Ja. Av og til. Og nesten ingen spør før de limer inn en klients kontrakt i en chat.
Den 26. oktober presenterte Brown University et kart over kjeden av mennesker bak KI. Det er laget av Cunyan Ma, student ved senteret for ansvarlig teknologi som ledes av professor Suresh Venkatasubramanian. Kartet kobler 13 selskaper som merker data, til 141 bedriftskunder og arbeidssteder i 31 land. Der finner vi Centific, Sama, TaskUs og Innodata. Og som kunder: OpenAI, Anthropic, Google, Microsoft og Meta. Også Wolters Kluwer og Deloitte.
Kartet beviser ikke at klientenes data ender opp i Kenya eller på Filippinene. Datamerking brukes til å trene modeller. Det er ikke det samme som at noen leser samtalene dine. Men kartet viser én ting: Bak maskinen finnes det mennesker, mange, i mange land, og kjeden er ute av syne.
Så jeg stilte spørsmålet som betyr noe for et advokatfirma: Hvem kan lese det jeg laster opp? Jeg har lest vilkårene til de fire store. Dette er det de sier.
Google Gemini, forbrukerversjonen: det alvorligste tilfellet
Google sier det rett ut. Menneskelige kontrollører, også kontrollører hos tjenesteleverandørene deres, leser deler av chattene for å forbedre tjenesten. Chatter som er gjennomgått, kobles fra kontoen din og lagres i opptil tre år. Og de slettes ikke selv om du sletter aktiviteten din.
Google gir også et råd: Hvis du har aktivitetslagring slått på, skal du ikke legge inn fortrolig informasjon eller noe du ikke vil at en kontrollør skal se.
For en advokat er konklusjonen enkel. Forbrukerversjonen av Gemini er ikke for klientdata.
OpenAI: ChatGPT Business, Enterprise og API
OpenAI trener ikke på dataene dine som standard i bedriftsabonnementene sine. Det er den gode nyheten.
Men vilkårene sier hvem som kan få tilgang til samtalene dine. På den ene siden autoriserte ansatte, for teknisk støtte, undersøkelser av misbruk og etterlevelse av loven. På den andre siden «spesialiserte tredjepartsleverandører», underlagt krav til konfidensialitet og sikkerhet, bare for å gjennomgå misbruk og feil bruk.
Det betyr at personer utenfor OpenAI kan se det du skriver. Til et avgrenset formål og med forpliktelser. Men de finnes. Og OpenAI sier ikke på den siden hvem de er, eller hvor de arbeider.
Microsoft: Azure OpenAI og Foundry
Microsoft gir flest detaljer. Systemet deres analyserer forespørsler og svar for å oppdage misbruk. Som standard er det en maskin som gjør denne gjennomgangen. Et menneske kommer bare inn hvis maskinen ikke oppnår høy nok sikkerhet i vurderingen.
Denne personen er en autorisert Microsoft-ansatt, med sikre arbeidsstasjoner for tilgang og midlertidig tilgang godkjent av sin leder. Og ved utrullinger i Det europeiske økonomiske samarbeidsområdet befinner disse medarbeiderne seg i EØS.
Du kan også be om å slippe menneskelig gjennomgang. Microsoft kaller det «modified abuse monitoring» og har laget det for svært sensitive eller fortrolige data. Men det er ingen bryter. Det er en søknad som Microsoft må godkjenne.
Anthropic: API og kommersielle produkter
Anthropic sletter inndata og utdata etter 30 dager, med unntak. Hvis det automatiske systemet deres flagger noe som mulig misbruk, lagrer de innholdet i opptil to år og klassifiseringsskårene i opptil sju. De kan også beholde data når loven krever det.
Det siden ikke sier, er hvem som gjennomgår det som er flagget, eller om en tredjepart er involvert. Det må du spørre om.
Copilot og juridiske verktøy: Jeg vet ikke ennå
Microsoft 365 Copilot, Harvey, Lexis+ AI, Karnov eller løsningene fra Wolters Kluwer. Jeg har ikke funnet tilstrekkelige offentlige vilkår til å vite om deres ansatte eller ansatte hos underdatabehandlerne deres leser spørsmålene dine.
At jeg ikke finner det, betyr ikke at det ikke skjer. Det betyr at du må be om et skriftlig svar før du inngår avtalen.
De andre øynene, uansett leverandør
Gjennomgang av misbruk er ikke den eneste muligheten for menneskelig tilgang. Det finnes flere, og de gjelder uansett leverandør:
- Teknisk støtte, når du oppretter en supportsak.
- En sikkerhetshendelse.
- Et pålegg fra en myndighet.
- Koblinger og tillegg fra tredjeparter som du aktiverer uten å lese vilkårene.
- Feilkonfigurerte ansattkontoer.
- Data som beholdes etter at du har slettet dem.
Og dette gjelder ikke bare KI. E-post, skytjenester, transkripsjon og dokumenthåndtering kan innebære lignende tilgang. KI har bare gjort det synlig.
Hvorfor det betyr noe for et advokatfirma
Taushetsplikten gir ikke rom for unnskyldningen «jeg visste ikke at noen kunne lese det». Hvis du laster opp en klients data til et verktøy, velger du hvem du viser dem til. Selv om tilgangen skjer på avstand og har et avgrenset formål.
Og personvernforordningen (GDPR) krever det samme via en annen vei. Den som behandler data på dine vegne, er en databehandler. Underdatabehandlerne trenger din godkjenning. Hvis dataene forlater EØS, trenger overføringen et gyldig grunnlag. Du kan ikke oppfylle noe av dette hvis du ikke vet hvem som er med i kjeden.
Hva du bør gjøre
- Ikke bruk forbrukerversjoner eller personlige kontoer med klientdata. Aldri.
- Velg bare bedriftsabonnementer med databehandleravtale (DPA) og EU/EØS-region. Be om fritak fra menneskelig gjennomgang der det finnes.
- Krev en liste som navngir underdatabehandlerne, med land og funksjon.
- Minimer eller anonymiser før du sender. Hold opplysninger om straffbare forhold og helse utenfor.
- Still leverandøren disse spørsmålene, skriftlig, før du signerer:
- Hvem kan se dataene mine: ansatte, eksterne oppdragstakere eller begge?
- Fra hvilke land?
- Til hvilket formål og med hvilke tilgangskontroller?
- Hvor lenge lagres de, også etter at jeg har slettet dem?
- Kan jeg be om å slippe menneskelig gjennomgang?
KI har ikke øyne. Selskapene som selger den, har det. Du har rett til å vite hvilke.
Generell informasjon per 27. oktober 2026, basert på hver leverandørs publiserte vilkår. Dette er ikke juridisk rådgivning. Vilkårene varierer med abonnement, konfigurasjon og region.
Kilder
Tekst av Roberto Ortega, bearbeidet med redaksjonell KI-støtte. Den norske og engelske versjonen er redaksjonelle tilpasninger av den spanske originalteksten.