AI verktøy har blitt en naturlig del av arbeidsdagen, også når du jobber med dokumenter som inneholder personopplysninger – kontrakter, kvitteringer, e-poster. Spørsmålet er ikke lenger om du skal bruke AI, men hvordan du gjør det uten å bryte personvernreglene. Her er det viktigste en norsk bedrift bør ha klart i 2026.
GDPR forbyr ikke AI – det stiller krav
Personvernforordningen (GDPR) regulerer behandling av personopplysninger, ikke teknologien du bruker. Sender du noe som kan identifisere en person inn i et AI verktøy, behandler du personopplysninger – og da gjelder de vanlige reglene: du må ha et behandlingsgrunnlag (for eksempel avtale, samtykke eller berettiget interesse), du må bare bruke dataene til det du har sagt, og du må kunne dokumentere hva du gjør.
Det gode er at dette er håndterbart. De fleste hverdagsoppgaver – oppsummere en rapport, rette en e-post, lese av en kvittering – kan gjøres innenfor regelverket hvis du velger verktøy med omhu og tenker gjennom hva du sender inn.
Databehandleravtale: hvem har ansvaret?
Når en AI leverandør behandler personopplysninger på dine vegne, er du behandlingsansvarlig og leverandøren databehandler. GDPR krever da en databehandleravtale (DPA) som regulerer hva leverandøren får lov til å gjøre med dataene.
Før du tar i bruk et verktøy for noe som inneholder persondata, sjekk at leverandøren tilbyr en DPA, og les hva den faktisk sier om lagring, sletting og bruk til trening av modeller. En avtale som er vag på akkurat disse punktene, er et varselsignal. Vilkårene varierer mye fra leverandør til leverandør, så det lønner seg å lese hva som faktisk står – ikke gå ut fra at to tjenester håndterer data likt.
Husk også at ansvaret blir hos deg. Selv med en god databehandleravtale er det du som er behandlingsansvarlig overfor kundene og de ansatte dine. Avtalen flytter ikke ansvaret – den dokumenterer at du har gjort jobben din.
Særlige kategorier krever ekstra varsomhet
Noen personopplysninger er strengere regulert enn andre. Helseopplysninger, fagforeningsmedlemskap, religion og etnisitet regnes som «særlige kategorier» under GDPR, og terskelen for å behandle dem er høyere – ofte kreves uttrykkelig samtykke eller et eget rettslig grunnlag.
I praksis betyr det at du bør være ekstra tilbakeholden med å sende slik informasjon inn i et hvilket som helst verktøy. Trenger du å oppsummere et dokument som inneholder helsedata, vurder om du kan fjerne de mest sensitive feltene først, og sjekk hva leverandørens vilkår sier om hvordan innholdet håndteres.
Dataminimering – send mindre
Det enkleste personverngrepet er også det mest oversette: ikke send mer enn nødvendig. Trenger AI-en virkelig fødselsnummeret for å oppsummere et brev? Ofte kan du fjerne eller anonymisere de mest sensitive feltene før du limer inn teksten. Jo mindre persondata som forlater maskinen din, jo mindre er risikoen – uavhengig av hvilket verktøy du bruker.
For oppgaver som å lese av kvitteringer eller oversette et dokument handler det om å løse jobben raskt og rydde unna tidstyver, men prinsippet er det samme: ta bort det den ikke trenger å se.
Tredjelandsoverføring: hvor havner dataene?
Det mest kompliserte spørsmålet er geografi. Overføring av personopplysninger til land utenfor EØS – typisk USA – har vært et hett tema siden Schrems II-dommen, og selv med rammeverk som EUs Data Privacy Framework og standard avtaleklausuler (SCC) er det fortsatt noe du må forholde deg til.
For mange er den enkleste tilnærmingen å holde behandlingen i EU. Da slipper du mye av usikkerheten rundt tredjelandsoverføring. Vær samtidig ærlig med deg selv: er leverandøren et amerikansk-eid selskap, kan ingen love at de er fullstendig utenfor amerikansk jurisdiksjon. Det realistiske målet er å forstå risikobildet og dokumentere valgene dine – hvor data behandles, hva som lagres, og om data brukes til å trene modeller – ikke å lete etter en tjeneste som påstår at all risiko er borte.
Sjekklisten før du tar i bruk et AI verktøy
- Behandlingsgrunnlag på plass for det du faktisk gjør.
- Databehandleravtale med leverandøren hvis persondata er involvert.
- Hvor prosesseres dataene? Sjekk hvilken region leverandøren bruker.
- Lagring og sletting – les vilkårene for hva som skjer med innholdet etterpå.
- Trening – sjekk om leverandøren bruker dataene dine til å trene modeller, og om du kan reservere deg.
Kort oppsummert
GDPR og AI er fullt forenlige hvis du tenker gjennom grunnlag, mengde og geografi. Les vilkårene til leverandøren, hold en DPA i orden, og send aldri mer persondata enn oppgaven krever. Er du i tvil i en konkret sak, spør en jurist eller sjekk Datatilsynet – denne artikkelen er en oversikt, ikke en fasit.
AI bua er en norsk verktøykasse med små, skarpe AI verktøy som hver gjør én jobb godt – oversetting, oppsummering, kvitteringer, e-postsvar og mer. Vil du se hvordan en oppgave løses i praksis, prøv oversetteren: lim inn teksten, få et naturlig norsk resultat på sekunder, ingen installasjon. Du bestemmer selv hva du sender inn.