AI-verktøy på jobben: kravene du faktisk må dekke

Nøkkelpunkter per 4. september 2026:

ChatGPT er utpekt under DSA etter at tjenesten oppga å nå minst 45 millioner brukere i EU, og reguleres nå som stor søkemotor (Digi.no).
AI-forordningen trådte i kraft 2. august 2024 og er en av mer enn 10 digitale reguleringer som EU nå håndhever parallelt (Deloitte).
Privat konto er ingen lovlig snarvei: uten databehandleravtale etter artikkel 28 mangler behandlingen grunnlag, og innholdet kan brukes til modelltrening (nordialaw.com, 2021).
En av fire norske virksomheter har tatt i bruk AI, men bare halvparten av dem har eller utvikler en strategi for bruken (NHO).
Generativ AI er ikke høyrisiko etter AI-forordningen, men må oppfylle gjennomsiktighetskrav, blant annet at AI-generert innhold merkes tydelig (EU-kommisjonen).

DSA-utpekingen av ChatGPT og hva den faktisk betyr

EU-kommisjonen har utpekt ChatGPT, Reddit og Roblox til å følge strengere regler enn resten av markedet (Digi.no). Bakgrunnen er ikke innholdet i modellene, men skalaen: tjenestene har selv oppgitt at de når minst 45 millioner brukere i EU. Det er digitaltjenesteloven som slår inn, ikke AI-forordningen. Skillet er viktig, fordi mange leser nyheten som en bekreftelse på at ChatGPT nå er ferdig regulert og dermed uproblematisk å ta i bruk på jobb. Den slutningen holder ikke.

Terskelen er brukermasse, ikke risiko

Utpekingen bygger på en enkel mekanisme: tjenester som passerer en gitt brukerterskel i EU får et strengere regime enn mindre aktører. ChatGPT ble utpekt som en stor søkemotor, mens Reddit og Roblox ble definert som store internettplattformer (Digi.no). Klassifiseringen sier altså noe om hvor mange som bruker tjenesten, ikke om hvor forsvarlig det er å lime inn en kundekontrakt i den.

De tre tjenestene må blant annet følge regler for å begrense spredning av ulovlig innhold og oppfylle strengere krav til vern av mindreårige. Det er reell regulering, men den handler om samfunnsrisiko i offentlig tilgjengelige tjenester. Den sier ingenting om hvordan din virksomhet behandler personopplysninger når en ansatt bruker den samme tjenesten i arbeidstiden.

Pliktene treffer leverandøren, ikke arbeidsgiveren

Kravene som følger av utpekingen retter seg mot den som driver tjenesten. Din virksomhet får ingen nye plikter fordi OpenAI er blitt utpekt. Det er en viktig avklaring for ledere som har fått spørsmålet fra styret eller revisor: DSA-utpekingen utløser ingen tiltaksliste hos kunden. Den flytter heller ikke ansvaret bort fra arbeidsgiveren for det som skjer i chatvinduet.

Hvorfor utpekingen likevel angår deg

Nyheten er nyttig av to grunner. Den dokumenterer at generative tjenester nå brukes i et omfang som utløser tilsyn på europeisk nivå, og den viser at EU regulerer AI gjennom flere spor samtidig. AI-forordningen er bare en av mer enn 10 digitale reguleringer i EU (Deloitte). Virksomheter som leter etter en lov å forholde seg til, leter etter noe som ikke finnes.

AI-forordningen og DSA regulerer ulike ting

Tre regelverk møtes i det øyeblikket en ansatt åpner en AI-chat på jobbmaskinen. Digitaltjenesteloven regulerer plattformen. AI-forordningen regulerer systemet og risikoen ved bruken av det. Personvernforordningen regulerer det som faktisk limes inn. Bare det siste treffer arbeidsgiveren umiddelbart og i full styrke, og det er også det regelverket flest virksomheter overser.

Regelverk	Hva det regulerer	Hvem plikten treffer først	Hva dere må gjøre
Digitaltjenesteloven (DSA)	Innhold, spredning av ulovlig materiale, vern av mindreårige	Leverandøren av plattformen eller søkemotoren	Ingen direkte plikt. Les utpekingen som et signal om omfang
AI-forordningen	AI-systemer og modeller, klassifisert etter risiko	Leverandøren, men også virksomheten som tar systemet i bruk	Kartlegg hvilke systemer dere bruker, og i hvilken rolle
Personvernforordningen	All behandling av personopplysninger	Behandlingsansvarlig, altså arbeidsgiveren	Databehandleravtale, overføringsgrunnlag, eventuelt konsekvensvurdering

DSA handler om innhold og plattformansvar

Digitaltjenesteloven er skrevet for plattformøkonomien: hvem har ansvar for innhold som andre legger ut, hvordan håndteres varsler om ulovlig materiale, og hvordan beskyttes barn. Når ChatGPT trekkes inn under dette regimet, er det fordi tjenesten nå har en distribusjonsrolle på linje med de store plattformene (Digi.no). Det er relevant for samfunnet, men det er ikke der arbeidsgiverens risiko ligger.

AI-forordningen handler om systemet og risikoen

AI-forordningen er verdens første omfattende AI-lov og bygger på en risikobasert tilnærming der kravene skjerpes med hvor mye skade systemet kan gjøre (Deloitte). Forordningen skiller også mellom systemer med ett bestemt formål og generelle modeller, og Kommisjonen har eksklusiv myndighet til å overvåke og håndheve reglene for de generelle modellene. For en norsk SMB betyr det at leverandørsiden av regelverket i praksis håndteres i Brussel, mens brukersiden håndteres hos dere.

Personvernforordningen ligger under begge

Det juridiske utgangspunktet er enkelt og undervurdert: når en ansatt limer et dokument inn i en AI-chat, skjer det en behandling av personopplysninger (nordialaw.com, 2021). Det gjelder uansett om verktøyet er utpekt under DSA, uansett hvilken risikoklasse det havner i etter AI-forordningen, og uansett om innlimingen tok fem sekunder. Personvernreglene gjelder allerede i dag, mens AI-forordningen fortsatt fases inn. Det er derfor personvern, ikke AI-lov, er der oppryddingen bør starte.

Les også: RPA og robotisert prosessautomatisering: Slik frigjør du tid og penger i norske bedrifter. Storebrand reduserte saksbehandlingstiden med 50 %, SpareBank 1 Nord-Norge økte hastigheten med 80 % og ...

Risikoklassifisering og hvor verktøyene deres havner

AI-forordningen sorterer systemer etter risiko og stiller ulike krav til hvert nivå (EU-kommisjonen). Det er en fornuftig struktur, men den blir misbrukt i praksis: virksomheter slår opp at ChatGPT ikke er høyrisiko, og avslutter vurderingen der. Klassifiseringen følger bruksområdet, ikke logoen på verktøyet.

Nivåene og hva de krever

Risikonivå	Typiske eksempler	Hovedkrav
Uakseptabel risiko	Bruk som anses uforenlig med grunnleggende rettigheter	Forbudt
Høy risiko	AI i rekruttering, kredittvurdering, kritisk infrastruktur	Vurdering før systemet settes på markedet og gjennom hele livssyklusen
Gjennomsiktighetskrav	Generative chatbotter som ChatGPT, Claude, Gemini og Copilot	Brukeren skal vite at innholdet er AI-generert, og innholdet må merkes tydelig
Minimal risiko	Filtrering, sortering, enkel automatisering	Ingen særskilte krav etter forordningen

Merkeplikten er den delen av forordningen som treffer flest norske virksomheter raskest. Kravet om at AI-generert innhold må merkes tydelig gjelder uavhengig av hvor smalt bruksområdet er (EU-kommisjonen). Har dere kundekommunikasjon, produktbeskrivelser eller saksbehandlingstekst som helt eller delvis er maskinskrevet, er dette et spørsmål dere må ha et svar på.

Generativ AI er ikke høyrisiko, men bruken kan bli det

Generativ AI som ChatGPT er ikke klassifisert som høyrisiko, men må overholde gjennomsiktighetskrav (EU-kommisjonen). Det er den setningen som gjør at mange puster lettet ut. Problemet er hva som skjer når det samme verktøyet settes inn i en prosess: en HR-avdeling som lar en språkmodell rangere søknader, eller en økonomiavdeling som bruker den til å vurdere betalingsevne, har flyttet seg inn i et område der høyrisikoreglene kan gjelde.

Høyrisikosystemer må vurderes både før de settes på markedet og gjennom hele livssyklusen. Det er ikke et engangsdokument, men en løpende plikt. Vurder derfor ikke «bruker vi ChatGPT», men «hvilke beslutninger påvirker ChatGPT hos oss». Det er den vurderingen som avgjør hvilket regime dere havner i, og den kan ingen leverandør gjøre for dere.

Fire lag i et rammeverk for lovlig AI-bruk

Et brukbart rammeverk for AI-styring i en SMB trenger ikke være tungt, men det må dekke fire lag. Hvert lag har sitt eget feilmodus, og de fleste virksomheter har hull i lag 1 uten å vite det. Rekkefølgen er ikke tilfeldig: uten oversikt er alt annet gjetting.

Lag 1: oversikt over verktøy og datastrømmer

Dere må vite hvilke AI-verktøy som brukes, av hvem, med hvilken kontotype, og hva slags data som går inn. Alura mener at regelverket sjelden er bremsen i norske virksomheter. Mangelen på oversikt over egen AI-bruk er det. Dette laget koster nesten ingenting å etablere og er det eneste som gjør de tre neste lagene meningsfulle. Uten det bygger dere kontroller for et bruksmønster dere ikke kjenner.

Lag 2: avtaler, datalokasjon og overføringsgrunnlag

Her ligger de harde juridiske kravene. Databehandleravtale etter artikkel 28 i personvernforordningen er obligatorisk når en leverandør behandler personopplysninger på deres vegne (nordialaw.com, 2021). I tillegg må dere vite hvor dataene lagres og hvilket grunnlag som brukes hvis de forlater EØS. Dette laget er dokumentasjonsarbeid, ikke teknologi, og det kan ofte gjøres på noen få dager for et lite verktøyoppsett.

Lag 3: teknisk kontroll og tilgangsstyring

En policy uten teknisk håndheving er en anbefaling. Dette laget handler om single sign-on, blokkering av private kontoer på jobbenheter, kontroll på nettleserutvidelser og logging av hvilke tjenester som faktisk brukes. Det er også her dere avgjør om sensitive data i det hele tatt skal nå et generelt chatgrensesnitt, eller om de bør håndteres i en arkitektur der modellen henter fra egne kilder uten at dokumentene forlater kontrollert lagring, som i RAG-oppsett.

Lag 4: kompetanse og etterlevelse over tid

De viktigste barrierene for AI-bruk i norske virksomheter er kompetanse og innsikt (NHO). Det gjelder også etterlevelse. En ansatt som forstår hvorfor kundedata ikke skal inn i en privat konto, trenger ingen sperre. En som ikke forstår det, finner veien rundt sperren. Dette laget er treningen, eierskapet og den halvårlige gjennomgangen som holder de tre andre lagene oppdatert etter hvert som verktøyene endrer seg.

Mandag morgen: kartlegg AI-verktøyene som allerede er i bruk

Generativ AI har vært på norske arbeidsplasser for alvor i om lag to år (nordialaw.com, 2021). I de fleste virksomheter kom bruken nedenfra, uten anskaffelsesprosess og uten at ledelsen ble spurt. Kartleggingen er derfor arkeologi mer enn planlegging, og den bør gjøres før dere skriver en eneste linje policy.

Start med betalingsdata og nettverkslogger

Gå gjennom kortutlegg og abonnementer de siste månedene og let etter AI-leverandører. Kjør deretter en enkel uttrekk fra nettverks- eller proxylogger på de mest brukte AI-domenene. Dette gir et faktabasert utgangspunkt uten at noen må innrømme noe. Legg til en gjennomgang av nettleserutvidelser og av integrasjoner som er koblet på e-post, kalender og fillagring, siden det er der data flyter ut uten at noen limer inn noe manuelt.

Spør ansatte uten å true med sanksjoner

Den andre halvparten av kartleggingen er en anonym spørrerunde. Formuler den som verktøykartlegging, ikke som avvikssøk. Erfaringen fra store utrullinger er at bruken forsvinner fra loggene og inn på private mobiler så snart ansatte oppfatter kartleggingen som en jakt, noe Samsungs ChatGPT-utrulling illustrerer godt. Dere trenger ærlige svar mer enn dere trenger skyldige.

Klassifiser etter data, ikke etter verktøy

Når listen er der, sorter den etter hva slags informasjon som faktisk går inn. Et verktøy som brukes til å pusse markedstekst er et helt annet risikobilde enn det samme verktøyet brukt på personalsaker eller kildekode. Prioriter tiltak der data og kontotype gir høyest eksponering, ikke der verktøyet har mest omtale.

Verktøy	Kontotype	Data som limes inn	Avtale på plass	Tiltak
ChatGPT	Privat gratiskonto	Kundedokumenter	Nei	Steng kontoen, flytt bruken til bedriftsavtale
Copilot	Bedriftslisens	Interne referater	Ja	Dokumenter datalokasjon og lagringstid
Claude	Privat abonnement	Kildekode	Nei	Steng eller erstatt med bedriftsversjon
Gemini	Bedriftskonto	Markedstekst uten persondata	Ja	Lav prioritet, men merk AI-generert innhold
Ukjent nettleserutvidelse	Ukjent	Ukjent	Nei	Blokker inntil den er vurdert

Databehandleravtale, datalokasjon og overføringsgrunnlag

Dette er den delen av jobben som faktisk er juss, og den delen der virksomheter oftest tror de er ferdige før de er det. Tre spørsmål må ha dokumenterte svar for hvert verktøy dere godkjenner: finnes det en databehandleravtale, hvor lagres dataene, og hva skjer hvis de forlater EØS.

Artikkel 28 og avtalen som mangler

En ansatt som bruker sin private ChatGPT-konto til å bearbeide et kundedokument, utfører en behandling uten databehandleravtale og potensielt med modelltrening på innholdet (nordialaw.com, 2021). Det er ikke en gråsone, det er et manglende rettslig grunnlag. Og ansvaret ligger hos arbeidsgiveren som behandlingsansvarlig, ikke hos den ansatte som ville bli fortere ferdig med en anbudstekst.

Hvor dataene faktisk ligger

Datalokasjon er sjelden det leverandørens forside antyder. For Claude via claude.ai lagres data for kommersielle produkter i USA, og en samtale kan lagres i inntil fem år hvis brukeren gir tilbakemelding på svaret (nordialaw.com, 2021). Slike detaljer finnes i vilkårene, ikke i salgspresentasjonen. Skriv dem ned per verktøy, med dato, slik at dere kan vise hva dere visste da beslutningen ble tatt.

Overføringsgrunnlag og et rammeverk under press

Når data lagres utenfor EØS, trenger dere et overføringsgrunnlag. I dag hviler mye av markedet på EU–US Data Privacy Framework, som er omstridt og hvis gyldighet er brakt inn for EU-domstolen (nordialaw.com, 2021). Det betyr ikke at dere skal la være å bruke amerikanske leverandører. Det betyr at dere bør kjenne hvilke prosesser som ville måtte flyttes hvis grunnlaget faller, og at det svaret bør finnes før dere trenger det.

Når artikkel 35 slår inn

Artikkel 35 krever en vurdering av personvernkonsekvenser når behandlingen sannsynligvis medfører høy risiko (nordialaw.com, 2021). Bruk av generativ AI på alminnelig markedstekst utløser den normalt ikke. Systematisk behandling av helseopplysninger, personalsaker eller profilering av kunder gjør det ofte. Merk at denne vurderingen ligner strukturelt på risikovurderingen AI-forordningen krever for høyrisikosystemer, så arbeidet kan gjenbrukes på tvers av begge regelverk.

Bedriftsversjon eller privat konto i praksis

Skillet mellom privat konto og bedriftsversjon er den enkeltbeslutningen som flytter mest risiko for minst penger. For bedriftsversjonene av de fire store leverandørene brukes innholdet som utgangspunkt ikke til modelltrening (nordialaw.com, 2021). Det er en reell forskjell, men den er verdiløs hvis den gamle veien fortsatt står åpen.

Hva bedriftsversjonen faktisk endrer

Bedriftsversjonen gir dere avtaleforholdet, administrasjonen og dokumentasjonen. Den gir også en kontaktflate å stille krav gjennom når vilkårene endres. Det den ikke gir, er kontroll over hva ansatte gjør utenfor den.

Forhold	Privat konto	Bedriftsversjon
Databehandleravtale	Mangler	På plass etter artikkel 28
Modelltrening på innholdet	Kan skje	Skjer som utgangspunkt ikke
Oversikt for arbeidsgiver	Ingen	Administrasjon, brukerstyring og logg
Sletting og lagringstid	Styres av den ansatte	Styres av virksomheten
Ansvar ved avvik	Ligger hos arbeidsgiver, udokumentert	Ligger hos arbeidsgiver, men dokumenterbart

Den hyppigste enkeltfeilen

Den hyppigste enkeltfeilen er at virksomheten anskaffer en bedriftsversjon, men ikke hindrer at ansatte fortsetter å bruke private kontoer (nordialaw.com, 2021). Resultatet er en virksomhet som betaler for etterlevelse og samtidig har den samme eksponeringen som før. Alura mener en bedriftsversjon som ikke stenger døren for private kontoer gir falsk trygghet. Lisensen er kvitteringen, ikke kontrollen.

Slik stenger dere døren i praksis

Koble bedriftsversjonen til påloggingsløsningen deres, slik at jobb-e-posten bare fungerer i det godkjente oppsettet. Blokker de vanligste AI-domenene for innlogging med private kontoer på virksomhetens enheter, og gjør bedriftsversjonen så tilgjengelig at ingen har grunn til å gå utenom. Følg opp med logg og en periodisk gjennomgang. Kombinasjonen av god tilgang og lukket sidedør virker langt bedre enn regler alene, noe som også kommer fram i vår ChatGPT-guide for bedrifter.

Les også: Det Samsungs ChatGPT-utrulling lærer norske bedrifter. Samsung Electronics ruller ut ChatGPT Enterprise og Codex til ansatte i Korea og DX-divisjonen globalt.

Markedsbildet: en av fire norske virksomheter bruker AI

Omtrent en av fire norske virksomheter har tatt i bruk AI, ifølge en undersøkelse med rundt 5 300 respondenter og om lag 20 dybdeintervjuer (NHO). Rapporten er utarbeidet av Samfunnsøkonomisk analyse på oppdrag fra NHO og flere landsforeninger. Tallet forteller to ting samtidig: adopsjonen er reell, og flertallet står fortsatt utenfor.

Halvparten har strategi, resten improviserer

Blant virksomhetene som allerede bruker AI, har eller utvikler 50 prosent en strategi for bruken (NHO). Snu på det: under halvparten av dem som allerede har verktøyene i drift, har bestemt seg for hva de skal brukes til. Det er i det gapet avvikene oppstår, og det er også der en kartlegging gir raskest effekt. Strategi er i denne sammenhengen ikke et dokument på tolv sider, men en avklaring av hvilke data som får gå hvor.

Kompetanse er barrieren, ikke teknologien

De viktigste barrierene for AI-bruk er kompetanse og innsikt (NHO). Alura mener kompetanse og innsikt er den reelle barrieren for AI-bruk, ikke teknologien. Det gjenspeiles også på leverandørsiden: OpenAI Academy har gitt AI-opplæring til over 2 millioner personer, og selskapet har forpliktet seg til å sertifisere 10 millioner amerikanere innen 2030 (OpenAI, 2025). Opplæringsmarkedet vokser fordi verktøyene er lette å skaffe og vanskelige å bruke godt.

Hva det koster å vente mens kravene skjerpes

Kostnaden ved å utsette har to komponenter: den dere betaler når noe går galt, og den dere aldri ser fordi gevinsten uteble. Den første er konkret og treffer en virksomhet. Den andre er større og treffer alle.

Regningen for opprydding i etterkant

Å rydde etter et avvik er dyrere enn å rydde før. Da må dere rekonstruere hvilke data som ble sendt hvor, uten logger, og ofte mens en kunde eller et tilsyn venter på svar. Kostnadsbildet er mest av alt tid: juridisk bistand, intern granskning, kundekommunikasjon og en hastebeslutning om verktøybytte midt i driften. Alura mener AI-styring bør bygges mens kravene fases inn, ikke i etterkant av det første avviket. Kartleggingen koster dager. Rekonstruksjonen koster uker.

Kostnadstype	Hvis dere rydder nå	Hvis dere rydder etter et avvik
Kartlegging	Planlagt, intern, noen dager	Rekonstruksjon uten logger, under tidspress
Juridisk arbeid	Avtalegjennomgang per leverandør	Hastebistand, varsling, kundedialog
Verktøybytte	Kontrollert, med opplæring	Akutt stans, tapt produktivitet
Omdømme	Ingen eksponering	Kundespørsmål dere ikke kan besvare presist

Samfunnsregnskapet for utsettelse

På makronivå er tallene tydelige. Økt bruk av generativ AI kan løfte den årlige produktivitetsveksten fra 0,6 til 1,3 prosent i perioden 2023 til 2040 (NHO). Utsettes full utnyttelse av AI i fem år, reduseres verdiskapingsgevinsten med anslagsvis 450 milliarder kroner. Poenget for en enkeltvirksomhet er ikke å eie en andel av det tallet, men å registrere at forsinkelse har en pris selv når ingenting går galt.

Det gir en nyttig ramme for prioritering: styring skal gjøre bruk mulig, ikke erstatte den. En virksomhet som bruker et halvår på å skrive retningslinjer uten å ta i bruk noe, har valgt den dyre varianten av forsiktighet.

Tidslinjen fram mot sommeren 2026

AI-forordningen trådte i kraft 2. august 2024 (Deloitte). Den ble ikke gjeldende over natten. Forordningen er fullt anvendelig 24 måneder etter ikrafttredelsen, mens forpliktelsene for høyrisikosystemer først slår inn etter 36 måneder (EU-kommisjonen). For norske virksomheter innføres regelverket trinnvis fram mot sommeren 2026 (nordialaw.com, 2021).

Hva som gjelder når

Tidspunkt	Hva som skjer	Hva dere bør ha gjort
2. august 2024	AI-forordningen trer i kraft	Kjenne hvilke AI-systemer som brukes hos dere
24 måneder etter ikrafttredelse	Forordningen er fullt anvendelig	Register over AI-bruk, databehandleravtaler på plass
Sommeren 2026	Trinnvis innføring fortsetter for norske virksomheter	Avklart rolle: bruker eller leverandør, per system
36 måneder etter ikrafttredelse	Forpliktelser for høyrisikosystemer gjelder	Vurdert om noen bruksområder er høyrisiko

Personvernkravene venter ikke på denne tidslinjen. Databehandleravtale, datalokasjon og overføringsgrunnlag er krav som gjelder i dag, uavhengig av hvor langt AI-forordningen er kommet i innfasingen. Det er grunnen til at en virksomhet som starter med personvernsporet, uansett gjør nyttig arbeid.

Å planlegge mot en tidslinje i bevegelse

Detaljene i innfasingen justeres underveis, og veiledning kommer løpende. Bygg derfor styringen slik at den tåler endring: et register over verktøy og bruksområder, en fast eier, og en gjennomgang med jevne mellomrom. Da er tilpasningen en oppdatering av registeret, ikke et nytt prosjekt. Virksomheter som venter på den endelige versjonen av regelverket, kommer til å vente lenger enn de tror, siden AI-forordningen er en av mer enn 10 digitale reguleringer som utvikler seg parallelt (Deloitte).

Vanlige feil når virksomheter ruller ut AI-verktøy

Feilene går igjen på tvers av bransje og størrelse. De handler sjelden om manglende vilje og nesten alltid om rekkefølge: kontroller innføres før noen har sett på hva som faktisk skjer. To feil hører også hjemme her uten egen overskrift: å glemme utdatasiden, altså at AI-generert innhold skal merkes, og å la AI-styring være alles ansvar og dermed ingens.

Policy før kartlegging

Det vanligste startpunktet er et dokument. Noen laster ned en mal, tilpasser den, og sender den ut på intranettet. Uten kartlegging beskriver policyen et bruksmønster som ikke finnes, og den blir ignorert av dem som allerede har funnet sine egne verktøy. Snu rekkefølgen: kartlegg først, skriv deretter regler for det dere faktisk fant. En kort policy som treffer virkeligheten slår en grundig policy som ikke gjør det.

Forbud som flytter bruken under radaren

Et generelt forbud fjerner ikke bruken, det fjerner innsynet. Ansatte som får en oppgave løst raskere med en språkmodell, bruker sin egen telefon i stedet. Da har virksomheten byttet en dokumenterbar risiko mot en usynlig, og mistet muligheten til å gi opplæring. Gitt at kompetanse er den viktigste barrieren (NHO), er et forbud også en beslutning om å ikke bygge den kompetansen.

Leverandørens markedsføring brukt som dokumentasjon

«Vi trener ikke på dine data» er en nyttig setning, men den er ikke en avtale. Det som teller er hva vilkårene og databehandleravtalen sier, og hvilken versjon av tjenesten den gjelder for. Skillet mellom gratisversjon, personlig abonnement og bedriftsversjon er avgjørende her (nordialaw.com, 2021). Ta vare på dokumentasjonen med dato, og gå gjennom den når leverandøren endrer vilkår. En oversikt over hva de ulike variantene faktisk gir, finnes i vår gjennomgang av ChatGPT for norske bedrifter.

Spørsmål og svar om AI-regelverk på arbeidsplassen

Spørsmålene under er de som oftest stilles i ledergrupper som er i ferd med å formalisere AI-bruken. Svarene er korte med vilje, og de peker tilbake på de samme tre kravene: avtale, lokasjon og oversikt.

Må vi ha databehandleravtale selv om vi bare bruker AI til å skrive tekst?

Ja, hvis teksten inneholder personopplysninger. Når en ansatt limer et dokument inn i en AI-chat, skjer det en behandling av personopplysninger, og da kreves databehandleravtale etter artikkel 28 (nordialaw.com, 2021). Ren idemyldring uten personopplysninger stiller seg annerledes, men i praksis er det vanskelig å garantere at grensen holdes uten at verktøyet uansett er på plass i et forsvarlig oppsett.

Er det lov å forby ChatGPT på jobb?

Ja. Arbeidsgiver bestemmer hvilke verktøy som brukes i arbeidet, og kan blokkere tjenester på virksomhetens utstyr. Spørsmålet er om det er klokt. Et forbud uten et godkjent alternativ flytter typisk bruken til private enheter, der dere verken har logg, avtale eller mulighet til å gi råd. Et smalt forbud for bestemte datatyper, kombinert med en godkjent bedriftsversjon for resten, virker vanligvis bedre.

Blir vi omfattet av AI-forordningen når vi bare bruker verktøyene?

Delvis. Tyngden av kravene til de generelle modellene ligger hos leverandøren, og Kommisjonen har eksklusiv myndighet til å overvåke og håndheve dem (Deloitte). Som bruker har dere likevel plikter, særlig gjennomsiktighetskrav og merking av AI-generert innhold, og fulle høyrisikoplikter dersom dere setter AI inn i prosesser som rekruttering eller kredittvurdering.

Hva betyr DSA-utpekingen av ChatGPT for oss som kunde?

Praktisk sett lite. Kravene som følger av utpekingen retter seg mot tjenesten, som må begrense spredning av ulovlig innhold og verne mindreårige (Digi.no). Dere får ingen nye plikter som arbeidsgiver. Bruk den heller som argument internt for at generativ AI nå er infrastruktur, og bør styres deretter.

Hvor lenge lagres dataene vi legger inn?

Det varierer per leverandør, per produktvariant og per handling brukeren gjør. For Claude via claude.ai lagres data for kommersielle produkter i USA, og en samtale kan bli liggende i inntil fem år hvis brukeren gir tilbakemelding (nordialaw.com, 2021). Konklusjonen er ikke å velge bort et bestemt verktøy, men å skrive ned det faktiske svaret for hvert verktøy dere godkjenner.

Oppsummering og de neste stegene

Regelverket rundt AI på arbeidsplassen er ikke ett regelverk. DSA regulerer plattformene, AI-forordningen regulerer systemene etter risiko, og personvernforordningen regulerer det ansatte faktisk limer inn. Bare det siste gjelder fullt ut i dag, og det er også det som utløser flest avvik. Å begynne der er både det raskeste og det billigste.

Den praktiske rekkefølgen er kort. Kartlegg hvilke AI-verktøy som brukes, av hvem og med hvilke data. Sikre databehandleravtale og dokumenter datalokasjon for de verktøyene dere beholder. Steng døren for private kontoer på virksomhetens enheter, og gjør det godkjente alternativet så godt at ingen savner den gamle veien. Sett en eier og en fast gjennomgang, slik at registeret følger med når leverandørene endrer vilkår.

Til slutt et perspektiv på hvorfor dette haster litt mer enn det ser ut. Avansert digitalisering og AI kan gi opp mot 5 600 milliarder kroner i ekstra verdiskaping fram mot 2040, mens de viktigste barrierene er kompetanse og innsikt (NHO). Etterlevelse og kompetanse er samme arbeid sett fra to sider: en virksomhet som vet hva den bruker AI til, kan både dokumentere det og bli bedre til det. En som ikke vet, får verken lov eller nytte.

I Alura kombinerer vi teknisk AI-kompetanse med praktisk forståelse for GDPR, EU AI Act og Datatilsynets forventninger. Vi hjelper norske virksomheter å bygge AI som tåler en revisjon, uten å bremse innovasjonen.

Bestill en compliance-vurdering: vi kartlegger dine AI-systemer mot gjeldende og kommende krav, og leverer en handlingsplan som faktisk er gjennomførbar. Uforpliktende.

Kilder

Digi.no. ChatGPT, Reddit og Roblox ilegges ekstra strenge regler av EU
Deloitte. European Union Artificial Intelligence Act | Deloitte
nordialaw.com (2021). AI-verktøy på jobben: hva kreves for å bruke dem lovlig? - Nordia Law
NHO. Kunstig intelligens i Norge - nytte, muligheter og barrierer
EU-kommisjonen. EU AI Act: first regulation on artificial intelligence | Topics
OpenAI (2025). Utvide økonomiske muligheter med AI | OpenAI