Er det trygt å bruke AI i bedriften? Personvern og GDPR forklart enkelt

Dette er ikke juridisk rådgivning. Det er en praktisk forklaring fra meg, som setter opp AI-løsninger for små bedrifter. Er du i tvil i en konkret sak, les Datatilsynets veiledere eller spør en advokat.

Er det trygt å bruke AI i en liten bedrift?

Ja, hvis dere gjør noen enkle grep. At mange er usikre, er forståelig. Blant foretakene som ikke brukte KI i 2025, sa 4 av 10 at de var bekymret for data og personvern, og at de juridiske konsekvensene var uklare (SSB, 2025).

Det viktigste å vite er at personvernreglene du allerede følger, også gjelder når du bruker AI. Du trenger ikke lære et nytt regelverk fra bunnen av. Spørsmålene er de samme som før: Hvilke opplysninger bruker du, hvem behandler dem på dine vegne, og hvor havner de?

Hva kan du lime inn i et AI-verktøy?

Tommelfingerregelen min er enkel: Lim inn det du ikke ville hatt problemer med at en ekstern leverandør så. For eksempel:

• egne utkast til tekster, annonser og nettsider
• produktbeskrivelser, prislister og annen informasjon som uansett er offentlig
• generelle spørsmål om fag, regnestykker eller formuleringer
• eksempler der navn og andre kjennetegn er fjernet

Pass på at «fjernet» betyr fjernet. En personopplysning er alle opplysninger og vurderinger som kan knyttes til en person, direkte eller indirekte (Datatilsynet, 2025). En adresse, et kundenummer eller en kombinasjon av detaljer kan være nok til at noen blir gjenkjent.

Hva skal du aldri lime inn?

I verktøy som ikke er satt opp og godkjent for det i bedriften, bør du holde dette unna:

• personopplysninger om kunder, ansatte eller jobbsøkere, som navn, telefonnummer, adresse og fødselsnummer
• sensitive opplysninger, det loven kaller særlige kategorier, blant annet helseopplysninger, fagforeningsmedlemskap, religiøs tro, politisk oppfatning og opplysninger om seksuelle forhold (Datatilsynet, 2025)
• forretningshemmeligheter, som kalkyler, avtalevilkår og planer
• passord, kontonumre og tilgangskoder

Grunnen er ikke bare prinsipiell. I tjenester for privatpersoner kan det du skriver, bli brukt til å trene modellene. OpenAI skriver for eksempel at innhold fra ChatGPT for privatpersoner kan brukes til trening hvis du ikke skrur det av, mens innhold fra bedriftsversjonene og API-et som standard ikke brukes til det (OpenAI, 2026). Derfor er regel nummer én: Bruk bedriftsversjoner, ikke private kontoer.

Hva med kundeopplysninger?

Her må du kjenne to roller. Når bedriften din bestemmer hva kundeopplysningene skal brukes til, er dere behandlingsansvarlig. En leverandør som behandler opplysningene på deres vegne, for eksempel en skytjeneste eller et AI-verktøy, er databehandler (Datatilsynet, 2019).

Ansvaret blir altså hos deg, selv om det er leverandørens system. Vil du bruke AI på kundeopplysninger, for eksempel til å oppsummere henvendelser eller lage utkast til svar på e-post, bør dette være på plass:

1. En bedriftsversjon av verktøyet med databehandleravtale.
2. Et klart formål: Hva skal AI-en gjøre med opplysningene, og er det nødvendig?
3. Så lite data som mulig. Ikke gi verktøyet tilgang til hele kundearkivet hvis det bare trenger dagens henvendelser.
4. En vurdering av personvernkonsekvensene.

Det siste punktet er viktigere enn mange tror. Datatilsynet skriver at det som hovedregel vil være et krav om å vurdere personvernkonsekvenser (DPIA) når generativ KI behandler personopplysninger (Datatilsynet, 2024). Vurderingen skal gjøres før dere tar verktøyet i bruk på slike opplysninger, ikke etterpå.

Hva er en databehandleravtale, og trenger du en?

En databehandleravtale er en skriftlig avtale mellom deg og leverandøren om hva leverandøren får gjøre med opplysningene. Avtalen må blant annet beskrive hva leverandøren faktisk skal gjøre, formålet, hvor lenge avtalen varer, hva slags personopplysninger det gjelder, og hvem de gjelder (Datatilsynet, 2023).

Du trenger en når en leverandør behandler personopplysninger på dine vegne. Det gjelder også når de bare lagrer dem. Datatilsynet bruker selv en skytjeneste som eksempel på en databehandler, selv om de ansatte der ikke ser opplysningene.

Mange leverandører har en ferdig standardavtale. Sjekk at den gjelder den versjonen dere faktisk bruker. Og husk at ansvaret for at avtalen følger regelverket, ligger hos deg som behandlingsansvarlig, ikke hos leverandøren (Datatilsynet, 2019). Finner du ikke avtalen, spør leverandøren. Får du ikke noe svar, er det også et svar.

Hvor lagres dataene, og spiller det noen rolle?

Ja. Innenfor EØS gjelder de samme personvernreglene. Skal opplysningene ut av EØS, krever det et eget grunnlag for at overføringen skal være lovlig (Datatilsynet, 2026).

Mange AI-leverandører er amerikanske. For USA finnes det en ordning der EU har godkjent beskyttelsesnivået, men den gjelder bare selskaper som står på lista over sertifiserte virksomheter på dataprivacyframework.gov (Datatilsynet, 2026). I september 2025 avviste EU-domstolen et forsøk på å få ordningen kjent ugyldig. Datatilsynet anbefaler likevel at bedrifter har en plan for alternative løsninger, fordi dommen neppe er siste ord i saken (Datatilsynet, 2025).

I praksis: Les personvernsiden til leverandøren. Hvor lagres dataene? Kan dere velge lagring i Europa? Står selskapet på lista? Har dere databehandleravtale?

Hva betyr EUs nye KI-lov for en liten bedrift?

KI-forordningen er EUs lov om kunstig intelligens. Den sorterer AI etter hvor stor risiko bruken gir (EU-kommisjonen, 2026):

• Forbudt: noen få former for bruk som er en klar trussel mot folks sikkerhet og rettigheter.
• Høy risiko: for eksempel AI som sorterer jobbsøknader, eller som avgjør om noen får lån. Her kommer strenge krav, men de er utsatt til 2. desember 2027.
• Åpenhet: Snakker kundene med en chatbot, skal de få vite at det er en maskin.
• Minimal risiko: Loven innfører ingen regler for denne gruppen, og ifølge EU-kommisjonen havner de aller fleste AI-systemene som brukes i EU, her.

For en liten bedrift som bruker AI til å skrive tekster, oppsummere e-post eller svare på enkle spørsmål, betyr det altså ikke en haug med nye krav. Det viktigste er opplæring. Virksomheter som bruker AI, skal gjøre tiltak for å styrke de ansattes kompetanse, og EU-kommisjonen nevner selv ansatte som bruker ChatGPT til annonsetekster som eksempel (EU-kommisjonen, 2026).

Og i Norge? KI-forordningen er ikke innført her ennå. Regjeringen sender den norske KI-loven på ny høring høsten 2026 og tar sikte på å legge den fram for Stortinget våren 2027. Regjeringen skriver samtidig at det ikke er «fritt fram» i mellomtiden: Personvernregelverket og annet eksisterende regelverk gjelder også når du bruker AI (Regjeringen, 2026).

Sjekkliste: Er bedriften klar til å bruke AI på en trygg måte?

1. Alle bruker bedriftens konto, ikke private kontoer.
2. Dere har databehandleravtale med leverandøren, og den gjelder den versjonen dere bruker.
3. Dere vet hvor dataene lagres, og hva som gjelder hvis de havner utenfor EØS.
4. Trening på bedriftens data er skrudd av, eller avtalen sier at det ikke skjer.
5. De ansatte vet hva som ikke skal limes inn: personopplysninger, sensitive opplysninger, forretningshemmeligheter og passord.
6. Skal AI behandle kundeopplysninger, har dere skrevet ned formålet og vurdert personvernkonsekvensene først.
7. Alt som sendes til kunder, leses gjennom av et menneske.
8. Bruker dere en chatbot mot kunder, står det tydelig at det er en maskin.
9. De ansatte har fått en enkel opplæring, og dere har notert hvem som har fått den.

Kort oppsummert

• Personvernreglene (GDPR) gjelder når du bruker AI, akkurat som ellers.
• Hold personopplysninger, sensitive opplysninger og forretningshemmeligheter unna verktøy som ikke er godkjent for det.
• Bruk bedriftsversjoner med databehandleravtale, og sjekk hvor dataene lagres.
• Skal AI jobbe med kundeopplysninger, vurder personvernkonsekvensene før dere starter.
• KI-forordningen er ikke innført i Norge ennå, og vanlig bruk i en liten bedrift møter få nye krav.
• Dette er ikke juridisk rådgivning. Er du i tvil, gå til Datatilsynet eller en advokat.

Lurer du på om det dere vil bruke AI til, er greit? Book en kaffeprat på 30 minutter. Jeg kommer gjerne innom dere i Vestfold eller Telemark, eller vi tar det på video. Da går vi gjennom hva dere vil gjøre, og hva som bør være på plass før dere starter. Les også hva en AI-partner gjør.