”Vad händer med dina promptar när du använder AI?”
Nyligen briserade en smärre bomb i AI-kretsar. Den nya, kinesiska generativa AI-tjänsten, Deepseek, utmanade andra liknande amerikanska AI-tjänster såsom ChatGPT, Claude, Grok och Llama. Deepseek fick inte bara bra poäng på olika tester utan vissa hävdade också att dess AI-modeller hade tränats på en enklare hårdvara och till en lägre kostnad, något som fick amerikanska börsen att darra.
Inte långt efter att nyhetens behag kring Deepseek hade börjat lägga sig höjdes också varnande röster. Vart tar datan som matas in i Deepseek vägen? (Till Kina) Hur används den där? (Oklart) Har myndigheter där åtkomst till dessa data? (Ja, enligt användaravtal och kinesisk lagstiftning).
Den 30 januari i år beslutade vår italienska systermyndighet att blockera användningen av Deepseek i Italien just på grund av oro för hur italienares personuppgifter skulle kunna komma att användas om de matades in i Deepseek. Enligt ett pressmeddelande från den italienska myndigheten uppger bolaget bakom Deepseek att det inte anser sig bedriva verksamhet i Italien och att bolaget därför inte omfattas av europeisk lagstiftning.
Den Europeiska dataskyddsstyrelsen (EDPB) har sedan tidigare haft en arbetsgrupp, task force, som undersökt ChatGPT). Vid det senaste plenarmötet i början av februari beslutade EDPB att utöka gruppens uppdrag till att titta bredare på riskerna med olika typer av AI-lösningar.
På IMY följer vi såklart utvecklingen inom AI, inklusive olika generativa AI-modeller, och samarbetar med våra systermyndigheter inom EDPB i frågor som rör detta. Den 1 augusti 2024 trädde även EU:s AI-förordning i kraft. Den avser att reglera utveckling, tillhandahållande och användning av AI inom EU. AI-system regleras enligt en riskbaserad modell där vissa AI-system är helt förbjudna medan andra AI-system med så kallad hög risk är tillåtna men enbart om särskilda krav är uppfyllda (såsom registrering och CE-märkning).
Oavsett vilken AI-tjänst du använder behöver du känna till att det inte bara är dina frågor som skickas till företaget bakom tjänsten. Vad som skickas i övrigt skiljer sig från tjänst till tjänst, men kan inkludera din e-postadress, IP-adress, typ av webbläsare, typ av enhet du använder (mobil eller dator), operativsystem och lokaliseringsinformation. Även om du skulle använda en AI-tjänst utan eget användarkonto finns det risk att du ändå kan identifieras med det unika ”fingeravtryck” som du lämnar ifrån dig i form av uppgifter om vilken webbläsare, operativsystem, skärmupplösning, typsnitt, surfbeteenden med mera. För vissa AI-tjänster kan kommunikationen mellan användare och företagets servrar ske utan kryptering vilket då medför risker för att någon annan kommer åt informationen.
Tänk till innan du börjar använda AI-tjänster
Både verksamheter och enskilda som vill använda AI-tjänster bör först ställa sig ett antal viktiga frågor:
- Hur används och sparas de uppgifter, till exempel dokument och bilder, som jag matar in i en AI-tjänst?
- Vilka möjligheter att använda denna information har företaget bakom tjänsten?
- Förmedlar företaget de uppgifter jag matat in vidare till andra företag
- Används mina uppgifter till att vidareutveckla AI-tjänsten?
- Hur länge sparas mina uppgifter?
- Går min användardata att radera?
Detta är bara några av alla de frågor som man kan behöva fundera på.
Vare sig det är personuppgifter eller exempelvis uppgifter om ditt företags affärsplaner som du matar in i en AI-tjänst är det viktigt att du överväger vilka risker det kan medföra. Detta gäller oavsett vilken AI-tjänst du använder. Exempelvis om du ber en AI-tjänst sammanfatta ditt företags senaste icke-publika innovationsstrategi – används den strategin för att träna den tjänst du använder? Skulle någon annan som använder den tjänsten vid ett senare tillfälle kunna ställa frågor som gör att den informationen kommer dem till del? Vad skulle företaget bakom den tjänsten kunna använda informationen i strategin till? Skulle det påverka ditt företags möjligheter att sälja sin senaste innovation på marknaden?
Idag finns det många oklarheter kring hur data som matas in i dessa AI-tjänster används av de företag som äger tjänsterna, så fundera lite på vad som händer med dina promptar?
Christelle Bourquin, chef för enheten för säkerhetstillsyn