Företagshemligheter kräver att bolaget vidtagit rimliga åtgärder

Information som ett bolag vill hålla för sig själv, som prislistor, kalkylmodeller och kunduppgifter, hamnar i AI-verktyg. Någon klistrar in en avtalstext för att få den sammanfattad. Någon annan laddar upp en prisfil för att få hjälp att sortera den. Det behöver inte vara fel av dem, men frågan om vad som händer med informationens skydd glöms lätt bort.

Skyddet beror på vad bolaget själv har gjort

Lag (2018:558) om företagshemligheter anger i 2 § fyra villkor för att information ska räknas som en företagshemlighet. Det första är att informationen handlar om affärs- eller driftförhållanden i en näringsidkares rörelse eller i en forskningsinstitutions verksamhet. Det andra är att den varken som helhet eller i den form dess beståndsdelar ordnats och satts samman är allmänt känd eller lättillgänglig för den som normalt har tillgång till information av det aktuella slaget.

Det tredje villkoret gäller bolagets eget agerande. Innehavaren ska ha vidtagit “rimliga åtgärder för att hemlighålla” informationen. Det fjärde är att röjandet ska vara ägnat att medföra skada i konkurrenshänseende för innehavaren. Paragrafen räknar inte upp vilka åtgärder som är rimliga. Skyddet beror på vad bolaget har gjort.

Lagen ger möjlighet till skadestånd, vitesförbud och straff vid obehöriga angrepp på företagshemligheter (1 §). Det förutsätter att informationen uppfyller definitionen.

Utan regler är det svårare att visa att åtgärder vidtagits

Det här är en tolkning och inte juridisk rådgivning. Ett svar för just ert bolag får ni av en jurist.

Information som läggs i ett externt verktyg kan lämna bolagets kontroll. Om det går ihop med att ha vidtagit rimliga åtgärder kan inte avgöras generellt. Det beror på tjänstens villkor, till exempel om leverantören får använda det som matas in och vem som har åtkomst, och på vad bolaget i övrigt har gjort. Det som går att säga är att frågan blir svårare att besvara för ett bolag som saknar regler än för ett som har dem.

Kundavtal, sekretessförbindelser och dataskydd kan dessutom ställa egna krav, oberoende av lagen om företagshemligheter. Frågan om rimliga åtgärder blir svårare att besvara även för verktyg som ingen har beslutat om. Medarbetare som provar på egen hand har ofta inte läst villkoren, och bolaget vet kanske inte ens vilka verktyg som används. Den frågan tas upp i artikeln om att hitta alla AI-initiativ som redan pågår.

Tre frågor visar var bolaget står

Vem bestämmer vilken information som får läggas in i vilket AI-verktyg? Finns det nedskrivet i en form som medarbetarna faktiskt känner till? Och har någon läst villkoren för de tjänster som används, framför allt vad leverantören får göra med det som matas in?

Artikeln om högrisk har ett avsnitt om vilken data som matas in i verktyget. Vilka data ett verktyg får röra när det går från prov till drift beskrivs i Verktyg som används på riktigt behöver en väg till drift.

Be tre medarbetare visa vilket AI-verktyg de senast använde och vad de la in i det. Jämför svaren med vad ni hade velat att de la in.