Dataoverførselskonflikten
Kundesupportteams, der bruger ChatGPT til at udarbejde svar, står over for en strukturel GDPR-overholdelseskonflikt. Behandling af kundernes personlige data — navne, ordrenumre, adresser, klagedetaljer — gennem ChatGPT betyder, at disse data overføres til OpenAIs servere, som er placeret i USA. I henhold til GDPR Artikel 46 kræver overførsel af personlige data til et tredjeland tilstrækkelige sikkerhedsforanstaltninger: enten en tilstrækkelighedsbetragtning, Standardkontraktbestemmelser eller bindende virksomhedsregler.
OpenAI har offentliggjort Standardkontraktbestemmelser for erhvervskunder gennem ChatGPT Enterprise og API-tilbud. Men mange kundesupportteams bruger den standard ChatGPT-grænseflade gennem forbrugerkonti — konti, der ikke har de GDPR-kontraktbeskyttelser, som erhvervsaftalerne giver. En EU-revision i 2024 fandt, at 63% af ChatGPT-brugerdata kom fra konti, der ikke havde tilmeldt sig de databeskyttelsesindstillinger, der er tilgængelige for erhvervsbrugere.
Italiens Garante-reguleringshandling illustrerer håndhævelsesforløbet. I december 2024 bøde Garante OpenAI €15 millioner for ulovlig behandling af italienske brugeres personlige data — specifikt for behandling af data uden korrekt juridisk grundlag og uden at opfylde forpligtelserne til databeskyttelsesrettigheder. Bøden blev forudgået af et midlertidigt forbud mod ChatGPT i Italien i 2023 og omfattende forhandlinger om databehandlingspraksis. 63% af italienske virksomheder blev fundet at mangle GDPR-kompatible AI-brugspolitikker på tidspunktet for bøden.
JIT Anonymiseringsløsningen
Just-in-time (JIT) anonymisering løser dataoverførselskonflikten ved at sikre, at personlige data aldrig når ChatGPT's servere i første omgang. Anonymiseringen sker i det øjeblik, hvor prompten indsendes — mellem brugerens indsætningsbegivenhed og netværksoverførslen til OpenAI.
Chrome-udvidelsens opsnappingsarkitektur: når en kundesupportagent indsætter en kundeklage, der indeholder "Maria Dupont, ordre FR-2024-8847, sendt til 12 rue de la Paix, Paris" i ChatGPT-inputfeltet, opsnapper udvidelsen indsætningsbegivenheden. Før indholdet vises i inputfeltet, registrerer udvidelsen navnet, ordrenummeret og adressen. Agenten ser en forhåndsvisning. Agenten klikker på fortsæt. ChatGPT modtager en anonymiseret version uden personlige data — en komplet klagedescription med tokens, der erstatter identifikatorer.
ChatGPT genererer et svarudkast ved hjælp af de anonymiserede tokens. Udvidelsens auto-dekrypteringsfunktion erstatter de reelle værdier tilbage i AI's svar, så agenten ser et svar, der refererer til det rigtige kundenavn — men ChatGPT har aldrig behandlet det navn.
Under denne arkitektur opstår spørgsmålet om dataoverførsel i henhold til GDPR Artikel 46 ikke: de data, der overføres til ChatGPT's servere, er anonymiserede data, der ikke opfylder GDPR-definitionen af personlige data. Kundens navn, adresse og identificerende oplysninger forbliver inden for EU på agentens lokale browser. GDPR-overholdelse er strukturel snarere end kontraktuel.
Kilder: