GDPR og AI: hva norske bedrifter må ha på plass før KI-verktøy

Tre ting må være på plass før bedriften tar i bruk et KI-verktøy (kunstig intelligens, det samme som AI): oversikt over hvilke data som sendes ut av huset, en databehandleravtale med leverandøren, og et behandlingsgrunnlag for personopplysningene. Mangler én av delene, tar dere en risiko dere ikke har oversikt over. Her går jeg gjennom alle tre, med en sjekkliste dere kan ta i bruk i morgen.

Hvilke data forlater huset ditt

De fleste tenker på KI-verktøy som noe som svarer. I praksis er de like mye noe som mottar. Hver gang en ansatt limer en kunde-e-post inn i ChatGPT for å få hjelp med svaret, sendes innholdet til leverandørens servere. Kundens navn, saken det gjelder, kanskje helseopplysninger eller økonomiske detaljer. Det er personopplysninger etter GDPR, og bedriften er ansvarlig for behandlingen.

Det gjelder ikke bare chatten. Møteverktøy som transkriberer samtaler, e-postutvidelser som foreslår svar, og KI-funksjoner inne i programmer dere allerede bruker, sender også innhold ut. Hver av dem er en egen dataflyt som noen i bedriften bør kjenne til.

Dette skjer oftere enn ledelsen tror. Mange ansatte bruker KI-verktøy i jobben uten å si fra, gjerne med private kontoer. Fenomenet kalles skygge-KI, og det er regelen heller enn unntaket i bedrifter som ikke har tatt stilling.

Gratisversjonene er laget for privatpersoner. I flere av dem kan innholdet du skriver inn, bli brukt til å trene modellene, med mindre du aktivt reserverer deg. Da har en kundeopplysning ikke bare forlatt huset. Den kan i verste fall ha blitt en del av treningsgrunnlaget til en modell dere ikke kontrollerer.

Første steg er derfor ikke jus, men kartlegging. Hvilke verktøy brukes hos dere i dag? Hva limes inn i dem? Og hvor havner det? Uten det svaret er resten av denne artikkelen teori.

Databehandleravtale: det første du skal be om

Når en leverandør behandler personopplysninger på vegne av bedriften din, krever GDPR artikkel 28 en databehandleravtale. Avtalen kalles ofte DPA, etter det engelske navnet. Den fastsetter hva leverandøren får gjøre med dataene, hvor lenge de lagres, hvilke underleverandører som brukes, og hva som skjer ved sikkerhetsbrudd.

De store KI-leverandørene tilbyr databehandleravtaler på bedriftsnivåene sine. OpenAI, Microsoft, Google og Anthropic har alle standardavtaler for betalende bedriftskunder og for API-bruk. Gratisversjonene for privatpersoner har som regel ikke det. Der er du forbruker med en brukeravtale, ikke behandlingsansvarlig med en databehandler i ryggen.

Tommelfingerregelen min er enkel: finnes det ingen databehandleravtale, skal det heller ikke inn personopplysninger i verktøyet. Verktøyet kan fortsatt brukes til generelle spørsmål og tekst uten persondata. Men kundedialog, personalsaker og saksbehandling hører ikke hjemme der.

Les også hva avtalen sier om trening. En god avtale slår fast at dataene deres ikke brukes til å trene leverandørens modeller. På bedriftsnivåene er det vanligvis standard. Sjekk likevel, og ta vare på dokumentasjonen.

Husk samtidig at avtalen ikke erstatter behandlingsgrunnlaget. Dere må fortsatt ha et grunnlag etter GDPR artikkel 6 for selve behandlingen, for eksempel berettiget interesse eller avtale med kunden. Databehandleravtalen regulerer bare forholdet mellom dere og leverandøren.

Hvor dataene lagres: EU, EØS eller USA

GDPR stiller egne krav når personopplysninger overføres ut av EØS. Overføring til USA kan være lovlig i dag, blant annet gjennom rammeverket EU og USA har avtalt for sertifiserte selskaper. Men dette området har vært i bevegelse lenge, og forgjengeren til dagens rammeverk ble kjent ugyldig av EU-domstolen i 2020. Velger dere en leverandør som lagrer og behandler dataene i EU eller EØS, slipper dere hele den vurderingen.

Det er mer tilgjengelig enn mange tror. Flere store KI-leverandører tilbyr nå datalagring i EU på betalte nivåer, og skyleverandørene har regioner over hele Europa. Microsoft har datasentre i Norge. Spør konkret: hvor lagres dataene i hvile, hvor behandles de, og hvilke underleverandører har tilgang? Be om svaret skriftlig. Seriøse leverandører har dette dokumentert allerede, og nølingen i seg selv forteller deg noe.

Slik gjør jeg det selv: denne nettsiden bruker ingen informasjonskapsler og ingen sporingsverktøy. Kontaktskjemaet behandles kortvarig av en funksjon i EU, og sendes umiddelbart videre som e-post via en tjeneste i Azure-regionen Norway East, altså i Norge. Ingen kopi lagres på nettsiden, og henvendelsen besvares fra Norge. Alt dette står dokumentert i personvernerklæringen min.

Poenget er ikke at alle trenger samme oppsett. Poenget er at det går an å vite og dokumentere nøyaktig hvor hver opplysning tar veien. Den standarden bør dere kreve av KI-verktøyene også. En leverandør som ikke kan svare på hvor dataene lagres, har egentlig gitt deg svaret du trenger.

Ansatte bruker allerede KI

Hvis bedriften ikke har et godkjent KI-verktøy, betyr det sjelden at ingen bruker KI. Det betyr at de bruker det privat, uten avtaler og uten at noen vet hva som limes inn. Et forbud flytter bare bruken dit ingen ser den. Regler som faktisk følges, virker bedre enn forbud som ignoreres.

Det dere trenger, er en kort intern KI-policy. Én side holder. Min anbefaling:

• Velg ett eller to godkjente verktøy på bedriftsnivå, med databehandleravtale, og betal for dem.
• Vær konkret på hva som aldri skal limes inn: fødselsnummer, helseopplysninger, lønnsdata, kundelister og forretningshemmeligheter.
• Krev jobbkonto. Private kontoer skal ikke brukes til jobbdata.
• Gjør det lett å spørre. Én person eller én kanal for KI-spørsmål senker terskelen.
• Gå gjennom reglene med alle ansatte. Et kvarter i et lunsjmøte er nok til å starte.

Poenget med en policy er ikke å bremse folk. Det er å gi dem et verktøy de trygt kan bruke for fullt, i stedet for et privat verktøy de bruker i smug. Datatilsynet har publisert veiledning om kunstig intelligens og personvern, skrevet for å være praktisk anvendelig. Begynn der hvis dere vil lese mer: datatilsynet.no.

Sjekkliste før dere tar i bruk et KI-verktøy

Bruk denne listen som et arbeidsdokument. Den er laget for små og mellomstore bedrifter uten egen personvernrådgiver, og dekker det meste av risikoen med en dags innsats.

• Kartlegg hvilke data som vil bli sendt til verktøyet, inkludert det ansatte kommer til å lime inn.
• Avklar om dataene inneholder personopplysninger. Som regel gjør de det.
• Be leverandøren om en databehandleravtale. Finnes den ikke, stopp her eller hold persondata helt ute.
• Sjekk om innholdet brukes til å trene modeller, og skru det av eller velg et nivå der det er av.
• Finn ut hvor dataene lagres og behandles, og foretrekk EU eller EØS.
• Fastsett behandlingsgrunnlaget etter GDPR artikkel 6 før verktøyet tas i bruk.
• Oppdater oversikten over behandlingsaktiviteter, og personvernerklæringen hvis kunder eller ansatte berøres.
• Vurder om bruken krever en vurdering av personvernkonsekvenser (DPIA). Datatilsynet har veiledning om når det gjelder.
• Skriv en kort intern KI-policy: godkjente verktøy, forbudte datatyper, og hvem dere spør ved tvil.
• Sett en dato for å evaluere bruken, for eksempel etter tre måneder.

Klarer dere å krysse av alle ti, ligger dere godt an.

Når du bygger noe eget

Ferdige KI-verktøy gir deg de valgene leverandøren har lagt opp til. Bygger du en egen integrasjon mot en språkmodell, bestemmer du selv. Du velger hvilke felter som sendes til modellen, og kan fjerne eller maskere personopplysninger før noe forlater systemet. Du velger endepunkt i EU der leverandøren tilbyr det. Og du logger hva som sendes, slik at behandlingen kan dokumenteres i ettertid.

I praksis betyr det at en KI-assistent kan svare på spørsmål fra bedriftens egne dokumenter, uten at kundedata krysser grenser. Modellen får bare det den trenger for å svare, ikke hele databasen.

Dette er den typen arbeid jeg gjør. Jeg bygger AI-integrasjoner der personvern og GDPR håndteres som en del av jobben, ikke som etterpåklokskap, og der driften ligger i Norge. En typisk pilot tar 2–4 uker og koster fra 35 000 kr. Der finner vi først ut om KI i det hele tatt er riktig svar på problemet. Noen ganger er svaret en bedre prosess, og da sier jeg det. Du eier koden etterpå. Les mer om AI-tjenestene jeg tilbyr.

Veien videre

Dette er praktisk veiledning fra en utvikler, ikke juridisk rådgivning. Er dere i tvil om et konkret tilfelle, bruk veilederne hos Datatilsynet eller snakk med en advokat med personvernkompetanse.

Men ikke la jusen bli en grunn til å utsette alt. De tre tingene fra innledningen, oversikt, avtale og grunnlag, er overkommelige for en vanlig norsk bedrift. Mye av jobben er å stille leverandørene de riktige spørsmålene og skrive ned svarene.

Lurer du på hvor bedriften din står, eller vil du ha hjelp til å bygge noe der dataflyten er under kontroll? Ta kontakt. De første 20 minuttene koster ingenting.