En ingenjör fastnar på en bugg i kod som ingår i arbetsgivarens osläppta produkt. Klockan är nio på kvällen, den personliga ChatGPT-fliken är redan öppen, och att klistra in hela funktionen känns som snabbaste sättet att få svar. I mars 2023, inom cirka tre veckor efter att Samsungs halvledardivision tillåtits använda ChatGPT, identifierade företaget tre fall av precis detta: en anställd klistrade in källkod från ett halvledardatabasprogram för att få hjälp att hitta fel, en andra skickade in utrustningsrelaterad kod och begärde ”code optimization”, och en tredje laddade upp en mötesinspelning för att få den omvandlad till protokoll. Samsungs omedelbara svar var en nödbegränsning på 1 024 byte per prompt (The Economist Koreas rapportering, sammanfattad på engelska av Mashable). Den 1 maj 2023 hade företaget gått ännu längre och tillfälligt begränsat generativa AI-verktyg på företagsägda enheter helt (TechCrunch, “Samsung bans use of generative AI tools like ChatGPT after April internal data leak,” 2023).
Inget i den rapporterade händelsen krävde ont uppsåt. Att lämna konfidentiellt material till en tredjepartstjänst kan bryta mot policy eller avtal, och kan försvaga ägarens kontroll även om materialet aldrig publiceras. Exakt vilken rättslig effekt det får och vilken anmälningsplikt som gäller beror på omständigheterna och jurisdiktionen.
Vad som faktiskt räknas som en ”arbetshemlighet”
Inte allt arbetsrelaterat är en hemlighet i den mening den här artikeln avser. Kategorin som behöver stoppkontrollen är smalare och mer specifik:
- Källkod från ett proprietärt, osläppt eller konkurrenskänsligt system.
- Osläppta finansiella siffror – kvartalsresultat före offentliggörande, interna prognoser, prisstrategi.
- Oannonserade produkt- eller affärsplaner – en funktions-roadmap, ett förvärvsmål, ett förestående partnerskap.
- Säkerhetsdetaljer – sårbarheter, inloggningsuppgifter, tokens, privata URL:er, arkitekturdiagram eller produktionskonfiguration.
- Avtal och villkor under NDA – kundavtal, leverantörsavtal, allt en underskrift redan lovat att hålla konfidentiellt.
- Dokumenterade företagshemligheter som din arbetsgivare specifikt märkt eller hanterat som sådana (en formel, en process, en kundlista som byggts upp till verklig kostnad).
- Personuppgifter eller reglerade uppgifter om kunder, anställda, patienter, studenter eller andra människor – även när de inte är en företagshemlighet.
Ett första utkast till ett rutinmässigt internt memo, en offentlig platsannons eller en generell processfråga hör inte hit – poängen är inte att vara rädd för AI, utan att känna igen den smalare uppsättning saker som genuint behöver en annan väg.
Varför det här är mer än en artighet mot IT-avdelningen
De flesta AI-riktlinjer på arbetsplatsen ramar in det här som en fråga om policyefterlevnad, vilket är sant men underskattar insatserna för genuina företagshemligheter specifikt. Enligt amerikansk lag kvalificerar information bara för skydd som företagshemlighet om ägaren ”har vidtagit rimliga åtgärder för att hålla informationen hemlig” (18 U.S.C. § 1839(3)(A), antagen genom Economic Espionage Act och ändrad genom Defend Trade Secrets Act) – skyddet beror på ett pågående mönster av att faktiskt hålla informationen under kontroll, inte bara på att den är värdefull eller opublicerad. EU-rätten sätter en jämförbar ribba: en företagshemlighet måste ha varit ”föremål för rimliga åtgärder, med hänsyn till omständigheterna, från den person som lagligen förfogar över informationen, för att hålla den hemlig” (direktiv (EU) 2016/943, artikel 2(1)(c)).
Konsumenttjänster har visserligen egna villkor, men de villkoren är kanske inte de villkor om sekretess, säkerhet, lagringstid, geografisk placering och personuppgiftsbehandling som arbetsgivaren förhandlat fram och som materialet kräver. Att skicka en genuin företagshemlighet till en ogodkänd leverantör kan motverka ägarens rimliga sekretessåtgärder. Om en viss händelse rättsligt räknas som ett röjande, eller påverkar skyddet, beror på villkoren, kontrollerna, omständigheterna och jurisdiktionen; anställda ska inte avgöra den saken utifrån en produktetikett.
Att radera den synliga chatten ångrar inte överföringen, och det uppfyller kanske inte skyldigheterna kring incidenthantering eller bevarande av bevis. Om en inklistring sker av misstag: stanna, notera verktyg, konto, tidpunkt och datakategori utan att kopiera hemligheten igen, och anmäl det utan dröjsmål via arbetsgivarens säkerhets- eller dataskyddsprocess. Följ dess instruktioner om radering, byte av inloggningsuppgifter, kontakt med leverantören, bevis och underrättelser.
Missuppfattningen som orsakar skadan
Skadan kan börja med att risken bedöms enbart utifrån om hemligheten blev offentlig. Överföringen till en obehörig tredjepartstjänst kan spela roll även om materialet aldrig publiceras. Produktnivå, tenantkonfiguration, avtal och leverantörens kontroller skiljer sig åt; ett varumärke eller etiketten ”enterprise” fastställer i sig inget godkännande. Det är arbetsgivarens behöriga policyägare som kan bedöma den exakta vägen. Integritet och datahygien på jobbet täcker hur du kontrollerar ett verktygs faktiska villkor för datahantering när du vet vilket verktyg du använder; den här artikeln täcker den smalare regeln att inte klistra in hemligheten medan du fortfarande är osäker.
En andra missuppfattning behandlar ”alla i mitt team gör det här” som bevis för att det är okej. Samsung-fallet involverade flera ingenjörer som gjorde samma rimligt klingande individuella val, oberoende av varandra, innan någon på företaget upptäckte det. Kollegors beteende är inte verifiering.
En tredje missuppfattning är att anta att den här regeln bara gäller ingenjörer och källkod. Finansiella siffror, ett tidigt utkast till ett förvärvs-memo och ett kalkylblad med osläppta prisnivåer är lika exponerade i det ögonblick de klistras in i ett personligt konto, och personen som hanterar dem är ofta inom ekonomi, försäljning eller drift snarare än teknik – kontrollen med de sex kategorierna nedan gäller på samma sätt oavsett din roll eller avdelning.
Stoppkontrollen med sex kategorier
Innan du klistrar in något i något AI-verktyg som inte är din arbetsgivares specifikt godkända, företagsanpassade konto, kontrollera om det faller in under något av följande:
- Källkod från ett osläppt eller proprietärt system.
- Finansiella siffror som ännu inte offentliggjorts.
- En oannonserad produkt, funktion eller affärsplan.
- En säkerhetsdetalj – en sårbarhet, inloggningsuppgift eller produktionsarkitektur.
- Något som omfattas av en undertecknad NDA eller sekretessklausul.
- Något din arbetsgivare klassat som konfidentiellt, samt personuppgifter eller reglerade uppgifter som omfattas av policy eller lag.
Om något svar är ja, stanna. Att hitta och läsa din arbetsgivares faktiska AI-policy är första steget för att ta reda på om ett godkänt verktyg alls finns för den här typen av innehåll – vissa företag har ett, vissa har det ännu inte, och att gissa åt någotdera hållet är misstaget den här artikeln finns för att förebygga.
Vad du gör i stället
- Använd bara exakt det verktyg, den tenant, det konto och den datatyp din arbetsgivare godkänt. En jobbmejladress eller en marknadsföringsetikett med ordet ”enterprise” räcker inte i sig.
- Om inget godkänt verktyg finns för den här typen av innehåll, använd inte AI på det ännu. Fråga din chef eller IT/säkerhet om det finns en undantagsprocess, snarare än att ensam besluta att bekvämligheten är värd risken.
- Om policyn tillåter en abstrakt fråga om ett mönster, använd syntetiska eller minsta nödvändiga uppgifter, och kontrollera på nytt att inget kan återidentifieras och att ingen affärslogik, hemlighet eller personuppgift följer med. Avidentifiering är en riskbedömning, inte en sök-och-ersätt-övning.
Granska din senaste AI-konversation
Gå igenom din senaste arbetsrelaterade AI-användning utan att kopiera känsligt innehåll till en ny plats. Om något kan ha hamnat i ett ogodkänt verktyg: använd arbetsgivarens incidentväg utan dröjsmål, och radera eller ändra inte bevis på eget initiativ om du inte blir instruerad att göra det. Byt exponerade inloggningsuppgifter via den godkända akutprocessen. Stoppkortet för arbetshemligheter ger dig en version av kontrollen att köra innan du klistrar in.
Brittiska ICO:s interna policy för AI-användning, NCSC:s vägledning för säker AI och ICO:s vägledning om uppgiftsminimering stöder kontroller kring godkända system, incidenter, säkerhet och minsta nödvändiga uppgifter. De avgör inte den rättsliga effekten av ett enskilt röjande.
