Beskyt forretningshemmeligheder og undgå fatale data-lækager gennem sikre prompts i et roligt kontor.

Beskyt forretningshemmeligheder: Sådan undgår I fatale data-lækager gennem AI-prompts

/ AI Act og compliance, AI for din branche, AI-modstand og medarbejder-buy-in, Prompt Engineering / Af
Øvet Deep dive 8 min læsning

Din salgschef kopierer hele jeres prisstruktur ind i ChatGPT for at få hjælp til et tilbud. Din marketingafdeling indsætter et fortroligt strategidokument for at få et resumé. Det tager fem sekunder, og skaden kan koste hundredtusindvis af kroner. Ifølge IBM koster en gennemsnitlig sikkerhedshændelse relateret til datalæk omkring 670.000 USD. Denne artikel giver dig konkrete greb til at beskytte jeres forretningshemmeligheder, når medarbejderne bruger AI i hverdagen. Har du brug for det store overblik over jura og AI først, så start med vores komplette guide til AI og corporate compliance. Her ser vi nærmere på de juridiske faldgruber og muligheder, der former lederens strategiske overvejelser.

Indholdsfortegnelse

Kan vores data ende i AI-modellernes træningsdata?

Ja, det kan de. Mange gratis AI-værktøjer bruger som standard de data, du indtaster, til at forbedre deres modeller. Det betyder, at den kildekode, prisstruktur eller kundeliste, du indsætter i et chatvindue, potentielt kan dukke op som grundlag for svar til andre brugere.

Forestil dig en indkøbschef i en fødevarevirksomhed, der manuelt sammenligner 200 leverandørtilbud. Hun kopierer alle tilbuddene ind i et gratis AI-værktøj for at få en hurtig rangering. Priser, leverandørnavne, kontraktvilkår. Det hele ryger ind i et system, hvor hun ingen kontrol har over, hvad der sker med informationerne bagefter.

Gratisversioner vs. betalte enterprise-løsninger

Forskellen er afgørende. Gratisversioner af ChatGPT, Gemini og lignende værktøjer har typisk vilkår, der tillader brug af dine input til træning. Betalte enterprise-licenser, som Microsoft Copilot og ChatGPT Enterprise, giver dig derimod en kontraktlig garanti for, at dine data ikke bruges til modeltræning. Hvis du er i tvivl om, hvilken der er mest GDPR-sikker, har vi en dybdegående sammenligning.

Tænk på det som forskellen mellem at sende et fortroligt brev som åbent postkort og at sende det i en forseglet kuvert. Indholdet er det samme. Beskyttelsen er vidt forskellig.

Problemet er, at mange medarbejdere slet ikke kender forskellen. De bruger det værktøj, der er nemmest tilgængeligt. Det er netop her, skygge-AI bliver en reel trussel, fordi brugen foregår uden IT-afdelingens viden.

Sådan skriver du prompts der ikke lækker forretningshemmeligheder

Undgå fatale data-lækager ved at skrive sikre prompts, der beskytter jeres forretningshemmeligheder.

Titlen lover dig konkrete greb til at beskytte forretningshemmeligheder gennem AI-prompts. Det betyder at du skal vide, hvordan du faktisk formulerer dine prompts anderledes. Her er de mest almindelige lækage-situationer og præcis, hvad du i stedet skal skrive.

Problem 1: Du indsætter rå data med rigtige navne og tal

Farlig prompt:

"Her er vores prisstruktur for 2024. Kunde A betaler 450.000 kr., kunde B betaler 280.000 kr., og vores avancemargin på produkt X er 34%. Hjælp mig med at lave et tilbud til en ny kunde."

Sikker prompt:

"Hjælp mig med at strukturere et B2B-tilbud for en konsulentydelse. Prisen fastsættes separat. Tilbuddet skal dække implementering, support og løbende licens. Kunden er en mellemstor produktionsvirksomhed."

Reglen er enkel: Hvis du kan erstatte et konkret tal eller navn med en beskrivelse af typen af information, så gør det.

Problem 2: Du indsætter et fortroligt dokument for at få et resumé

Farlig prompt:

[Kopierer hele det interne strategidokument med markedsandele, opkøbsplaner og EBITDA-prognoser ind i chatvinduet]
"Lav et resumé af dette."

Sikker prompt – metode 1: Beskriv strukturen i stedet:

"Jeg har et strategidokument på 12 sider med afsnit om markedsposition, vækststrategi og finansielle mål. Giv mig en skabelon til et executive summary for den type dokument."

Du skriver resuméet selv ud fra skabelonen. AI hjælper med formen, ikke indholdet.

Sikker prompt – metode 2: Anonymisér før du indsætter:

"Her er et uddrag af et internt strategidokument. Virksomhedsnavne og tal er erstattet med placeholders. Hjælp mig med at gøre sproget skarpere og mere handlingsorienteret:

[Virksomhed A] forventer at øge sin markedsandel i [segment X] med [X]% inden [årstal] gennem [type af strategi].."

Problem 3: Du beder AI om at analysere en kontrakt med reelle vilkår

Farlig prompt:

"Her er vores hemmeligholdelsesaftale med leverandør Acme GmbH. Tjek om klausul 4.2 er problematisk for os."

Sikker prompt:

"Jeg har en NDA med en leverandør. Klausulen lyder som følger, og alle specifikke navne er fjernet: 'Modtagende part må ikke videregive fortrolig information til tredjepart i en periode af [X] år efter aftalens ophør, med undtagelse af..' Er dette en standardformulering, og hvilke risici bør jeg være opmærksom på?"

Problem 4: Du bruger AI til at forberede en forhandling

Farlig prompt:

"Vi forhandler med TDC om en ny rammeaftale. Vores maksimale budget er 2,3 millioner, men vi vil starte med at byde 1,8 millioner. Hvad er den bedste strategi?"

Sikker prompt:

"Jeg forbereder en forhandling om en IT-serviceaftale med en stor leverandør. Hjælp mig med at identificere de vigtigste forhandlingspunkter og typiske koncessioner leverandøren kan give. Jeg angiver ikke specifikke budgettal her."

Problem 5: Du indsætter kildekode for at få hjælp til fejl

Farlig prompt:

[Kopierer 300 linjer proprietær kode med kommentarer der afslører systemets arkitektur og forretningslogik]
"Find fejlen i denne kode."

Sikker prompt:

"Jeg har et problem med en funktion der skal beregne rabatter baseret på kundesegment. Her er et forenklet eksempel med samme logik, men uden vores faktiske forretningsregler:

def calculate_discount(customer_tier, order_value):
    if customer_tier == 'A':
        return order_value * 0.10
    return 0

Funktionen returnerer 0 selv for tier A-kunder. Hvad kan fejlen være?"

Du isolerer typen af problem, ikke den faktiske kode.

Den generelle regel for sikre prompts

Stil dig selv dette spørgsmål, inden du trykker send:

"Hvis denne samtale blev offentliggjort i morgen, ville det skade vores forretning?"

Hvis svaret er ja, skal du omformulere. Den enkleste metode er abstraktionsprincippet: Beskriv problemets form og type, ikke de faktiske data. AI er lige så nyttig, når den arbejder med strukturen i dit problem. den behøver ikke det faktiske indhold for at hjælpe dig.

Tre konkrete tiltag mod datalæk

Løsningen er ikke at forbyde AI. Det driver bare brugen under radaren. I stedet er der tre konkrete tiltag, der faktisk virker.

1. Klassificér jeres data, før de rammer et AI-værktøj

Lav en simpel opdeling i tre kategorier:

  • Grøn: Offentlig information, som allerede ligger på jeres hjemmeside. Frit at bruge i alle AI-værktøjer.
  • Gul: Intern information, der ikke er offentlig, men som heller ikke er kritisk. Må kun bruges i godkendte enterprise-værktøjer med databehandleraftale.
  • Rød: Forretningshemmeligheder, persondata, kildekode, strategidokumenter. Må aldrig indtastes i eksterne AI-værktøjer. Punkt.

Denne klassificering er et vigtigt skridt i den generelle risikoklassificering af jeres AI-systemer, hvor I vurderer, om et system udgør en uacceptabel risiko for forretningen. En marketing-manager i en B2B-virksomhed, der bruger to dage om ugen på kvartalsrapporter, kan sagtens bruge AI til at strukturere og formulere rapporten. Men hun skal vide, at de faktiske omsætningstal og kundetal tilhører den røde kategori og skal anonymiseres, før de kommer i nærheden af et chatvindue.

2. Giv medarbejderne et godkendt alternativ

Forbud uden alternativer virker ikke. Hvis I ikke tilbyder et sikkert AI-værktøj, finder medarbejderne selv et. Investér i en enterprise-licens, der giver jeres team adgang til AI med kontraktlig databeskyttelse. Microsoft Copilot er ét eksempel, men der findes flere muligheder. Det vigtige er, at værktøjet har en databehandleraftale, der eksplicit udelukker brug af jeres data til modeltræning.

3. Skriv det ned i en intern AI-politik

En politik behøver ikke at være 40 sider jura. Den skal besvare tre spørgsmål for medarbejderen: Hvilke værktøjer må jeg bruge? Hvilke data må jeg indtaste? Hvem spørger jeg, hvis jeg er i tvivl? Vi har skrevet en hel guide til, hvordan I bygger en intern AI-politik, som I kan bruge som udgangspunkt.

Hvad er ring-fencing i en databehandleraftale?

Ring-fencing er et begreb, der lyder mere kompliceret, end det er. Det betyder simpelthen, at jeres data holdes i en lukket indhegning, hvor de ikke kan blandes med andre kunders data eller bruges til at træne den generelle AI-model.

Når I forhandler en databehandleraftale (DPA) med en AI-leverandør, er ring-fencing den klausul, der sikrer, at jeres fortrolige oplysninger forbliver jeres. Konkret bør aftalen indeholde:

  • En eksplicit garanti for, at input ikke bruges til modeltræning
  • Klar angivelse af, hvor data opbevares geografisk (EU er et minimumskrav for GDPR-overholdelse)
  • En beskrivelse af, hvornår data slettes efter behandling

En dansk sundhedsregion krævede eksempelvis, at deres AI-løsning blev hostet i et dansk datacenter med fuld ring-fencing. Det betød, at ingen patientdata nogensinde forlod dansk jord eller blev blandet med andre kunders information. Samme princip gælder for jeres forretningshemmeligheder, uanset om I er en kommune, en produktionsvirksomhed eller et rådgivende ingeniørfirma.

Vil du forstå hele billedet omkring databehandleraftaler, har vi en dybdegående artikel om de uundværlige krav til jeres AI-leverandør.

Den praktiske tjekliste til mandag morgen

Før I lukker denne artikel, er her fire ting I kan gøre i næste uge:

  1. Tjek om jeres medarbejdere bruger gratis AI-værktøjer til arbejdsopgaver. Spørg dem direkte. De fleste svarer ærligt.
  2. Lav den simple grøn/gul/rød-klassificering af jeres datatyper.
  3. Undersøg, om jeres nuværende AI-værktøj har en databehandleraftale med ring-fencing. Hvis ikke, er det tid til en opgradering.
  4. Kommunikér klart til alle medarbejdere, hvad der er tilladt, og hvad der ikke er. og brug prompt-eksemplerne fra denne artikel som konkrete eksempler i onboardingen.

Målet er ikke at skabe frygt. Det er at give medarbejderne trygge rammer, så de kan bruge AI uden at bekymre sig om, hvorvidt de lige har lækket noget, de ikke burde. En klar politik, de rette værktøjer og medarbejdere der ved hvordan de formulerer deres prompts er forskellen mellem kontrolleret AI-brug og en datalæk, der først opdages, når skaden er sket.

Ofte stillede spørgsmål

FORTSÆT LÆSNINGEN

Relaterede artikler