Du hanterar en kunds information. Att mata in den i en konsument-AI-tjänst innebär att en leverantör tar emot och behandlar den på ett sätt som kanske inte är godkänt enligt avtalet, av kunden eller enligt tillämpliga integritetsregler. Avgör inte det godkännandet utifrån marknadsföringstext eller en chattbots sammanfattning.
Syskonartikeln för anställda är klistra inte in arbetshemligheter i konsument-AI. Läs den om du är anställd och omfattas av en IT-policy. Den här artikeln är för frilansare och soloentreprenörer: i första hand styr den NDA, det MSA eller den sekretessklausul du har skrivit under, tillsammans med den dataskyddslagstiftning som kan gälla personuppgifterna i materialet.
Vad som räknas som en kundhemlighet här
Använd en praktisk kategorilista, inte en domstolsdefinition:
- Inloggningsuppgifter, API-nycklar, åtkomsttoken, VPN-detaljer eller skärmbilder från administrationsgränssnitt.
- Opublicerade finansiella siffror, prissättning, prognoser eller avtalsvillkor.
- Ännu inte lanserade produktnamn, produktplaner eller partnerlistor.
- Säkerhetsfynd, arkitektur för produktionssystem eller sårbarhetsanteckningar.
- Avtal, SOW:er och förhandlingsutkast som kunden förväntar sig ska hållas konfidentiella.
- Personuppgifter om kundens kunder, personal eller användare (namn med kontaktuppgifter, ID:n, hälso- eller ekonomiska attribut).
- Allt kunden märkt som konfidentiellt, eller som en rimlig läsare av din NDA skulle behandla som konfidentiellt.
En offentlig platsannons, ett blogginlägg kunden redan publicerat, eller en generell ”hur strukturerar jag ett förslag”-fråga utan identifierare ligger vanligtvis utanför den här listan. Poängen är att känna igen risker, inte att bli handlingsförlamad.
Personuppgifter om andra människor blir inte fritt material för prompter bara för att kunden har skickat dem till dig. Maskering kan vara otillräcklig när uppgifter går att återidentifiera. Använd bara ett godkänt verktyg och minsta nödvändiga mängd uppgifter för ett dokumenterat ändamål – eller håll materialet utanför. Till GDPR:s principer hör ändamålsbegränsning, uppgiftsminimering och säkerhet (GDPR artikel 5; ICO om uppgiftsminimering).
Varför ”privat chatt” är fel riskmått
Skyddet för företagshemligheter i många system beror på att ägaren vidtar rimliga åtgärder för att hålla informationen hemlig – i USA, se 18 U.S.C. section 1839(3); i EU, Directive (EU) 2016/943, Article 2(1)(c). Att skicka material till en ogodkänd leverantör kan underminera kundens kontroll. Om en domstol skulle kalla något en företagshemlighet, och vad din NDA förbjuder, beror på omständigheterna, villkoren och jurisdiktionen; verifiera att du har tillstånd innan du lämnar ut något.
Att radera en konversation återkallar inte tillförlitligt det som överfördes, loggades eller behandlades. Behandla inklistringen som praktiskt sett oåterkallelig innan du gör den. Bekräfta vad din leverantörs publicerade raderings- och träningskontroller faktiskt säger för din kontonivå den dag du använder den (OpenAI Data Controls FAQ; Anthropic consumer privacy center; Gemini Apps Privacy Hub).
Missuppfattningar som orsakar frilansläckor
- ”Jag äger mina verktyg, så jag sätter reglerna.” Du bestämmer ditt arbetsflöde; kundens avtal, instruktioner och rättigheter samt tillämplig lag begränsar ändå hur anförtrodd information får användas.
- ”Det är tillräckligt anonymiserat om jag tar bort företagsnamnet.” Unika produktdetaljer, affärsbelopp och personaltitlar återidentifierar ofta en kund. Om du skulle känna igen dem från inklistringen, anta att andra i nischen också kan.
- ”Enterprise-funktioner på en personlig inloggning.” Marknadsföringssidor är inte ersättning för databehandlingsvillkoren för kontot du faktiskt använder.
- ”Alla i min frilans-Slack gör det här.” Kollegors vana är inte kundsamtycke.
Illustrativt scenario (märkt)
Illustrativt scenario, inte ett uppmätt fall: En frilansutvecklare klistrar in en funktion som inte fungerar, kundens staging-URL och ett lösenord från ett delat dokument i en AI-kodassistent för konsumenter ”bara för att återskapa felet.” Koden kanske går att abstrahera; inloggningsuppgifterna gör det inte. Redan inloggningsuppgifterna gör att stoppkontrollen säger nej.
Stoppkontrollen för kundhemligheter
Innan du klistrar in i något AI-verktyg som inte uttryckligen godkänts skriftligt för den här kunden och den här dataklassen, fråga:
- Omfattas det här av en NDA eller sekretessklausul?
- Innehåller det inloggningsuppgifter eller säkerhetsdetaljer?
- Innehåller det opublicerade kommersiella siffror eller planer?
- Innehåller det personuppgifter om andra personer än mig?
- Skulle kunden bli förvånad över att få veta vilken leverantör som mottog det här?
- Ger avtalet eller kundens instruktioner tillstånd till exakt det här verktyget, det här kontot eller den här klientorganisationen, det här ändamålet och den här dataklassen – och uppfyller verktygets nuvarande villkor och konfiguration de kraven?
Om svaret på någon av frågorna 1–5 är ja och fråga 6 inte har ett tydligt ja, stanna.
Vad du gör i stället
- Fråga kunden vilka verktyg, om några, som är godkända för konfidentiellt arbete, och spara svaret i projektmappen. Om personuppgifter är inblandade, var tydlig med vem som bestämmer ändamål och medel för behandlingen innan du involverar en leverantör (ICO: controllers and processors; EDPB guidelines on controller and processor).
- När det är tillåtet: formulera en syntetisk fråga eller en mönsterfråga med minsta nödvändiga innehåll, ta bort alla inloggningsuppgifter och kontrollera på nytt om återstoden kan identifiera någon eller är kommersiellt känslig. Grundläggande cyberhygien för små och medelstora företag gäller fortfarande när ”systemet” bara är ett inklistringsfält i en chatt (ENISA cybersecurity guide for SMEs).
- Använd lokala eller avtalade verktyg bara när avtalet och din egen risktolerans faktiskt stöder dem – och undvik fortfarande att klistra in hemligheter du inte behöver klistra in.
- För förslag och uppdateringar, skriv ett strukturutkast utan att klistra in de känsliga bilagorna (förslagsutkast du fortfarande prissätter; sakliga kunduppdateringar).
Granska en nyligen förd chatt
Gå igenom din senaste AI-användning som rörde kundarbete utan att kopiera känsligt material till en ny plats. Om något kan ha passerat gränsen ska du stanna, anteckna verktyg, konto, tidpunkt och datakategori, och följa avtalets process för incidenter och underrättelser med kvalificerad rådgivning där det behövs. Om en inloggningsuppgift har exponerats ska du omedelbart använda kundens godkända rutin för akut byte av uppgifter och för säkerhetsrapportering. Radera eller ändra inte bevismaterial förrän den ansvariga parten instruerar dig att göra det. Stoppkortet för kundhemligheter är skrivbordsversionen av kontrollen före inklistring.
Ditt solo-AI-regelkort bör peka på den här stoppkontrollen som en hård regel, inte en preferens.
