GDPR gjeld også når du brukar AI
Det viktigaste først: GDPR gjeld allereie fullt ut i Noreg gjennom personopplysningslova. Det betyr at same reglar gjeld når du legg informasjon inn i eit AI-verktøy, som når du brukar eit rekneskapssystem, CRM, e-post eller skylagring.
Personopplysningar er ikkje berre fødselsnummer og helseopplysningar. Det kan vere namn, e-postadresse, telefonnummer, kundehistorikk, IP-adresse, bilete, interne notat om tilsette eller ei supportsak der ein person kan kjennast att. Dersom du limer dette inn i ein AI-chat, har du behandla personopplysningar.
Det betyr ikkje at AI er forbode. Men du må vite kva data du brukar, kvifor du brukar dei, kvar dei hamnar, og kven som har ansvar. For mange små og mellomstore verksemder er den tryggaste starten å bruke AI til oppgåver der du ikkje treng persondata i det heile.
Den trygge starten er intern nytte
Dei fleste verksemder kan kome langt med låg risiko. AI er god til å lage utkast, oppsummere tekst, forenkle språk, omsetje, lage sjekklister, sortere informasjon og hjelpe til med idéarbeid. Alt dette kan ofte gjerast utan kundelister, tilsettnotat eller sensitive detaljar.
Eit praktisk døme: I staden for å lime inn ein heil kundeklage med namn og ordrenummer, kan du skrive: Ein kunde klagar på forseinka levering av spesialvare. Lag eit høfleg svar der vi beklagar, forklarer at vi undersøker saka, og tilbyr ny oppdatering innan to dagar. Då får du hjelp til formuleringa, utan å dele meir enn nødvendig.
Same prinsipp gjeld i HR. Ikkje legg inn CV-ar, sjukefråvær eller interne vurderingar i eit ope AI-verktøy utan at de har kontroll på databehandlaravtale, lagring og rettsleg grunnlag. Men du kan trygt be AI lage ein mal for medarbeidarsamtale, eit forslag til stillingsannonse eller ei sjekkliste for onboarding.
Ver særleg varsam med avgjerder
Det er stor skilnad på AI som hjelper deg å skrive betre, og AI som tek avgjerder om folk. Rekruttering, kredittvurdering, forsikring, prisar, tilgang til tenester og kundesaker kan fort bli meir risikabelt. Her kan feil råke enkeltpersonar direkte.
GDPR har strenge reglar for automatiserte avgjerder som har rettslege eller tilsvarande vesentlege verknader for personar. Kort sagt: Ikkje la AI aleine avgjere kven som får jobbintervju, lån, avslag, rabatt eller vidare behandling i ei viktig sak. Menneskeleg kontroll må vere reell, ikkje berre eit stempel til slutt.
EU-reglane for AI har òg skjerpa merksemda rundt openheit. Frå 2. august 2026 gjeld sentrale krav i EU om at folk skal få vite når dei snakkar med ein chatbot, og at AI-generert eller manipulert innhald i fleire tilfelle skal merkast. Noreg er framleis i EØS-prosess for heile regelverket, men norske verksemder som sel til EU, har EU-brukarar eller brukar slike løysingar kundevendt, bør førebu seg no.
For ei vanleg norsk verksemd betyr dette: Bruk gjerne AI internt først. Ver mykje meir grundig dersom AI skal møte kundar, lage offentleg innhald eller påverke avgjerder om menneske.
Sjekk leverandøren, ikkje berre prisen
Mange AI-verktøy kostar lite per brukar, og det er freistande å berre kjøpe eit abonnement og setje i gang. Men personvern handlar ikkje berre om modellnamnet. Det handlar om vilkåra rundt.
Spør leverandøren: Blir det vi skriv inn brukt til å trene modellen? Kor lenge blir data lagra? Kan vi slette data? Kvar blir data behandla? Finst det databehandlaravtale? Kan vi slå av historikk eller logging? Har de eigne bedriftsvilkår?
For gratis- og privatabonnement er svaret ofte mindre eigna for verksemder. Bedriftsversjonar kan gje betre kontroll, men de må framleis lese vilkåra. Det er betre å velje eitt godkjent verktøy for verksemda enn at alle tilsette brukar kvar si løysing utan felles reglar.
Ein enkel intern regel kan sjå slik ut:
- Ikkje legg inn sensitive personopplysningar i AI-verktøy.
- Fjern namn, e-post, telefonnummer og kundenummer før bruk.
- Bruk AI til utkast, ikkje endelege avgjerder.
- Les alltid gjennom før noko blir sendt ut.
- Bruk berre verktøy verksemda har godkjent.
Dette er ikkje tung juss. Det er sunn drift.
Lag spor utan å lage byråkrati
Du treng ikkje skrive ei tjukk handbok for å kome i gang. Men du bør dokumentere nok til å vise at de har tenkt gjennom risikoen. Lag ei enkel oversikt over kva AI-verktøy de brukar, kva dei blir brukte til, kven som har tilgang, og om personopplysningar kan hamne der.
Del bruken inn i låg, middels og høgare risiko. Låg risiko kan vere språkforbetring, idéutkast og interne møtereferat utan persondata. Middels risiko kan vere kundeserviceutkast, der persondata kan dukke opp. Høgare risiko kan vere HR, økonomiske vurderingar eller system som påverkar rettar og moglegheiter for enkeltpersonar.
For kvar bruk bør de svare på tre spørsmål: Kva data går inn? Kva kjem ut? Kven kontrollerer svaret før det blir brukt?
Det siste punktet er viktig. AI kan høyrest trygg og sikker ut, men likevel ta feil. Han kan misforstå, dikte opp detaljar eller bruke eit språk som ikkje passar verksemda. Menneskeleg kontroll er både eit kvalitetsgrep og eit tryggleiksgrep.
Mitt konkrete råd: Start denne veka med ein 30-minutts AI-ryddesjau. Skriv ned kva verktøy de brukar i dag, bestem kva informasjon som aldri skal inn i AI, og vel eitt trygt bruksområde utan persondata som alle kan øve på.