IT-Gruk 11/2023: Kjenner du brukervilkårene til ChatGPT?

Brukervilkårene til ChatGPT, som tilbys av OpenAI LLC (OpenAI), består av flere dokumenter. Utgangspunktet er å finne i Terms of Use (https://openai.com/policies/terms-of-use). Versjonen fra 14. mars 2023 peker på flere underliggende retningslinjer: (i) Service Terms (ii) Sharing & Publication Policy (iii) Usage Policies og (iv) Privacy Policy. I tillegg vises det til: “and other documentation, guidelines, or policies we may provide in writing”. Eksempler på det siste er en side som viser de land hvor det er lov å bruke ChatGPT, som innenfor Norge og andre EU/EØS-land. Russland er utelatt. OpenAI forbeholder seg retten til å endre vilkårene fortløpende, men med et 30 dagers varsel før nye vilkår trer i kraft.

Bruk av ChatGPT vil kunne innebære overføring av personopplysninger til USA. Det har ChatGPT tatt høyde for i sine vilkår og OpenAI mener de følger GDPR ved å gi tilsvarende rettigheter til borgere i EU/EØS. Innenfor EU/EØS er OpenAI Irland Limited utpekt som kontaktpunkt, og med mulighet for databehandleravtale hvor OpenAI er å anse som databehandler. Etter adekvansbeslutningen for USA fra juli er overføring av personopplysninger til USA et mindre problem enn før, men det er verdt å merke seg at OpenAI foreløpig ikke er å finne på listen dataprivacyframework.gov.

Brukervilkårene skiller mellom den tekst som du lager når du lager en forespørsel (som gjerne kalles en «prompt»: instruksjon, spørsmål eller informasjon som AI-løsningen trenger for å gi deg et svar). Denne teksten benevnes som «Input» og svaret fra ChatGPT er «Output». Sammen utgjør input og output et innhold («Content»). Brukervilkårene tydeliggjør at du eier all input, mens du gis alle rettigheter til å bruke output forutsatt at du følger brukervilkårene. Samtidig presiseres det at innholdet som genereres ikke nødvendigvis er unikt og kan gi samme svar på tilsvarende spørsmål, samt at svaret ikke nødvendigvis er korrekt.

Forholdet rundt rettigheter til innhold er søkt definert gjennom retningslinjene omkring bruk av innhold, samt deling- og publiseringsretningslinjer. Du skal nemlig ikke bruke innhold som du ikke har rettigheter til, er ulovlig osv. Men samtidig så gis det ingen garantier for at det kan oppstå rettighetskonflikter, og derfor bør bruk av output i egen virksomhet vurderes nøye.

En av de sentrale bekymringene ved bruk av ChatGPT er hvordan OpenAI bruker informasjon om brukerne og deres «Input». Her er det viktig å skille mellom forskjellig type informasjon, og spesielt vurdere risiko knyttet til om personopplysninger. En løsning er å etablere en sandkasse-lignende løsning hvor eksempelvis data filtreres før spørsmål sendes til ChatGPT. Når det gjelder ChatGPT sine vilkår fremgår det at (bruker-)personopplysninger vil brukes for å kunne bruke løsningen, slik som identifisere brukere, deres mønstre, loggingdata osv. Dette vil være hjemlet etter primært avtale eller en berettiget interesse. Personopplysninger i innhold ligger i innholdet («Content»).

For «Content» så skiller ChatGPT mellom det innhold som kommer gjennom et API og innhold som ikke er API-basert. For hvis du bruker ChatGPT gjennom en annen løsning som forutsetter et API (les: kobling eller integrasjon) så vil ikke ChatGPT bruke ditt innhold. Dette har du retten til som det følger av over. Samtidig følger det at hvis du ikke bruker et API så vil ChatGPT kunne bruke dette ikke-API innholdet til å utvikle og forbedre sin løsning. Personopplysninger vil dermed kunne være en del av ikke-API-innhold. Dermed så gir OpenAI seg selv en rett til å bruke innholdet ditt og dine personopplysninger til å trene ChatGPT når du bruker ChatGPT sin online-løsning som bruker. For virksomheter som gir sine ansatte muligheten til å bruke ChatGPT så innebærer det en risiko for at data fra virksomheten tilflyter OpenAI. Men før jeg svartmaler helt; det er mulig å reservere seg mot slik bruk gjennom innstillinger eller gjennom et skjema (User Content Opt Out Request).

Har du brukt ChatGPT uten å tydeliggjøre at innholdet er skapt helt eller delvis av ChatGPT? Vel, da har du brutt vilkårene. Bruken og retten til å bruke ChatGPT forutsetter en grad av åpenhet ved at brukeren må tydeliggjøre at innholdet er skapt ved bruk av ChatGPT. Dette gjelder både når innholdet brukes direkte fra ChatGPT eller hvor det bearbeides i ettertid og dermed er delvis brukt. I «Sharing and Publication Policy» er det til og med laget et forslag til tekst hvor kravet til kreditering og menneskelig «oversight» er inntatt, samt en ansvarsfraskrivelse for OpenAI: “The author generated this text in part with GPT-3, OpenAI’s large-scale language-generation model. Upon generating draft language, the author reviewed, edited, and revised the language to their own liking and takes ultimate responsibility for the content of this publication.” Dette krediteringsvilkåret samsvarer også med kravet i AI-reguleringen som forutsetter at bruk av AI er åpent og forutsetter menneskelig overvåkning.

Av andre brukervilkår kan nevnes at brukere må være over 18 år. Det åpnes for at brukere kan være under 18 år ved at brukere mellom 13-18 år må ha tillatelse fra foreldre. I tillegg kan du ikke sende OpenAI informasjon om barn under 13 år eller annen aldersgrense som måtte gjelde. OpenAI tar heller intet ansvar for bruk av ChatGPT og tilbyr tjenesten som den er («as-is»). Ansvarsbegrensningen i avtalen med OpenAI er satt til USD 100 for de siste 12 måneders bruk.

Merk at brukervilkårene gjelder fra du tar tjenesten i bruk og frem til du slutter å bruke tjenesten (dog overlever enkelte vilkår). Som bruker kan du avslutte bruken umiddelbart, mens OpenAI kan terminere med 30 dagers varsel med mindre du bryter vilkårene. Ved brudd på vilkårene kan OpenAI avslutte eller suspendere bruken uten opphold.

Merk også OpenAI sine brukervilkår er underlagt amerikansk rett med California som lovvalg og jurisdiksjon i San Francisco. Dette kan åpne for enkelte lovvalgskonflikter. Spesielt når AI-reguleringen kommer, vil det måtte vurderes hvordan denne påvirker tjenester som ChatGPT.

Til slutt en liten morsomhet fra Usage Policies. Enkelte kan huske en liten nyhet før sommeren om et amerikansk advokatfirma som fikk ChatGPT til å lage et resyme som innehold fiktive rettsavgjørelser. Fra Usage Policies følger det en passus som forbyr juridiske råd ved bruk av ChatGPT: “We don’t allow the use of our models for the following…Engaging in the unauthorized practice of law, or offering tailored legal advice without a qualified person reviewing the information. OpenAI’s models are not fine-tuned to provide legal advice. You should not rely on our models as a sole source of legal advice.” Tilsvarende finnes også for helseforhold og finansielle råd. Mao. OpenAI vil helst ikke bli saksøkt for feil juridiske råd. Fortsatt god sommer!

GRETTE TEKNOLOGI OG DIGITALISERING: NYHETSBREV | FROKOSTMØTE: Vi bistår alle typer virksomheter med vurderinger knyttet til personvern/GDPR, IT-kontrakter/prosjekter, immaterialrett og andre rettsforhold knyttet til teknologi og digitalisering. Ta gjerne uforpliktende kontakt for en innledende avklaring med ansvarlig for Grettes avdeling for Teknologi og digitalisering: Peter Lenda på tel 924 01 652 eller pele@grette.no. Tidligere IT-Gruk’er er tilgjengelige på Grettes nyhetssider.