En virksomhed opdager, at en medarbejder har indsat fortrolige oplysninger i en AI-tjeneste. Det kan være en kundeliste, der skulle sorteres, et tilbud, der skulle omskrives, eller kildekode, der skulle rettes. Måske er medarbejderen fratrådt og gået til en konkurrent. Måske er der blot tale om uforsigtighed.
Uanset motivet rejser situationen to spørgsmål for advokaten: Hvad kan dokumenteres om, hvad der blev delt? Og hvad har virksomheden selv gjort for at beskytte oplysningerne?
Hvad advokaten skal kunne svare på
Sagen afhænger typisk af fire tekniske forhold:
- Hvilke oplysninger blev indsat eller uploadet?
- Hvilken tjeneste og hvilken konto blev brugt: virksomhedens egen eller en privat?
- Hvornår skete det, og hvor mange gange?
- Hvad skete der bagefter: blev resultatet gemt, sendt videre eller brugt?
Svarene afgør, om sagen handler om et brud på en fortrolighedsforpligtelse, om brug af forretningshemmeligheder, eller om en intern sag om retningslinjer.
Virksomhedens egen konto
Har medarbejderen brugt en AI-tjeneste, som virksomheden selv stiller til rådighed, er mulighederne bedst. Virksomheden kan typisk via sin administrator:
- Eksportere medarbejderens interaktioner, hvis tjenesten og licensen understøtter det
- Se logs over, hvornår tjenesten blev brugt
- Se, hvilke filer der blev hentet fra virksomhedens systemer i samme periode
Disse data bør sikres, før medarbejderens konto lukkes. Mange virksomheder har rutiner for at slette eller deaktivere konti ved fratræden, og de rutiner kan fjerne netop de spor, der er brug for.
Medarbejderens private konto
Har medarbejderen brugt en privat konto, har virksomheden ikke selv adgang til samtalerne. Sporene skal så findes andre steder:
- Netværkslogs og proxylogs, der kan vise forbindelser fra arbejdscomputeren til AI-tjenesten
- Browserhistorik på arbejdscomputeren
- Logs fra filsystemer og cloudtjenester, der viser, at fortrolige filer blev åbnet eller hentet
- Udklipsholder og downloads, som i nogle tilfælde kan efterlade spor på computeren
- Data-lækage-værktøjer, hvis virksomheden bruger dem, som kan have registreret upload til eksterne tjenester
Disse spor viser sjældent selve indholdet af prompten. De kan vise, at der var forbindelse til tjenesten, og at fortrolige data var åbne på samme tidspunkt. Det er indicier, ikke direkte bevis, og de skal vurderes med forsigtighed. Indholdet kan kun hentes fra den private konto, typisk ved at medarbejderen selv eksporterer det. Undersøgelse af arbejdsudstyr, hvor der også kan være private data, rejser særlige spørgsmål. Se Medarbejderens private data på arbejdsudstyr.
Samtalen med medarbejderen
Ofte er den hurtigste vej til indholdet, at medarbejderen selv viser, hvad der er delt. Hvis medarbejderen samarbejder, kan advokaten foreslå, at medarbejderen eksporterer den relevante historik med tjenestens eget værktøj, mens en neutral person er til stede. Det giver bedre materiale end skærmbilleder, og det reducerer risikoen for indsigelser om udvalg.
Samarbejder medarbejderen ikke, er virksomheden henvist til de indirekte spor og til eventuelle retlige skridt. Det er derfor vigtigt, at sikringen af virksomhedens egne logs sker, før medarbejderen konfronteres. Ellers kan der være en risiko for, at private samtaler slettes, inden de er sikret.
Rimelige foranstaltninger
Efter lov om forretningshemmeligheder forudsætter beskyttelse blandt andet, at den, der har kontrol over oplysningerne, har truffet rimelige foranstaltninger for at holde dem hemmelige. I en sag om data i en AI-tjeneste vil modparten derfor ofte spørge, hvad virksomheden selv havde gjort.
Det kan være relevant at dokumentere:
- Retningslinjer for brug af AI-tjenester, og hvornår de blev indført og meddelt
- Klassifikation af de pågældende oplysninger som fortrolige
- Adgangsstyring: hvem havde adgang til kundelisten eller koden?
- Tekniske spærringer eller godkendte AI-tjenester
- Træning eller instruktion af medarbejdere
Dokumentationen bør vise tilstanden på det relevante tidspunkt, ikke som den ser ud efter hændelsen. Om virksomhedens foranstaltninger var rimelige, er en juridisk vurdering.
Hvad der typisk ikke kan dokumenteres
Advokaten bør være opmærksom på grænserne:
- Om AI-tjenesten har brugt oplysningerne til at træne sine modeller, kan som regel ikke afgøres ud fra virksomhedens egne data. Det afhænger af tjenestens vilkår og indstillinger for den konkrete konto.
- Om oplysningerne kan dukke op i svar til andre brugere, kan ikke dokumenteres ud fra virksomhedens data.
- Om medarbejderen har kopieret resultatet til en privat enhed, kan ofte kun vises indirekte.
Påstande om disse forhold bør formuleres forsigtigt og ikke gå længere end det, der kan underbygges.
Hastende skridt
Hvis der er risiko for videre brug af oplysningerne, kan der være behov for hurtig handling. Den tekniske dokumentation skal så være klar på kort tid. Se Forbud og påbud: IT-beviser i hastesager. Hvis sagen handler om en fratrådt medarbejder med en konkurrenceklausul, er det relevant at sammenholde med Konkurrenceklausuler: hvad retten typisk efterspørger.
Tab og sletning
Virksomheden vil ofte ønske at opgøre et tab og sikre, at oplysningerne slettes. Tabsopgørelsen kræver, at det kan sandsynliggøres, hvad der er delt, og hvad det har betydet. Se Opgørelse af tab ved datatyveri.
Sletning er vanskelig. Medarbejderen kan slette samtaler i sin konto, men virksomheden kan ikke kontrollere, hvad tjenesten selv har bevaret. En aftale om sletning bør derfor beskrive, hvad der skal slettes hos medarbejderen, og hvordan det dokumenteres. Se Sletning og tilbagelevering af data efter forlig eller dom.
Praktisk rækkefølge
- Afgræns hændelsen: hvilke oplysninger, hvilken medarbejder og hvilken periode.
- Sæt sletterutiner i bero for medarbejderens konto, postkasse og computer.
- Sikr logs fra AI-tjeneste, netværk, filsystemer og cloudtjenester for perioden.
- Sikr arbejdscomputeren, før den geninstalleres eller gives videre til en anden medarbejder.
- Find retningslinjer, klassifikation og adgangsstyring frem med datering.
- Planlæg samtalen med medarbejderen, når sporene er sikret.
- Vurder, om der er behov for hastende skridt.
Rækkefølgen sikrer, at de spor, der kan forsvinde, sikres først, og at virksomhedens egen dokumentation er klar, før modparten spørger til den. Mange logs gemmes kun i en begrænset periode, og en computer, der er geninstalleret efter en fratræden, er som regel tabt som kilde. Notér undervejs, hvem der gjorde hvad og hvornår. Det gør det lettere at forklare sikringen senere.
Typiske fejl
- At lukke medarbejderens konto, før data er sikret.
- At påstå, at oplysningerne er “lækket til offentligheden”, uden grundlag.
- At overse virksomhedens egne retningslinjer og deres datering.
- At undersøge arbejdscomputeren uden at tage højde for private data.
- At sætte lighedstegn mellem en forbindelse til en AI-tjeneste og upload af bestemte oplysninger.
- At konfrontere medarbejderen, før virksomhedens egne logs er sikret.
Tjekliste
- ☐ Tjeneste og kontotype er afklaret
- ☐ Interaktioner og logs fra virksomhedens konto er sikret
- ☐ Netværks-, browser- og fillogs er sikret for perioden
- ☐ Retningslinjer og adgangsstyring er dokumenteret med datering
- ☐ Påstande holdes inden for det, data kan bære
- ☐ Medarbejderens konto lukkes først, når data er sikret
En IT-sagkyndig bør inddrages tidligt, før konti lukkes og computere geninstalleres, så sporene kan sikres korrekt.
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT
