KI og personvern: GDPR-regler for bedrifter
Kort svar: bruker bedriften KI på personopplysninger, gjelder GDPR fullt ut allerede i dag. Du trenger et behandlingsgrunnlag, en databehandleravtale med KI-leverandøren, oppdatert personvernerklæring, kontroll på overføring til land utenfor EØS, og som regel en vurdering av personvernkonsekvenser (DPIA). EUs KI-forordning gjelder ennå ikke i norsk rett per oktober 2026, men den er på vei.
Gjelder GDPR når vi bruker KI?
Ja, GDPR gjelder hver gang KI behandler opplysninger som kan knyttes til en person, akkurat som for alle andre systemer. Personvernforordningen er norsk lov gjennom personopplysningsloven, og den gjør ikke unntak for KI. Det er ikke verktøyet som avgjør, men hva du putter inn. Lim du inn en kunde-e-post i ChatGPT, behandler du personopplysninger. Oppsummerer KI-en et anonymt markedsnotat, gjør du det ikke.
Personopplysninger er mer enn navn og fødselsnummer. E-postadresser, telefonnumre, IP-adresser, kundenumre, bilder av personer og fritekst om noens situasjon teller også. Det samme gjelder KI-genererte bilder og video av identifiserbare personer. I februar 2026 gikk Datatilsynet og 60 andre datatilsyn sammen i en felles advarsel mot slike deepfakes, etter at KI-tjenesten Grok ble brukt til å lage seksualiserte bilder av ekte mennesker.
Hvilke GDPR-krav må bedriften oppfylle?
De sentrale kravene når du tar i bruk KI er de samme som for annen behandling, men noen blir viktigere. Her er sjekklisten vi går gjennom med kunder:
| Krav | Hva det betyr i praksis med KI |
|---|---|
| Behandlingsgrunnlag | Du må ha et lovlig grunnlag for å bruke opplysningene på denne måten, typisk avtale, berettiget interesse eller samtykke. At du hadde lov til å samle inn e-posten, betyr ikke automatisk at du kan bruke den til hva som helst. |
| Formålsbegrensning | Opplysninger samlet inn for kundeservice kan ikke uten videre brukes til å trene en modell eller lage markedsføringsprofiler. |
| Dataminimering | Send bare det KI-en trenger. Fjern fødselsnummer, kontonummer og helseinfo før teksten sendes, når det går. |
| Databehandleravtale | KI-leverandøren behandler data på dine vegne og må ha en databehandleravtale med deg. Gratisversjoner av forbrukertjenester har ofte ikke det. |
| Informasjon til de registrerte | Personvernerklæringen må fortelle at du bruker KI-tjenester, til hva, og hvilke leverandører som er involvert. |
| Overføring utenfor EØS | De fleste store KI-leverandørene er amerikanske. Overføringen må ha et lovlig grunnlag, se eget avsnitt under. |
| Vurdering av personvernkonsekvenser (DPIA) | Kreves når behandlingen sannsynligvis gir høy risiko. Ved generativ KI på personopplysninger vil det ofte være tilfellet. |
| Automatiserte avgjørelser | Avgjørelser med rettslig eller tilsvarende betydning for en person, som avslag på søknad, kan ikke tas av KI alene uten særlige garantier, blant annet retten til menneskelig vurdering. |
| Innsyn og sletting | Det KI-en lagrer og produserer om en person, kan være omfattet av innsynsretten. Du må vite hvor det ligger. |
Bryter du reglene, kan Datatilsynet gi pålegg og overtredelsesgebyr. Øvre ramme i GDPR er 20 millioner euro eller 4 prosent av global årlig omsetning, men for små bedrifter er pålegg og omdømmetap den mer realistiske risikoen.
Hva sier Datatilsynet om KI?
Datatilsynet sier tydelig at det som regel kreves en vurdering av personvernkonsekvenser når generativ KI brukes på personopplysninger. Det står i sluttrapporten «Copilot med personvernbriller på» fra sandkasseprosjektet der NTNU testet Microsoft 365 Copilot i 2024. Vi mener det er det mest praktiske dokumentet tilsynet har laget om generativ KI på arbeidsplassen. Begrunnelsen er at loven peker på ny teknologi som en særlig risikofaktor.
Fra samme rapport tar vi med oss tre råd vi mener alle bør følge:
- Bestem hva KI-en skal og ikke skal brukes til. Tilsynet trekker frem HR og saker med sensitive opplysninger som områder som bør vurderes særlig nøye eller holdes utenfor.
- Rydd i tilgangene først. En KI-assistent ser det brukeren har tilgang til. Har mange ansatte tilgang til mapper de ikke burde, vil KI-en gjøre det problemet synlig og forsterke det.
- Husk at KI-resultatet også kan være personopplysninger. Et sammendrag om en ansatt eller kunde kan være omfattet av innsynsretten.
Datatilsynet driver også en regulatorisk sandkasse for KI, der utvalgte prosjekter får veiledning og rapportene publiseres åpent. De er verdt å lese hvis prosjektet ditt ligner. Tilsynet har i tillegg gitt råd om KI på arbeidsplassen, der åpenhet overfor de ansatte og klare interne retningslinjer går igjen.
Kan vi sende kundedata til ChatGPT, Claude eller Gemini?
Det kan du gjøre lovlig, men bare med riktig type avtale og innstillinger. Den viktigste forskjellen går mellom forbrukerversjonene og bedrifts- eller API-versjonene.
- Gratis og personlige abonnementer er laget for privatpersoner. Vilkårene kan tillate at samtaler brukes til å forbedre modellene, og du får normalt ikke databehandleravtale. Ikke bruk dem til kundedata.
- Bedriftsversjoner og API fra de store leverandørene tilbyr databehandleravtale, og leverandørene oppgir at data fra disse ikke brukes til trening som standard. Les vilkårene selv, de endres.
- Lagring i Europa. Flere leverandører tilbyr nå behandling eller lagring i EU for bedriftskunder. Det forenkler regnestykket, men fjerner ikke behovet for avtale.
Om overføring til USA: EU-kommisjonens beslutning om EU-US Data Privacy Framework fra 2023 gjelder også i EØS, og lar deg overføre til amerikanske selskaper som er sertifisert under ordningen. EUs underrett (Retten) opprettholdt beslutningen 3. september 2025. Saken er anket til EU-domstolen (sak C-703/25 P), og per oktober 2026 er det ikke avsagt dom. To tidligere ordninger ble kjent ugyldige. Mange bedrifter har derfor også standard personvernbestemmelser i avtalen som sikkerhetsnett.
Hva er status for KI-forordningen i Norge?
Per oktober 2026 er EUs KI-forordning ikke gjennomført i norsk rett, og den gjelder derfor ikke direkte for norske bedrifter ennå. Forordningen må først tas inn i EØS-avtalen, og så må Stortinget vedta en norsk KI-lov. Dette er det vi har kunnet bekrefte om prosessen:
- Regjeringen sendte et utkast til norsk KI-lov på høring sommeren 2025, med høringsfrist 30. september 2025.
- EU endret deretter forordningen gjennom en forenklingspakke, Digital Omnibus om KI (forordning (EU) 2026/1744), som ble vedtatt 8. juli 2026 og trådte i kraft i EU 27. juli 2026.
- Regjeringen varslet 4. august 2026 at den norske KI-loven sendes på ny høring høsten 2026, og at målet er å legge den frem for Stortinget våren 2027. Forordningen er ennå ikke tatt inn i EØS-avtalen, og forhandlingene om EØS-tilpasninger pågår. Når loven trer i kraft i Norge, er ikke fastsatt.
- Nasjonal kommunikasjonsmyndighet (Nkom) er utpekt som koordinerende tilsynsmyndighet for KI-forordningen i Norge, mens Datatilsynet fortsatt fører tilsyn med personvernet.
I EU er store deler av forordningen allerede i kraft:
| Regel | Gjelder i EU fra |
|---|---|
| Forbud mot de mest skadelige bruksområdene, som manipulasjon og sosial poengsetting | 2. februar 2025 |
| Regler for leverandører av generelle KI-modeller, som de store språkmodellene | 2. august 2025 |
| Opplyse folk om at de snakker med en KI, for eksempel en chatbot, og merke KI-generert innhold | 2. august 2026, med fire måneders overgang for merking av innhold fra systemer som allerede var på markedet |
| Høyrisikosystemer i vedlegg III, som KI i rekruttering, kredittvurdering og utdanning | 2. desember 2027 (utsatt fra august 2026) |
| Høyrisikosystemer i regulerte produkter, som medisinsk utstyr og maskiner | 2. august 2028 |
Forenklingspakken myket også opp kravet om KI-kompetanse hos de ansatte. Bedriften skal fortsatt legge til rette for at de som bruker KI forstår verktøyene, men loven krever ikke lenger et bestemt kompetansenivå hos hver enkelt.
To praktiske poeng: Selger eller tilbyr du KI-løsninger til kunder i EU, kan du bli omfattet av EU-reglene allerede nå. Og selv om reglene ikke gjelder i Norge ennå, er det klokt å bygge etter dem. Å merke at kunden snakker med en chatbot koster ingenting, og du slipper å bygge om senere.
Slik bruker du KI lovlig, steg for steg
For en liten eller mellomstor bedrift er dette rekkefølgen vi anbefaler:
- Lag en oversikt over hvilke KI-verktøy som faktisk brukes i bedriften. Spør de ansatte, det er ofte flere enn du tror.
- Velg godkjente verktøy med bedriftsavtale og databehandleravtale, og si tydelig at de andre ikke skal brukes til kunde- eller personaldata.
- Skriv en kort KI-instruks for de ansatte: hva som er lov, hva som ikke er det, og hvem som spørres ved tvil. En side holder.
- Oppdater protokollen og personvernerklæringen med KI-leverandørene og formålene.
- Gjør en DPIA for bruk som involverer kundedata, ansattdata eller sensitive opplysninger. Datatilsynet har veiledning og en liste over når en DPIA er påkrevd.
- Minimer data i løsningene dere bygger: send bare nødvendige felt til modellen, og slett logger etter en fast periode.
- Hold et menneske i løkka for alle avgjørelser som betyr noe for en person.
Hva vi gjør når vi bygger KI-løsninger
Når vi bygger KI-løsninger, bruker vi API-tilgang med databehandleravtale og uten trening på kundedata, sender så lite persondata som mulig til modellen, og lagrer logger kort. Vi lar ikke KI-en ta avgjørelser alene som påvirker enkeltpersoner. Det er ikke bare jus, det er god arkitektur: mindre data betyr mindre å lekke. Mer om de tekniske fallgruvene finner du i Sikkerhet når du bygger med KI og Vanlige sikkerhetsfeil.
Ofte stilte spørsmål
Gjelder GDPR når vi bruker KI-verktøy?
Ja. GDPR gjelder alltid når KI behandler opplysninger som kan knyttes til en person. Du trenger behandlingsgrunnlag, databehandleravtale med leverandøren, informasjon til de registrerte og kontroll på overføring utenfor EØS.
Gjelder KI-forordningen i Norge?
Ikke ennå per oktober 2026. Forordningen må tas inn i EØS-avtalen og gjennomføres i en norsk KI-lov. Regjeringen varslet i august 2026 en ny høring høsten 2026 og tar sikte på å legge loven frem for Stortinget våren 2027. Tilbyr du KI-løsninger i EU, kan EU-reglene likevel gjelde for deg.
Må vi gjøre en DPIA når vi tar i bruk generativ KI?
Ofte ja. Datatilsynet skriver i sin rapport om Microsoft 365 Copilot at det som hovedregel vil kreves en vurdering av personvernkonsekvenser når generativ KI behandler personopplysninger, fordi ny teknologi er en særlig risikofaktor.
Kan ansatte bruke gratisversjonen av ChatGPT til kundedata?
Det bør de ikke. Gratis og personlige abonnementer har normalt ikke databehandleravtale, og samtalene kan brukes til å forbedre modellene. Bruk bedriftsversjoner eller API med databehandleravtale for alt som inneholder personopplysninger.
Er det lov å overføre personopplysninger til amerikanske KI-leverandører?
Ja, med lovlig overføringsgrunnlag. EU-US Data Privacy Framework gjelder i EØS for sertifiserte selskaper, men er anket til EU-domstolen. Mange bruker i tillegg standard personvernbestemmelser som sikkerhetsnett.
Hvem fører tilsyn med KI i Norge?
Datatilsynet fører tilsyn med personvern, også når KI er involvert. Nkom er utpekt som koordinerende tilsynsmyndighet for KI-forordningen når den gjennomføres i norsk rett.
Vil du bruke KI uten å gamble med personvernet?
Vi bygger KI-løsninger med dataminimering, databehandleravtaler og menneskelig kontroll fra start, så personvern ikke blir en ettertanke. Fortell oss hva du vil bruke KI til, så viser vi hvordan det kan gjøres trygt.
Send oss en e-post