Personvern og KI i forskning
Personopplysninger skal behandles slik at opplysningenes integritet, konfidensialitet og tilgjengelighet beskyttes. Du må også opptre i samsvar med reglene for behandling av personopplysninger og forskningsetikk.
Har du lov å behandle disse persondataene i KI-verktøyet?
Når du melder inn prosjektet ditt til Sikt personverntjenester, må du gi informasjon om planlagt bruk av KI og hvilket verktøy du tenker å bruke. I tillegg må dette komme tydelig frem i informasjonsskrivet til deltakerne, slik at de kan ta en informert beslutning om deltagelse i prosjektet.
F.eks: Før forskningen starter bør du vurdere om du vil bruke KI og om du ønsker å anonymisere dataene. Dersom det er tilfellet, må dette oppgis i meldeskjemaet til Sikt og i informasjonsskrivet til deltakerne.
Hva slags persondata kan du legge inn i et KI-verktøy?
Hvis du vil legge inn personidentifiserende opplysninger i et KI-verktøy, må du forholde deg til to ting:
- Du bør kun benytte KI-verktøy som har en databehandleravtale med AHO. For tiden er det UiO GPT-4 og Copilot Enterprise. Les mer om bruk av UiO GPT-4 og Copilot via AHO her. Databehandleravtaler med leverandørene av disse to verktøyene er et lovkrav når andre aktører skal behandle personopplysninger på våre vegne. UiO GPT-4 og Copilot Enterprise har også lovet å ikke bruke dataene du legger inn til å trene opp algoritmen.
- Disse to KI-verktøyene er bare godkjent for bruk på grønne og gule data. Røde og svarte data (dvs. fortrolig og strengt fortrolig informasjon) kan ikke legges inn trygt i verken disse KI-verktøyene eller andre.
Grønne data er åpen eller fritt tilgjengelig informasjon.
Gule data er begrenset informasjon som ikke skal være åpen for alle, som f.eks. mange typer personopplysninger eller upublisert forskning.
Røde data er fortrolig informasjon som skal ha begrenset tilgang, eksempelvis helseopplysninger eller personalmapper.
Svarte data er strengt fortrolige data som vil kunne forårsake betydelig skade dersom informasjonen blir kjent for uvedkommende eller endres utilsiktet.
Vurdér det KI-verktøyet produserer
Generativ kunstig intelligens er - stikk i strid med det navnet antyder - ikke intelligent. Det gir deg det svaret som er mest sannsynlig, basert på dataene den har. Det betyr at KI kan ta feil. Du som forsker er ansvarlig for at innholdet i forskningen din er etisk og korrekt, uansett om et KI-verktøy bidrar til feil. Du bør derfor inkludere egen bruk av KI i både de etiske vurderingene og risikovurderingene du gjør i prosjektet ditt.
Anonymisering av personopplysninger før de legges inn i et KI-verktøy
Anonyme data kan legges inn i et KI-verktøy og vil ikke være omfattet av regelverket rundt personopplysninger. Det er viktig at anonymiseringen skjer i tråd med det du har meldt inn i til Sikt + den informasjonen du har gitt til deltakerne i forskningsprosjektet.
Dersom du ikke har oppgitt anonymiseringen eller bruken av KI da du meldte inn prosjektet til Sikt, kreves det en endringsmelding til Sikt. Du må også gi ny informasjon til deltakerne dersom du ønsker å likevel beholde og/eller anonymisere dataene.
Opphavsrett og KI
Det er ikke alle typer innhold du kan dele med et KI-verktøy. Som hovedregel kan du ikke laste opp hele bøker, artikler, musikk eller bilder som du ikke har rettigheter til.
Dette kan du dele med KI-verktøy
Du kan dele filer eller innhold med et KI-verktøy hvis:
- Du selv eier innholdet. For eksempel egne rapporter, artikkelutkast eller notater.
- Innholdet er fritt tilgjengelig. For eksempel bøker som har falt i det fri eller artikler med åpen publisering og med en fribrukslisens (som f.eks. CC BY) som godtar at teksten blir brukt til opptrening av KI.
- Du har fått tillatelse fra rettighetshaveren.
Derfor bør du være forsiktig
Når det gjelder deling av innhold fra bøker og artikler må du være oppmerksom på at:
- De fleste er opphavsrettslig beskyttet (med mindre de er åpent publisert og markert med en fribrukslisens (som f.eks. CC BY) som tillater dette).
- Opplasting til KI kan regnes som eksemplarframstilling av et åndsverk og dermed brudd på opphavsretten.
- Mange KI-verktøy vil lagre og bruke materialet videre, blant annet i opptrening av KI-modellen videre. Sett deg derfor inn i brukervilkåren til verktøyet før du deler innhold med det.
Tips til forskere om bruk av KI
Det er opp til deg som forsker å vurdere om måten du bruker KI-verktøy på er legitim og i tråd med gjeldende regelverk og lovgivning.
Ansvarlighet og transparens
Å være transparent er sentralt prinsipp i forskning. Du skal alltid kunne vise til hva du har gjort i løpet av en forskningsprosess (metode), også når det gjelder bruk av KI. Se for eksempel Norsk APA-manual, side 63 for mer om hvordan du kan referere til KI-verktøy som UiO GPT-4.
Bruker du KI for å skrive tekst er du for eksempel ansvarlig for at informasjonen du gjengir er korrekt og at du krediterer og refererer til andres arbeid der det er brukt. Husk at det også regnes som plagiat å utgi en tekst som er skrevet av en maskin som din egen.
Vurdér KI-verktøyet før bruk
Treningsdata og kilder
Hva er verktøyet trent på og/eller hvilke kilder henter den informasjon fra?
Er det for eksempel trent på tekster fra internett frem til et bestemt tidspunkt? Hva betyr det eventuelt for din bruk at verktøyet ikke kjenner verden etter dette tidspunktet?
Er kildene fra utvalgte databaser, hvor enkelte fagfelt, land eller lignende kan være underrepresentert? Eller bare fra forskning som ligger åpent tilgjengelig på nett?
Er verktøyet trent på kilder det hadde lovlig tilgang til?
Kjennetegn ved datagrunnlaget
Hva kjennetegner denne type data? Kan det være noen svakheter eller skjevheter i dette datagrunnlaget som du må være oppmerksom på når du bruker verktøyet? De fleste generative KI-er er trent opp med tekster fra internett, som sjeldent er helt nøytrale. Dette vil reflekteres i resultatet verktøyet produserer.
Verktøyets funksjonalitet
Hvordan fungerer verktøyet? Hvordan produseres svarene, hva er det verktøyet egentlig gjør? Hva er verktøyets begrensninger?
Er det for eksempel en språkmodell og chatbot som genererer svar basert på en “forutsigelsesalgoritme”? I så fall sammenstiller den ord som svar basert på en sannsynlighetsberegning på bakgrunn av de ordene som ble brukt i spørsmålet/instruksen du ga til verktøyet.
Datasikkerhet
Hvem står bak verktøyet? Hva sier andre om verktøyet?
Hva skriver de om hvordan de bruker dine opplysninger og data/tekster du deler med dem? Les for eksempel brukervilkårene.
Hvordan forholder de seg til lovgivning om personvern (GDPR) og copyright og lignende?
Sjekk tidsskriftenes KI-retningslinjer
Når du vet hvilket tidsskrift du vil publisere i, sjekk om tidsskriftet eller forlaget har retningslinjer for KI-bruk. Hvis du har brukt KI i utviklingen av arbeidet ditt, kan det for eksempel være at du må skrive under på en erklæring som publiseres sammen med artikkelen eller at du må vedlegge dokumentasjon på hvordan du har brukt KI i løpet av forskningsprosessen.
Ansvar for KI på AHO
Det formelle ansvaret for opplæring av KI ligger ved biblioteket, du kan be om veiledning fra biblioteket i bruk av KI-verktøy. Ved spørsmål om muligheter og restriksjoner på bruk osv., kan du altså kontakte biblioteket og be om en veiledningstime.
Alle spørsmål knyttet til sikkerhet og personvern kan rettes til CISO (Chief Information Security Officer) via IT support.