Privat AI-konto i jobbet? Riskerna som många missar

En kodsnutt för felsökning, en ritning för att komma vidare med beräkningen. När AI ska hjälpa till i jobbet är det lätt att skicka med mer än man tänkt. Men vad får du lämna ut – och vem bär ansvaret när arbetsgivaren saknar en AI-policy?

Klockan är halv tio på kvällen och felsökningen har stått still sedan lunch. I det privata AI-kontot väntar en tom chattruta. Du klistrar in raderna som krånglar, skriver en fråga om vad som blivit fel och trycker på skicka. Med följer projektets namn i en kommentar, adressen till testservern och en nyckel som ingen hann ta bort.

Det är sådana uppladdningar som cybersäkerhetsexperten Åsa Schwarz varnar för. En kodsnutt kan avslöja hur interna system är uppbyggda och kommunicerar, vilka säkerhetsfunktioner de har och i vissa fall även ge tillgång till systemen.

– De flesta medarbetare som gör detta har naturligtvis inget ont uppsåt. Tvärtom försöker de använda AI för att bli effektivare, vilket AI också kan vara fantastiskt bra på. Problemet är att man kan lämna ut information utan att förstå konsekvenserna, säger hon.

När medarbetare använder AI-verktyg som arbetsgivaren inte har godkänt brukar det kallas skugg-AI. Arbetsuppgiften blir kanske löst, men företaget har inte fått bedöma hur tjänsten hanterar det som skickas dit.

Att stryka kundens namn eller företagets logotyp räcker inte alltid. En ritning kan ändå avslöja hur en produkt eller anläggning är konstruerad, och koden kan blotta ett systems svagheter.

– Man måste därför skilja på att anonymisera information och att faktiskt ta bort det som är känsligt. Många tekniska dokument är i praktiken identifierande genom själva innehållet, säger Åsa Schwarz.

Med privat konto ligger ansvaret på dig

Utan en AI-policy eller ett godkänt verktyg är det lätt att tro att allt är tillåtet. Men enligt arbetsrättsexperten Tommy Iseskog behöver allt inte vara uttryckligen förbjudet. Det kan ändå vara underförstått att viss information inte får lämnas till en extern tjänst.

Bevisbördan ligger på arbetsgivaren, men bedömningen hänger på vad den anställde har förstått.

– Den diskussionen kommer att handla om vad en person med de arbetsuppgifterna åtminstone borde begripa, säger Tommy Iseskog.

Att en handling är intern gör den inte automatiskt till en företagshemlighet. Lagen kräver bland annat att informationen hålls hemlig genom rimliga åtgärder och att ett röjande kan skada företaget i konkurrensen.

Vad som får lämna företaget beror alltså på informationen. Men det beror också på vart den skickas, och där är det lätt att lita på det man ser. Samma namn, samma chattruta, kanske samma AI-modell.

– Den viktigaste skillnaden är inte nödvändigtvis själva AI-modellen, utan allt runt omkring den. När ett företag upphandlar en AI-tjänst kan man ställa krav på var informationen lagras, hur länge den sparas, vilka underleverantörer som används och om den får användas för att träna modellerna, säger Åsa Schwarz.

Med ett privat konto ligger ansvaret på användaren att hålla reda på villkor och inställningar, som dessutom kan ändras.

– En förenklad tumregel är att om du använder en gratistjänst betalar du ofta med dina data. Det betyder inte att alla gratistjänster automatiskt tränar sina AI-modeller på allt du skriver. Problemet är snarare att företaget inte har kunnat göra riskbedömningen och säkerställa vilka villkor som gäller.

En enda uppladdning räcka för avsked

Och om chefen själv använder sitt privata konto? Det spelar roll, enligt Tommy Iseskog.

– Om arbetsgivaren passivt har accepterat ett visst agerande kan det inte motivera arbetsrättsliga eller andra åtgärder. Då måste arbetsgivaren först klargöra spelreglerna.

Att chefen använder samma tjänst betyder ändå inte att chefen vet vad du laddar upp där, eller att du får skicka företagets ritningar dit.

Har gränsen däremot passerats kan en enda uppladdning räcka för avsked, alltså att anställningen upphör på dagen.

– Om agerandet är otillåtet spelar det mindre roll om någon ekonomisk skada har uppkommit. Det är förtroendeförbrukande i sig, säger Tommy Iseskog.

Till det kan komma skadestånd. Sedan den 1 januari 2026 kan det dessutom vara straffbart att olovligen röja tekniska företagshemligheter som man fått tillgång till genom jobbet. Det kräver uppsåt, men att vilja hjälpa arbetsgivaren friar inte.

– Uppsåtet kan ta sig uttryck i att den anställde är medveten om det otillåtna och struntar i om effekten blir att företagshemligheten röjs, säger Tommy Iseskog.

Har känsligt material redan skickats iväg är första steget att radera chatten och de uppladdade filerna. Men det betyder inte att informationen är borta.

– Om du raderar en vanlig chatt i ChatGPT:s konsumenttjänst försvinner den omedelbart från ditt konto, men OpenAI uppger att den sedan raderas permanent från deras system inom 30 dagar. Det finns också undantag, till exempel om informationen behöver sparas av rättsliga skäl, säger Åsa Schwarz.

Hennes råd är därför att behandla det som vilken säkerhetsincident som helst.

– Kontakta företagets it- eller säkerhetsfunktion och berätta vad som har laddats upp, till vilken tjänst och när. Innehåller materialet lösenord eller nycklar behöver de bytas eller spärras omedelbart. Det sämsta man kan göra är att radera chatten och sedan hoppas att ingen märker något.

Fem råd för säkrare AI på jobbet

1. Använd godkända verktyg

Ta reda på vilka AI-tjänster arbetsgivaren har godkänt och följ den policy som finns. Det gäller på samma sätt som för företagets e-post och lagringstjänster.

2. Fråga vad du får ladda upp

Be om besked för det material du faktiskt arbetar med, som källkod, ritningar, kunduppgifter, personuppgifter eller interna dokument. Att verktyget är godkänt betyder inte att allt material är det.

3. Kontrollera kontot

Samma AI-tjänst kan ha olika villkor för privatpersoner och företag, till exempel om hur länge informationen sparas och om den får användas för att träna modellerna. Se till att du använder det konto och den licens som arbetsgivaren har godkänt.

4. Föreslå nya verktyg

Har du hittat något som skulle hjälpa dig i arbetet? Fråga hur du får det granskat och godkänt, i stället för att börja använda det med företagets information på egen hand.

5. Rapportera om något blivit fel

Radera det du inte borde ha laddat upp och kontakta it- eller säkerhetsfunktionen. Berätta vad som skickats, vart och när. Innehöll materialet lösenord eller nycklar ska de bytas direkt. Nöj dig inte med att det är borta ur din egen chatt.

Tips från Åsa Schwarz, cybersäkerhetsexpert