AI og personvern: hva norske bedrifter må ha på plass før de bruker ChatGPT på kundedata
Bedriften kan bruke AI-verktøy på kundedata og persondata, men bare med en bedriftsavtale som gir databehandleravtale, et avklart behandlingssted, og en garanti mot at dataene brukes til trening. Gratisversjoner og private kontoer gir ingen databehandleravtale, dere kan ikke velge hvor dataene behandles, og ingen av dem gir bedriften en avtale om at dataene ikke brukes til trening. Rundt fire av ti norske foretak som har vurdert å ta i bruk AI uten å gjøre det, oppgir bekymring for personvern (39 prosent) og uklare juridiske konsekvenser (39 prosent) som hindring (SSB, 2026). Bekymringen er riktig; løsningen er ikke å la være, men å sette opp seks ting.
Dette er ikke juridisk rådgivning. Ved tvil, spør Datatilsynets veiledere eller en advokat.
1. Databehandleravtale med AI-leverandøren
Når en ansatt limer kundens e-post inn i et AI-verktøy som bedriften har bedriftsavtale for, er leverandøren databehandler for bedriften. GDPR krever en skriftlig databehandleravtale. De store leverandørene tilbyr dette i bedriftsversjonene (Team, Business, Enterprise), ikke i forbrukerversjonene. Limes e-posten inn i en gratisversjon eller en privat konto, er leverandøren selv behandlingsansvarlig, og da er kundens opplysninger utlevert til en ny behandlingsansvarlig. Sjekk at avtalen faktisk er inngått, ikke bare tilgjengelig.
2. Avklart behandlingssted
Finn ut hvor dataene behandles. I EU/EØS er det enkelt. Ved behandling i USA må det finnes et overføringsgrunnlag, som leverandørens sertifisering under EU–USA-rammeverket eller standardavtaler. Noen leverandører lar dere velge EU som region. Vær klar over at «behandlet i EU» hos en amerikansk-eid leverandør fortsatt kan omfattes av amerikansk lovgivning; for de mest sensitive dataene bør dere velge europeisk-eide leverandører eller lokal AI.
3. Ingen trening på dataene deres
Forbrukerversjoner av de fleste AI-tjenester bruker samtaler til å trene modellene som standard, med mindre det slås av. Bedriftsversjoner gjør det normalt ikke. Få det skriftlig. Det er den enkleste setningen å kreve, og den mest oversette.
4. Tilgang etter behov
AI-verktøy som kobles til dokumentmapper og e-post, får tilgang til alt i dem. Gi hver bruk tilgang til de mappene oppgaven trenger, ikke hele SharePoint. Det er både personvern og sunn fornuft: en AI-assistent for fakturakontroll trenger ikke personalmappen.
5. Logg over hva som ble gjort
Dere skal kunne svare på «hvilke data ble sendt hvor, og hva kom tilbake». Bedriftsverktøy har logg; limeklipping i en nettleser har det ikke. Loggen er også det som gjør det mulig å oppdage feil tidlig.
6. En rutine ansatte faktisk kan følge
Én side med tre regler: hvilke verktøy som er godkjent, hva som aldri skal limes inn (fødselsnummer, helseopplysninger, passord), og hvem man spør. Ingen rutine er verre enn en enkel rutine.
Trenger vi en personvernkonsekvensvurdering?
Som hovedregel ja, når AI-verktøyet behandler personopplysninger. Det skriver Datatilsynet om generativ AI, fordi det er ny teknologi og risikoen ennå er lite forstått. For behandling som systematisk vurderer enkeltpersoner, eller behandler sensitive opplysninger i stort omfang, er svaret ja. Datatilsynet har en veileder; kartleggingen vår tar stilling til det for hver oppgave.
Neste steg
Hvis dere vil ha behandlingssted, databehandleravtale og logg bygget inn fra start, er det slik Nrth Flow bygges. Hvis dere vil ha en gjennomgang av det dere bruker i dag, book et møte.