Konflikten kring datatransfer
Kundsupportteam som använder ChatGPT för att utarbeta svar står inför en strukturell konflikt kring GDPR-efterlevnad. Att behandla kunders personuppgifter — namn, order-ID, adresser, klagomålsdetaljer — genom ChatGPT innebär att överföra dessa uppgifter till OpenAIs servrar, som ligger i USA. Enligt GDPR Artikel 46 kräver överföring av personuppgifter till ett tredjeland adekvata skyddsåtgärder: antingen ett adekvatsbeslut, standardavtal eller bindande företagsregler.
OpenAI har publicerat standardavtal för företagskunder genom ChatGPT Enterprise och API-erbjudanden. Men många kundsupportteam använder den vanliga ChatGPT-gränssnittet genom konsumentkonton — konton som inte har de GDPR-kontraktsskydd som företagsavtal erbjuder. En EU-granskning 2024 visade att 63% av ChatGPT-användardata kom från konton som inte hade valt in i de dataskyddsinställningar som är tillgängliga för företagsanvändare.
Italiens Garante-regulatoriska åtgärd illustrerar genomförandets bana. I december 2024 bötfällde Garante OpenAI med 15 miljoner euro för olaglig behandling av italienska användares personuppgifter — specifikt för att ha behandlat data utan korrekt rättslig grund och utan att uppfylla skyldigheterna för registrerades rättigheter. Bötesbeloppet föregicks av ett tillfälligt förbud mot ChatGPT i Italien 2023 och omfattande förhandlingar om databehandlingspraxis. 63% av italienska företag befanns sakna GDPR-kompatibla AI-användningspolicyer vid tidpunkten för bötesbeloppet.
JIT-anonymiseringens lösning
Just-in-time (JIT) anonymisering löser konflikten kring datatransfer genom att säkerställa att personuppgifter aldrig når ChatGPT:s servrar från första början. Anonymiseringen sker i ögonblicket av promptinlämning — mellan användarens klistra in-händelse och nätverksöverföringen till OpenAI.
Chrome-tilläggets avlyssningsarkitektur: när en kundsupportagent klistrar in ett kundklagomål som innehåller "Maria Dupont, order FR-2024-8847, skickad till 12 rue de la Paix, Paris" i ChatGPT:s inmatningsfält, avlyssnar tillägget klistra in-händelsen. Innan innehållet visas i inmatningsfältet, upptäcker tillägget namnet, ordernumret och adressen. Agenten ser en förhandsgranskning. Agenten klickar på fortsätt. ChatGPT får en anonymiserad version utan personuppgifter — en fullständig klagomålsbeskrivning med token som ersätter identifierare.
ChatGPT genererar ett svarutkast med hjälp av de anonymiserade token. Tilläggets auto-avkrypteringsfunktion ersätter de verkliga värdena tillbaka i AI:s svar, så agenten ser ett svar som refererar till det verkliga kundnamnet — men ChatGPT har aldrig behandlat det namnet.
Under denna arkitektur uppstår inte frågan om datatransfer enligt GDPR Artikel 46: de data som överförs till ChatGPT:s servrar är anonymiserade data som inte uppfyller GDPR:s definition av personuppgifter. Kundens namn, adress och identifierande information förblir inom EU på agentens lokala webbläsare. GDPR-efterlevnad är strukturell snarare än kontraktsbaserad.
Källor: