Er öruggur notkun gervigreindar til kynningar fyrir trúnaðargögn? Öryggisleiðbeiningar fyrir árið 2026

Það fer eftir verkfærinu og gögnunum. Frá og með 2026 eru til þrír flokkar gervigreindar-kynningarverkfæra eftir öryggisviðmiðum: (1) neytendaverkfæri sem kunna að nota efni þitt til þjálfunar (óörugg fyrir trúnaðargögn sjálfgefið); (2) viðskiptalagaverkfæri með skuldbindingum um enga þjálfun og SOC 2 Type II (ásættanleg fyrir flest innri gögn); (3) fyrirtækjalagaverkfæri með SSO, endurskoðunarkladda, valkosti um gagnastaðsetningu og stillingar án varðveislu (nauðsynleg fyrir eftirlitsskyld iðngrein). Hin heiðarlega flýtileið: límdu aldrei trúnaðargögn inn í ókeypis neytenda gervigreindartól. Fyrir flest fyrirtækjateymi árið 2026 er verkfæri á fyrirtækjastigi til að búa til glærur — eða keyrsla á einkavistum — lágmarkskrafan til að uppfylla SOC 2, GDPR og iðngreina-sérstakar reglur eins og HIPAA. Áhættan er sjaldan glærutólið sjálft; það er yfirleitt undirliggjandi LLM veitandinn, varðveislutíminn og aðgangsstýringarnar sem teymið þitt gleymdi að stilla. Fáðu þessi þrjú atriði rétt og gervigreindar-kynningar verða ekki áhættusamari en Google Docs.

Ef þú ert innkaupastjóri, lögfræðiráðgjafi eða öryggisverkfræðingur sem metur gervigreindar-kynningarverkfæri fyrir fyrirtæki þitt, fer þessi leiðarvísir yfir það sem þarf að sannreyna áður en ein einasta trúnaðarglæra er límð inn í verkfæri.

Þrjú öryggisstigin í AI kynningartækjum

Ekki öll AI kynningartæki meðhöndla gögnin þín á sama hátt. Áður en þú metur ákveðinn veitanda er gagnlegt að vita hvaða stig þú ert að skoða.

Stig 1: Neytendur (áhættusamt fyrir trúnaðargögn)

Ókeypis eða ódýrar neytendaáætlanir eru hannaðar fyrir nemendur, einstaklinga og áhugafólk. Þær innihalda venjulega gagnanotkunarákvæði sem heimila veitandanum að nota efnið þitt til að bæta gervigreind sína — sem í reynd þýðir að efni kynninganna þinna gæti verið skráð, geymt og notað í þjálfunargagnasöfnum.

Dæmi á þessu stigi: Ókeypis stig Gamma, Canva Free og flestir vefgjafar án innskráningar. Eigin skjöl Gamma staðfesta að á ókeypis áætlunum eru gögn sjálfgefið notuð til að bæta AI eiginleika og notendur verða að afþakka handvirkt; Teams og Business áætlanir slökkva á þessari stillingu og læsa henni.

Niðurstaða: Ásættanlegt fyrir skólaverkefni, persónulegar kynningar eða opinbert markaðsefni. Ekki ásættanlegt fyrir neitt sem fellur undir þagnarskyldusamning (NDA), gögn viðskiptavina, fjármál, lagaleg skjöl eða eftirlitsskyld gögn.

Stig 2: Fyrirtæki (ásættanlegt fyrir flest innri gögn)

Fyrirtækjastigsáætlanir bæta við samningsbundnum skuldbindingum um afþökkun þjálfunar, gagnavarðveislu og endurskoðun þriðja aðila. Lágmarkskrafan er núverandi SOC 2 Type II skýrsla, TLS 1.2+ dulkóðun í flutningi, AES-256 í hvíld og skriflega skuldbindingu um að þjálfa ekki á efni viðskiptavina.

Dæmi á þessu þrepi: Gamma Business, Beautiful.ai (sem hefur SOC 2 Type II, CCPA og GDPR vottanir), Plus AI (SOC 2 Type II, engin-þjálfun skuldbinding), og greidd þrep Canva (SOC 2 Type II og ISO 27001 vottuð).

Niðurstaða: Ásættanlegt fyrir mest innra fyrirtækjaefni — stjórnendauppfærslur, innri þjálfun, sölukynninga, vöruvegleiðslur — að því gefnu að gagnaflokkunarstefna þín leyfi SaaS vinnslu á þeim flokki.

Þrep 3: Enterprise (nauðsynlegt fyrir skipulögð gögn)

Enterprise þrep bætir við SSO/SAML, SCIM úthlutun, hlutverkatengdum aðgangsstýringum, nákvæmum endurskoðunarskrám, stillanlegri gagnaveru, undirrituðum DPA með GDPR staðlaðri samningsskilmála, og — fyrir heilbrigðisþjónustu — undirritaðan Business Associate Agreement (BAA). Sumir veitendur bjóða einnig upp á núll-varðveisluaðferðir, viðskiptamanastýrða lykla eða einkaúthlutanir líkana.

Dæmi á þessu þrepi: Microsoft 365 Copilot (undir Microsoft fyrirtækja BAA, SOC 2, ISO 27001, FedRAMP og EU gagnamörkum), 2Slides Enterprise, og sérsniðnar útfærslur opinn-kóða raframennta á viðskiptamannastýrðum innviðum.

Niðurstaða: Nauðsynlegt fyrir heilbrigðisþjónustu (PHI), fjármálaþjónustu (MNPI), lögfræðileg réttindi, varnir, eða öll gögn sem eru háð tilteknum reglulegum rammaverkum.

Hvað á að athuga áður en trúnaðargögn eru límd inn

Notaðu þennan gátlista áður en ein einasta trúnaðarglæra fer inn í eitthvert gervigreindartól. Ef söluaðili getur ekki svarað öllum átta spurningunum með opinberri skjölun skaltu vísa málinu til öryggisdeilda þeirra eða velja annað tól.

1. Þjálfun – afþökkunarréttur — Er til samningsbundin skuldbinding um að efni þitt verði ekki notað til að þjálfa gervigreindalíkön söluaðilans eða undirvinnsluaðila hans? Er það sjálfgefið fyrir þitt þrep, eða þarftu að velja það?
2. Stefna um geymslu gagna — Hversu lengi er efni þitt geymt á netþjónum söluaðilans? Er til staða með engri geymslu fyrir API-köll?
3. Aðgengi að SOC 2 Type II skýrslu — Geturðu aflað nýlegrar (yngri en 12 mánaða) SOC 2 Type II skýrslu samkvæmt trúnaðaryfirlýsingu? Type I er ekki fullnægjandi — það staðfestir aðeins hönnun, ekki virkni í rekstri.
4. Dulkóðun við geymslu og flutning — Er gögnunum dulkóðað með TLS 1.2 eða hærra við flutning og AES-256 við geymslu? Hver hefur lykilinn?
5. Svæðis- og dvalarstaðavalkostir — Geturðu fest vinnslu og geymslu við tiltekið svæði (ESB, Bandaríkin, APAC)? Er til skuldbinding um ESB-gagnamörk?
6. SSO — Styður söluaðilinn SAML 2.0 eða OIDC SSO á þínu þrepi, þannig að auðkennisveitan þín stýrir aðgangi?
7. Endurskoðunarkladdar — Er notendaaðgerðum (innskráningar, aðgangur að skjölum, útflutningur, deilingar) skráð og er hægt að flytja út í SIEM-kerfið þitt?
8. Listi yfir undirvinnsluaðila — Birtir söluaðilinn lista yfir undirvinnsluaðila þar sem nefndir eru LLM-veitendur, skýjainnviðir og greiningarsöluaðilar sem fara með gögnin þín? Er gefinn fyrirvari um breytingar?

Hvernig helstu verkfæri bera saman hvað varðar öryggi

Byggt á opinberum gögnum hvers seljanda frá og með 2026. Þar sem geta er ekki opinberlega tilgreind segir þessi tafla það í stað þess að giska.

HIPAA vinnuálögum, Microsoft 365 Copilot er eini söluaðilinn á þessum lista sem birtir skýra BAA umfjöllun í gegnum núverandi BAA fyrir fyrirtæki frá Microsoft. Fyrir alla aðra söluaðila skaltu meðhöndla HIPAA umfjöllun sem "hafðu samband við söludeild og fáðu það skriflega" áður en þú hleður inn einhverjum PHI.

Gagnaheimild og GDPR

Fyrir ESB-stofnanir og öll bandarísk fyrirtæki sem vinna með gögn íbúa ESB, krefst GDPR varanlegt svar við spurningunni "hvar eru gögnin vistuð?"

Microsoft 365 Copilot er sem stendur skýrasta sagan: það er hluti af EU Data Boundary, sem þýðir að fyrirspurnir, svör og grunnviðargögn haldast innan ESB-svæðisins fyrir leigjendur sem þar eru settir upp. Það var bætt við sem þjónusta í umfjöllun í mars 2024.

Hjá öðrum þjónustuveitendum er gagnaheimild innan ESB venjulega aðeins í boði með samningsbundnum fyrirtækjasamningum eða alls ekki í almennu framboði. Ef þú ert gagnavinnsluábyrgur innan gildissviðs GDPR, krefstu þess:

• Undirritaður gagnavinnsluviðauki (Data Processing Addendum - DPA) með stöðluðum samningsákvæðum (Standard Contractual Clauses - SCCs) fyrir allar flutningar utan ESB
• Birtur listi yfir undirvinnsluaðila og tilkynningaferli vegna breytinga
• Skjalfestar flutningsáhrifamatsskýrslur (Transfer Impact Assessments) fyrir alla undirvinnsluaðila LLM með aðsetur í Bandaríkjunum (OpenAI, Anthropic, Google)

"Við erum í samræmi við GDPR" er ekki ábyrgð á gagnaheimild. Það er upphafspunktur fyrir samtal.

HIPAA og Heilbrigðisþjónusta

Bandarískir heilbrigðisaðilar sem falla undir reglugerðina og viðskiptafélagar þeirra geta ekki sent verndaðar heilsufarsupplýsingar (Protected Health Information – PHI) til nokkurs AI-verkfæris án undirritaðs samstarfssamnings (Business Associate Agreement – BAA). Þetta er ekki best practice ráðlegging — þetta er lagaleg krafa samkvæmt 45 CFR Part 164.

Frá og með 2026 er Microsoft 365 Copilot beinasta leiðin: það fellur undir HIPAA-samþykktan BAA-samning Microsoft fyrir fyrirtæki sem er tengdur við Microsoft 365 leigjandann þinn. Uppsetning krefst samt stillingar á leigjandanum — ekki öll Microsoft þjónusta fellur undir umfangið og BAA nær aðeins til þess sem samningurinn þinn segir að hann nái til.

Hjá flestum öðrum AI kynningarverkfærum er HIPAA umfjöllun annaðhvort ekki opinberlega tilgreind eða aðeins fáanleg í gegnum sérsniðna fyrirtækjasamninga. Ef stofnunin þín vinnur með PHI eru raunhæfu valkostirnir:

1. Nota Microsoft 365 Copilot með leigjanda sem er rétt stilltur fyrir HIPAA
2. Nota söluaðila sem skrifar beinlínis undir BAA (hafðu samband við söludeild, farðu vandlega yfir umfang BAA)
3. Setja upp einkatilvik af opnum kóða glærugerð á HIPAA-samþykktum innviðum (AWS, Azure eða GCP með undirritaðum BAA)

Fyrir ítarlegri útskýringar á reglufylgni í kynningum fyrir heilbrigðisþjónustu, sjá leiðbeiningar okkar um AI kynningar fyrir heilbrigðis- og læknisglærur.

Hvað með LLM þjónustuveitendur sem notaðir eru á bak við tjöldin?

Hér er sá hluti sem flestar innkaupaskoðanir missa af. AI kynningartól þjálfa sjaldan sínar eigin grunnlíkön. Þau kalla á API frá OpenAI, Anthropic eða Google Gemini — sem þýðir að gagnaverndarstaða gagna þinna er samskipti tveggja stefna, ekki einnar.

Traustkeðjan lítur svona út:

Þú → Kynningarsali → LLM þjónustuveitandi

Glærupasmiður getur lofað „við þjálfum ekki á gögnum þínum," en nema LLM undirvinnsluaðilinn skuldbindi sig einnig til engar-þjálfunar og viðeigandi varðveislu, sitja gögnin þín í annálum LLM veitandans samkvæmt skilmálum þess seljanda.

Góðu fréttirnar: helstu LLM þjónustuveitendur eru með þroskaða fyrirtækjaskilmála frá og með 2026.

• OpenAI API: Gögn sem send eru í gegnum API hafa ekki verið notuð til að þjálfa líkön síðan í mars 2023 (nema þú veljir sérstaklega að taka þátt). Sjálfgefin varðveisla er 30 dagar fyrir misnotkun eftirlit á venjulegu stigi. Zero Data Retention (ZDR) er fáanlegt að beiðni fyrir gjaldgeng endapunkt og fyrirtækjaviðskiptavini.
• Anthropic API: Svipuð engin-þjálfun-sjálfgefið afstaða; fyrirtækjastig bjóða upp á viðbótarstýringar.
• Google Gemini í gegnum Vertex AI: Fyrirtækjaskilmálar veita engar-þjálfunar skuldbindingar og svæðisfestingu.

Hvað á að spyrja kynningarhugbúnaðarfyrirtækið þitt: "Hvaða LLM veitanda og endpoint notið þið? Er umferðin undir ZDR eða samningi án varðveislu? Getið þið sýnt okkur DPA keðjuna?" Ef svarið er "við notum neytenda ChatGPT vöruna," þá er það viðvörunarmerki — neytenda ChatGPT hefur aðra sjálfgefna skilmála en API. Lögfræðiteymi ættu sérstaklega að lesa greiningu okkar á AI kynningum fyrir lögfræðiteymi og málskjölum fyrir geirasértækar leiðbeiningar.

Algengar spurningar

Get ég notað ChatGPT til að búa til trúnaðarglærur?

Ekki á ókeypis eða Plus neytendaþrepunum, sem geta geymt og notað efni þitt til að bæta líkön. Á ChatGPT Team, Enterprise, Business eða í gegnum API eru gögn ekki notuð til þjálfunar sjálfgefið, og Enterprise bætir við SOC 2, SSO og stjórnunarstýringum. Ef gögnin þín falla undir HIPAA eða krefjast undirritaðs BAA, notaðu ChatGPT for Healthcare eða beina í gegnum Azure OpenAI undir Microsoft BAA.

Er í lagi að hlaða upp fjárhagslegri CSV skrá í AI kynningarverkfæri?

Aðeins á viðskipta- eða fyrirtækjaþrep með engin-þjálfun skuldbindingu, SOC 2 Type II og dulkóðun í hvíld. Aldrei á ókeypis þrep hjá neinum veitanda. Fyrir efnislegar óopinberar upplýsingar (MNPI), veldu fyrirtækjaverkfæri með SSO, endurskoðunarskrám og — helst — núll-varðveisluham á LLM hliðinni.

Hvaða verkfæri eru HIPAA-samhæfð?

Microsoft 365 Copilot er tryggð undir Microsoft fyrirtækja BAA fyrir gjaldgeng HIPAA þjónustu. Fyrir flest önnur AI kynningarverkfæri er HIPAA umfjöllun ekki opinberlega tilgreind og verður að semja um hana í gegnum fyrirtækjasölu með skýlausa BAA. Aldrei gera ráð fyrir — fáðu alltaf BAA undirritað áður en PHI er sent.

Þjálfar 2Slides á gögnunum mínum?

Samkvæmt 2Slides persónuverndarstefnu (síðast uppfærð 17. mars 2026) notar 2Slides efni og notkunargögn til að bæta gervigreindarlíkön við ókeypis notkun, en á greiddum áskriftum með virktum persónuverndarstillingum er efni ekki notað til þjálfunar gervigreindar. Fyrir fyrirtækjaþarfir þar á meei SSO, endurskoðunarkladda og stillingar án geymslu skaltu hafa samband við 2Slides teymið.

Hvað með on-prem eða einkaaðgang að gervigreindarsköpun glærna?

Fyrir stofnanir með strögustu kröfur um gagnabúsetu eða trúnaðargögn er einkadreifing stundum eina verjanlega lausnin. Þetta þýðir venjulega að keyra opinn hugbúnaðarleiðslu fyrir glærusköpun á móti sjálfhýstum LLM (til dæmis Llama eða Mistral afbrigði á innviðum viðskiptavinar) eða á móti LLM endapunkti fyrirtækis samkvæmt ZDR samningi með lyklum sem viðskiptavinur stjórnar. Skiptingin er kostnaður, rekstrarbyrði og hægari uppfærslur á líkönum — en fyrir varnarmál, leyniþjónustu og sumar heilbrigðisstillingar er þetta eina leiðin.

Niðurstaðan

Spurningin er ekki „er gervigreind örugg fyrir trúnaðarkynningar?" — heldur „hvaða stig gervigreindarverkfæris, undir hvaða samningi, með hvaða LLM undirvinnsluaðila, fyrir hvaða gagnaflokkun?" Vertu nákvæmur og svarið verður viðráðanlegt.

Flestar stofnanir lenda í einni af þremur flokkum. Markaðs-, innra þjálfunar- og sölustuðningsteymi geta notað gervigreindarkynninga­verkfæri á viðskiptastigi með SOC 2 Type II og skuldbindingum um enga þjálfun á öruggum hátt. Fyrirtækja-IT, fjármála- og lögfræðiteymi ættu að krefjast Tier 3 eftirlits: SSO, endurskoðunarskrár, EU gagnaheimilisfesti þar sem það á við, og undirritað DPA. Heilbrigðisþjónusta, varnarmál og reglubundin fjármál þurfa fyrirtækjasamninga með skýrum BAAs eða einkauppsetningu. Versta útkoman er millivegurinn — að meðhöndla neytendaverkfæri sem öruggt fyrir fyrirtæki vegna þess að það leit vel út í kynningu. Gerðu átta atriða gátlistann einu sinni, skrifaðu hann inn í innkaupagátlista birgja og restin er endurtekin.

Fyrir framleiðslutilbúin glærusett með skýru gagnaeftirliti, prófaðu 2Slides — eða hafðu samband við teymið okkar varðandi fyrirtækjaáætlanir með SSO og endurskoðunarskráningu.