Vi får allt fler frågor från kunder som vill använda externa AI-verktyg tillsammans med sin Microsoft 365-miljö. Det förstår vi. Verktygen är bra och nyttan är verklig.
Men innan ni kopplar ihop systemen finns några frågor som är värda att reda ut.
Vad händer när ni kopplar på verktyget?
När ni ger ett AI-verktyg åtkomst till Microsoft 365 kan det, beroende på vilka behörigheter och funktioner ni har godkänt, få tillgång till information som användaren har rätt att se. Det kan handla om mejl, kalenderinformation, konversationer och dokument. Och det är där frågan blir större än bara AI.
I materialet kan det finnas namn, e-postadresser och telefonnummer till kunder och leverantörer. Där kan också finnas offerter, avtal och annan verksamhetsinformation. Därför behöver ni veta vilken information tjänsten får åtkomst till, hur den behandlas och vilka avtal som gäller, innan kopplingen görs.
Privata konton är ett särskilt problem
Många använder ChatGPT eller Claude via ett privat konto, gratis eller med en personlig prenumeration.
För arbetsrelaterad information skapar det flera problem:
- Företaget har sämre kontroll över kontot och hur det används.
- IT får sämre möjligheter att styra åtkomst och inställningar.
- Information och historik riskerar att bli knuten till den enskilda användaren i stället för organisationen.
- Villkoren för hur data används kan skilja sig från företagstjänsternas.
Att någon betalar för sitt privata abonnemang gör alltså inte automatiskt tjänsten till företagets tjänst.
Skillnaden mellan konsument- och företagslösningar är viktig. Exempelvis gäller OpenAI Services Agreement för bland annat ChatGPT Business och Enterprise och inkluderar ett DPA när kunddata innehåller personuppgifter. Avtalet gäller däremot inte generellt för konsumenttjänster.
Vad är ett personuppgiftsbiträdesavtal?
När en leverantör behandlar personuppgifter för ett företags räkning behöver roller, ansvar och villkor för behandlingen vara reglerade enligt GDPR.
Det görs normalt genom ett personuppgiftsbiträdesavtal, ofta kallat PUB-avtal eller DPA. Avtalet reglerar bland annat hur uppgifterna får behandlas, vilka säkerhetsåtgärder som gäller, användning av underbiträden och vad som händer med informationen när avtalet upphör. I OpenAI Data Processing Addendum regleras exempelvis instruktioner för behandlingen, säkerhet, incidenter, underbiträden, radering och internationella överföringar.
Ett PUB-avtal är dock inte samma sak som att all behandling automatiskt är tillåten. Företaget behöver fortfarande bedöma bland annat ändamål, rättslig grund, vilka uppgifter som behandlas och eventuella tredjelandsöverföringar.
Med företagslicens: vilka frågor finns kvar?
En företagslösning ger bättre förutsättningar för styrning, men beslutet är inte färdigt bara för att ett avtal finns.
Några frågor behöver fortfarande besvaras:
- Var behandlas informationen? För OpenAI kan personuppgifter från EES överföras utanför EES med bland annat standardavtalsklausuler eller beslut om adekvat skyddsnivå som skyddsmekanism.
- Används informationen för träning? OpenAI anger att innehåll från företagskunder inte används för att utveckla eller förbättra tjänsterna utan kundens uttryckliga medgivande. Anthropic uppger på motsvarande sätt att input och output från kommersiella tjänster inte används för modellträning som standard.
- Hur länge sparas information? “Ingen träning” betyder inte automatiskt “ingen lagring”. Lagring och undantag behöver bedömas utifrån aktuell tjänst och konfiguration.
- Vilka behörigheter har användarna redan? AI gör befintliga behörigheter ännu viktigare. Ett verktyg som arbetar mot Microsoft 365-information kan använda den information användaren redan har åtkomst till.
- Vilka andra leverantörer blir inblandade? Även användning av alternativa modeller inuti en befintlig plattform kan påverka hur data behandlas.
Den sista punkten är lätt att missa. Microsoft uppger att Copilot respekterar användarens befintliga åtkomst till organisationsdata och att prompts, svar och data som hämtas via Microsoft Graph inte används för träning av de grundläggande språkmodellerna. Samtidigt är Anthropic-modeller som används via Microsoft för närvarande undantagna från EU Data Boundary. För EU/EFTA och Storbritannien är dessa modeller avstängda som standard och kräver aktivering av organisationen.
Vad rekommenderar Aderian CoreIT?
Börja med det ni redan har kontroll över.
För verksamheter som redan arbetar i Microsoft 365 är Copilot ett naturligt alternativ att utvärdera först. Det arbetar med Microsoft 365-data utifrån användarens befintliga behörigheter och omfattas av Microsofts befintliga åtaganden för säkerhet, integritet och regelefterlevnad för kommersiella Microsoft 365-kunder.
Men även här behöver behörigheterna vara rätt från början. Om en användare har åtkomst till information som egentligen är för brett delad kan Copilot också använda den informationen när det besvarar frågor.
Undvik privata konton för arbetsrelaterade uppgifter.
Och om ni vill koppla ytterligare AI-tjänster till Microsoft 365, börja inte med själva knappen för att ansluta tjänsten.
Börja med tre frågor:
- Vilka uppgifter kommer verktyget åt?
- Vilka avtal och villkor gäller?
- Vilka behörigheter har användarna redan?
Det är betydligt enklare att svara på dem innan ni kopplar på verktyget.
Funderar ni på att koppla ChatGPT, Claude eller andra AI-verktyg till Microsoft 365?
Börja med att ta reda på vad verktyget faktiskt får tillgång till. Aderian CoreIT hjälper er att gå igenom behörigheter, avtal och alternativ innan ni kopplar på.
