PPROMPTGUIDE Bygg en prompt
Personvern

Persondata i KI-verktøy

Dette er regelverket som utløser flest reelle hendelser i praksis, og det har gjeldt hele tiden.

Dette er informasjon, ikke juridisk rådgivning. Reglene under er gjengitt med kilde og dato slik de forelå 25. august 2026. Regelverket er i bevegelse, og en konkret vurdering for din virksomhet bør gjøres av noen med juridisk ansvar.

Personvernreglene venter ikke på KI-forordningen

Mye av oppmerksomheten går til KI-forordningen og datoene der. For de fleste virksomheter er den mer nærliggende risikoen personvern. Personopplysningsloven og personvernforordningen gjelder allerede, og de gjelder i det øyeblikket et kundenavn, en personalsak eller en pasientopplysning limes inn i et KI-verktøy.

Reduserer risiko

  • Bedriftsavtale med databehandleravtale
  • Avklart lagringstid og lagringssted
  • Anonymisering eller pseudonymisering før innliming
  • Kjøreregler folk kjenner til
  • Oversikt over hvilke verktøy som er i bruk

Øker risiko

  • Gratiskontoer der input kan brukes til trening
  • Private kontoer til jobboppgaver
  • Sensitive kategorier limt rett inn
  • Integrasjoner koblet på uten oversikt
  • Antakelser om at «ingen trening» betyr «ingen lagring»

Trening og lagring er to spørsmål

At en leverandør sier at kundedata ikke brukes til modelltrening, sier ingenting om hvor lenge data lagres, hvor de lagres eller hvem som kan se dem ved en supportsak. Retensjon varierer mellom forbrukerprodukt, bedriftsprodukt, API, enkeltfunksjoner, region og tredjepartsverktøy koblet på i tillegg. Kontroller den konkrete tjenesten og avtalen, ikke leverandørens forside.

Det personvernrådet faktisk har sagt om KI-modeller

Det europeiske personvernrådet vedtok i desember 2024 en uttalelse som er den mest sentrale veiledningen på området. Tre punkter derfra er verdt å kjenne til.

  1. En modell er ikke automatisk anonym

    At personopplysninger er brukt i trening betyr ikke at modellen kan behandles som anonym. Det må vurderes konkret, blant annet om opplysninger kan hentes ut gjennom spørringer.

  2. Berettiget interesse kan være hjemmel

    Utvikling og bruk av KI kan bygge på berettiget interesse, men bare etter en reell test av nødvendighet og en avveining mot de registrertes rettigheter.

  3. Ulovlig grunnlag kan smitte

    Er modellen bygget på ulovlig behandlede personopplysninger, kan det påvirke lovligheten av den senere bruken, med mindre modellen er reelt anonymisert.

Under arbeid. Personvernrådet har lagt frem utkast til nye retningslinjer om anonymisering, med høringsfrist høsten 2026. Dette er ikke endelig, og bør ikke legges til grunn som gjeldende rett ennå.

Et hull verdt å vite om

Datatilsynets formelle anbefalingsdokument om personvern i utvikling og bruk av kunstig intelligens er fra 2018. Det gir fortsatt fornuftige råd om innebygd personvern, dataminimering og leverandørvurdering, men det er skrevet før generativ KI og har ingenting spesifikt om chatboter. Tilsynet har KI som prioritert område og driver en regulatorisk sandkasse, men et oppdatert veiledningsdokument for generativ KI foreligger ikke.

I praksis betyr det at norske virksomheter må bygge på europeisk veiledning og alminnelige personvernprinsipper her.

Kilder