AI og GDPR: slik bruker bedriften AI lovlig

Når gjelder GDPR for bruk av AI?

GDPR gjelder så snart AI-verktøyet behandler personopplysninger, altså enhver opplysning som kan knyttes til en identifiserbar person. Det er ikke verktøyet som avgjør om personvernforordningen slår inn, men hva dere putter inn i det og hva løsningen gjør med det.

Mange tror at AI bare blir et personvernspørsmål når man bygger egne modeller. I praksis er det hverdagsbruken som utløser pliktene: en ansatt limer inn en kundeklage med navn og telefonnummer, en AI-agent leser innboksen for å svare på henvendelser, eller et møteverktøy transkriberer en medarbeidersamtale. Alt dette er behandling av personopplysninger, og bedriften er behandlingsansvarlig.

Motsatt: Bruker dere AI til å skrive markedstekst, oppsummere offentlige rapporter eller generere kode uten persondata, er GDPR i liten grad aktuelt. Det første steget er derfor å skille bruksområdene fra hverandre i stedet for å behandle «AI» som én ting.

Hvilket behandlingsgrunnlag trenger dere?

Dere trenger ett av grunnlagene i GDPR artikkel 6 for hver ting dere gjør med personopplysninger, også når det er en AI som gjør jobben. For de fleste bedrifter er det i praksis avtale (for å levere det kunden har bestilt) eller berettiget interesse (der bedriftens interesse veies mot personens).

Det viktige er at formålet ikke skifter i det stille. Har dere samlet inn kundedata for å levere en tjeneste, kan dere ikke uten videre bruke de samme dataene til å finjustere en modell eller lage profiler. Hver ny bruk må vurderes mot det opprinnelige formålet. Bygger dere på berettiget interesse, bør interesseavveiningen skrives ned, slik at dere kan vise hvorfor behandlingen er nødvendig og ikke går for langt.

Særlige kategorier, som helseopplysninger, fagforeningsmedlemskap eller etnisitet, krever i tillegg et unntak etter artikkel 9. Og hvis AI-en tar avgjørelser som har rettsvirkning eller betydelig påvirker en person, uten at et menneske reelt vurderer saken, gjelder egne begrensninger i artikkel 22. Bygg derfor inn menneskelig kontroll der beslutningene betyr noe for folk.

Husk også informasjonsplikten: Kunder og ansatte skal få vite at opplysningene deres behandles med AI-verktøy, til hvilket formål og hvem som er databehandler. Oppdater personvernerklæringen før løsningen tas i bruk, ikke etterpå.

Databehandleravtale med AI-leverandøren

Når en AI-leverandør behandler personopplysninger på vegne av bedriften, må dere ha en databehandleravtale med leverandøren, slik GDPR artikkel 28 krever. Avtalen regulerer hva leverandøren får gjøre med dataene, sikkerhetstiltak, bruk av underleverandører, varsling ved avvik og sletting.

De store leverandørene tilbyr dette for bedriftsproduktene sine. OpenAI tilbyr f.eks. en databehandleravtale for ChatGPT Business, ChatGPT Enterprise og API-et, og Anthropic har en databehandleravtale som er innlemmet i de kommersielle vilkårene for f.eks. Claude for Work og API-et. For gratis- og forbrukerversjoner får dere normalt ikke en slik avtale, og da mangler grunnlaget for å legge inn kundedata.

Sjekk også listen over underleverandører. En AI-funksjon i et kjent kontorverktøy kan bruke en annen modelleverandør i bakgrunnen, med andre vilkår for hvor dataene behandles. Microsoft opplyser f.eks. at Anthropic-modeller som brukes i Microsoft 365 Copilot er unntatt fra EU Data Boundary.

Trener leverandøren på dataene deres?

Bedriftsversjonene av de store AI-tjenestene trener som hovedregel ikke på kundedataene, mens forbrukerversjonene kan gjøre det avhengig av innstillingene. Dette er den viktigste forskjellen mellom å betale for en bedriftslisens og å la ansatte bruke gratisversjoner.

Merk at «trener ikke» ikke betyr «lagrer ikke». Leverandørene kan fortsatt lagre forespørsler en periode, blant annet for misbruksovervåking. Les vilkårene for akkurat den planen dere bruker, og sjekk dem jevnlig, for de endres. Vil du sammenligne verktøyene mer i detalj, se ChatGPT, Claude eller Copilot.

Overføring av data ut av EØS

Personopplysninger kan bare overføres ut av EØS hvis det finnes et gyldig overføringsgrunnlag etter GDPR kapittel V, og for USA er det i dag normalt EU-US Data Privacy Framework eller EUs standardavtaler. Mange AI-tjenester er amerikanske, så dette er et spørsmål dere må ha et bevisst svar på.

EU-kommisjonen vedtok adekvansbeslutningen for USA i juli 2023. Den gjelder bare amerikanske virksomheter som er selvsertifisert og står på listen på dataprivacyframework.gov, så sjekk at leverandøren faktisk er der. EU-retten opprettholdt beslutningen 3. september 2025, men dommen er anket til EU-domstolen (sak C-703/25 P), og saken var fortsatt til behandling da denne artikkelen ble skrevet. Datatilsynet anbefaler fortsatt å ha en beredskapsplan for alternative løsninger.

Det enkleste risikotiltaket er å velge europeisk databehandling der det tilbys. OpenAI tilbyr f.eks. datalagring i Europa for ChatGPT Enterprise, Edu og API-et, og Microsoft 365 Copilot er en EU Data Boundary-tjeneste. For de mest sensitive dataene kan det også være aktuelt med modeller som kjøres i egen sky eller på egen infrastruktur.

Når må dere gjøre en DPIA?

Dere må gjennomføre en vurdering av personvernkonsekvenser (DPIA) når behandlingen sannsynligvis innebærer høy risiko for personers rettigheter og friheter, slik GDPR artikkel 35 krever. For AI er det ofte tilfellet når løsningen profilerer, tar automatiserte beslutninger, overvåker ansatte eller behandler sensitive data i stor skala.

Datatilsynet har en egen liste over behandlinger som alltid krever DPIA. Den omfatter blant annet behandling med innovativ teknologi kombinert med minst ett annet risikokriterium, systematisk overvåking av ansatte og profilering som brukes til å forutsi forhold som økonomi, helse eller atferd. Mange AI-prosjekter treffer innovativ teknologi, så spørsmålet blir ofte om det finnes et kriterium til.

En DPIA skal startes så tidlig som mulig i utformingen. Den er ikke bare et skjema, men et verktøy for å finne ut hvilke data løsningen faktisk trenger, hvem som skal ha tilgang og hva som skal skje når AI-en tar feil. Gjort riktig gjør den løsningen bedre, ikke bare lovlig.

Hva sier Datatilsynet om kunstig intelligens?

Datatilsynet forventer at virksomheter som kjøper og tar i bruk AI, stiller krav om innebygd personvern, vurderer risiko før, under og etter innføring, og tester at løsningen faktisk følger regelverket. Det er altså ikke nok å stole på leverandørens markedsføring.

Datatilsynet driver også en regulatorisk sandkasse for kunstig intelligens, der private og offentlige virksomheter i alle størrelser kan søke om veiledning i utviklingen av AI-løsninger som behandler personopplysninger. Sluttrapportene er offentlige og nyttige for alle. Sandkasseprosjektet med NTNU om Microsoft 365 Copilot er f.eks. et konkret eksempel på hvilke personvernspørsmål en organisasjon bør stille før et AI-verktøy rulles ut bredt.

Lag en intern AI-policy

En intern AI-policy er det billigste og mest effektive personverntiltaket dere kan innføre, fordi de fleste brudd skjer i hverdagsbruken og ikke i store prosjekter. Policyen trenger ikke være lang, men den må være konkret nok til at en ansatt vet hva hen kan gjøre i morgen.

• Hvilke AI-verktøy som er godkjent, og at private kontoer ikke skal brukes til jobbdata.
• Hvilke typer data som aldri skal inn i et AI-verktøy, f.eks. helseopplysninger, personnummer og fortrolige kontrakter.
• At AI-generert innhold skal kontrolleres av et menneske før det sendes til kunder eller brukes i beslutninger.
• Hvem som godkjenner nye verktøy og nye bruksområder.
• Hva man gjør hvis noe går galt, og hvordan avvik meldes.

Policyen virker bare hvis folk forstår den. Opplæring i hvordan verktøyene fungerer og hvor risikoen ligger gir mer enn et forbud ingen følger. Det er også derfor vi anbefaler å starte med kompetanse når bedriften skal komme i gang med AI, og hvorfor AI-kursene våre tar opp trygg bruk av data som en del av innholdet.

Sjekkliste: AI og GDPR i praksis

Denne sjekklisten dekker det de fleste små og mellomstore bedrifter må ha på plass før AI tas i bruk med personopplysninger.

1. Kartlegg hvor AI brukes i dag, også uoffisielt, og hvilke data som går inn.
2. Skill bruksområder med og uten personopplysninger.
3. Fastsett formål og behandlingsgrunnlag for hvert bruksområde med persondata, og dokumenter interesseavveiningen der dere bruker berettiget interesse.
4. Velg bedriftsversjoner av verktøyene og bekreft at de ikke trener på dataene deres.
5. Inngå databehandleravtale med leverandøren og gå gjennom listen over underleverandører.
6. Avklar hvor dataene behandles, velg europeisk databehandling der det er mulig, og sjekk overføringsgrunnlaget for land utenfor EØS.
7. Vurder om behandlingen krever DPIA, og gjennomfør den før løsningen tas i bruk.
8. Oppdater personvernerklæringen og informasjonen til ansatte.
9. Innfør en intern AI-policy og gi de ansatte opplæring.
10. Bygg inn menneskelig kontroll der AI påvirker beslutninger om personer.
11. Oppdater protokollen over behandlingsaktiviteter.
12. Gå gjennom vilkår og innstillinger jevnlig, minst når leverandøren endrer dem.

Hvordan henger GDPR sammen med KI-forordningen?

GDPR og KI-forordningen gjelder side om side: GDPR regulerer behandlingen av personopplysninger, mens KI-forordningen regulerer selve AI-systemene ut fra hvor stor risiko de innebærer. Å oppfylle den ene fritar ikke fra den andre.

For de fleste bedrifter er GDPR det regelverket som allerede gjelder fullt ut og som treffer hverdagsbruken. KI-forordningen legger på krav, særlig for systemer i høyrisikokategoriene. Arbeidet overlapper: En god DPIA og oversikt over AI-systemene dere bruker gjør det enklere å møte begge. Les mer i guiden vår om KI-forordningen.

Slik kan Fremvekst hjelpe

Vi designer AI-løsninger slik at data behandles i tråd med GDPR, og velger kjøremiljø og modelleverandør ut fra hvor sensitive dataene er, inkludert oppsett der data ikke forlater EU eller deres egen infrastruktur. Vi går alltid gjennom databehandling og lagring før vi bygger. Se hvordan vi jobber med AI og automasjon, eller ta kontakt for en prat om deres konkrete bruksområde.

Denne artikkelen er generell informasjon og ikke juridisk rådgivning; ved tvil bør dere rådføre dere med en advokat eller personvernrådgiver.