT, gjennom et team av AI-kyndige advokater og ingeniører. Vi tilbyr tjenester som utarbeidelse av kontrakter, vurdering av forretningsmodellers lovlighet, beskyttelse av immaterielle rettigheter og personvern. Detaljer er beskrevet i artikkelen nedenfor.

Monolith Advokatfirmas tjenesteområder: AI (inkludert ChatGPT) juridiske tjenester[ja]