Generativ KI i bedriften: hva Datatilsynet anbefaler
Oppdatert 9. november 2026
Datatilsynet har ingen egen veileder for bedrifter om generativ KI. Det nærmeste er sluttrapporten fra sandkasseprosjektet med NTNU om Microsoft 365 Copilot og to publikasjoner fra oktober 2026. Hovedrådene er å gjøre en konsekvensvurdering (DPIA) for hver behandling, velge oppgaver som egner seg, rydde i tilgangsstyringen før utrulling, få oversikt over hvilke KI-verktøy som er i bruk, slå av trening på opplysningene der det er mulig og holde taushetsbelagte opplysninger unna åpne chatboter.
Opprett et bedriftsområdeeller skriv til contact@standardcompute.com
Denne siden oppsummerer de offisielle sidene med lenker og datoer, lager en sjekkliste og viser hvilken teknisk del en KI-gateway tar seg av. Den oppsummerer offentlige råd og er ikke juridisk rådgivning.
Hva sier Datatilsynet i korte trekk?
- Har Datatilsynet en veileder om kunstig intelligens for bedrifter?
- Datatilsynets temaside om kunstig intelligens og personvern viser per 9. november 2026 ingen egen veileder for bedrifter om generativ KI. De mest konkrete rådene står i sluttrapporten fra sandkasseprosjektet med NTNU om Microsoft 365 Copilot (publisert 26.11.2024, endret 23.10.2025) og i to publikasjoner fra oktober 2026.
- Kan ansatte legge personopplysninger inn i ChatGPT eller Copilot?
- Datatilsynet skriver at samtalen med en chatbot ofte deles med selskapet bak tjenesten, at taushetsbelagte opplysninger ikke skal deles med åpne chatboter, og at man ikke bør laste opp dokumenter med sensitive opplysninger. Der det er mulig, bør funksjonen som lar modellen trene på opplysningene slås av.
- Trenger vi en DPIA for å ta i bruk Copilot eller generativ KI?
- I NTNU-rapporten skriver Datatilsynet at en DPIA må gjennomføres for hver behandling eller gruppe av lignende behandlinger. NTNUs generelle vurdering av teknologien var ikke nok.
Hva lærte Datatilsynet av sandkasseprosjektet om Copilot med NTNU?
NTNU: Copilot through the lens of data protection, Datatilsynet (engelsk nettversjon av sluttrapporten), publisert 26.11.2024, endret 23.10.2025
Sluttrapport fra regulatorisk sandkasse. Datatilsynet understreker at konklusjonene ikke er bindende vedtak.
- En DPIA må gjennomføres for hver behandling eller gruppe av lignende behandlinger. En generell vurdering av teknologien er ikke nok.
- Noen oppgaver egner seg dårlig for generativ KI. Personalbehandling (HR) trekkes fram som høy risiko.
- Dekker ikke det eksisterende behandlingsgrunnlaget den nye behandlingen, kan Copilot ikke brukes til den.
- Svak tilgangsstyring og dårlig kontroll med personopplysninger blir synlig og kraftig forsterket av Copilot.
- Copilot logger alle brukerinteraksjoner, og denne loggen kan falle inn under forbudet mot overvåking av ansattes bruk av elektronisk utstyr.
- Ansvaret for opplysningene som brukes i Copilot ligger hos virksomheten som bruker verktøyet, og leverandørforholdet må følges opp over tid.
- Virksomheten må sørge for tilstrekkelig kunnskap, bevissthet og opplæring hos brukerne.
- Rull ut i små, kontrollerte steg, med utvalgte roller og egnede behandlinger først. NTNU var ennå ikke klar for utrulling i hele organisasjonen.
Hva sier Datatilsynet om oversikt over KI-verktøy og agenter?
Gode rutiner hindrer at KI blir en usynlig trussel, Datatilsynet, 28.10.2026
- Få oversikt over hvilke KI-verktøy, assistenter og automatiseringer som er i bruk, også skygge-KI inne i apper som allerede er godkjent.
- Bestem hvilke systemer KI-agenter får tilgang til og hvilke handlinger de kan utføre.
- Avklar hvem som fører tilsyn med agentene og hvem som kan slå dem av.
- Bevissthet hos de ansatte er et viktig første skritt, støttet av tekniske kontroller og rutiner. Målet er trygg bruk.
Hva råder Datatilsynet den enkelte bruker av generativ KI til?
Personvern og generativ KI: Slik beskytter du deg selv og andre, Datatilsynet, 29.10.2026
Skrevet for enkeltbrukere, men rådene treffer ansatte som bruker chatboter i jobben.
- Når du bruker en chatbot, deles samtalen ofte med selskapet bak tjenesten.
- Slå av funksjonen som lar modellen trene på opplysningene dine, hvis det er mulig.
- Taushetsbelagte opplysninger skal ikke deles med åpne chatboter, og dokumenter med sensitive opplysninger bør ikke lastes opp.
- Les tjenestens vilkår og personvernerklæring. Forsiktighet er særlig viktig når du opptrer som databehandler.
Hva sier Datatilsynet om KI på arbeidsplassen?
KI og personvern på arbeidsplassen, Datatilsynet, 19.03.2025
- Virksomheter bør innføre klare retningslinjer for bruk av KI på arbeidsplassen, med Microsoft 365 Copilot som eksempel.
- Arbeidsgivere må være åpne om hvordan og hvorfor data samles inn.
- Behandler et KI-system personopplysninger, skal både KI-forordningen og personvernforordningen etterleves (temasiden Kunstig intelligens og personvern).
Hvilken sjekkliste kan bedriften lage ut fra dette?
En praktisk lesning av publikasjonene over, i den rekkefølgen IT, personvernombud og fagavdeling som regel tar dem.
Kartlegg KI-verktøyene som er i bruk
Også funksjoner inne i godkjente apper og verktøy ansatte har tatt i bruk på eget initiativ.
Velg oppgaver som egner seg
Start med utvalgte roller og behandlinger med lav risiko. HR og andre høyrisikoområder kommer senere, om noen gang.
Avklar behandlingsgrunnlaget
For hver behandling: dekker dagens grunnlag den nye bruken? Hvis ikke kan verktøyet ikke brukes til den.
Gjør en DPIA per behandling
Én vurdering per behandling eller gruppe av lignende behandlinger, ikke én generell for teknologien.
Rydd i tilgangsstyringen
KI-assistenter forsterker svak tilgangsstyring. Rydd før utrulling, og bestem hva agenter får tilgang til.
Slå av trening og avklar lagring
Velg tjenester der leverandøren ikke trener på opplysningene og ikke beholder samtalene, og les vilkårene.
Lag retningslinjer og gi opplæring
Hva verktøyene kan brukes til, hvilke opplysninger som aldri skal inn, og hvem som følger opp.
Vurder loggene opp mot ansattes personvern
Logger over brukerinteraksjoner kan berøre forbudet mot overvåking av ansatte. Logg det som trengs, og vit hva loggen inneholder.
Hvordan hjelper en KI-gateway med den praktiske delen?
Formål, behandlingsgrunnlag, DPIA og retningslinjer er fortsatt ditt arbeid. Standard Compute, en KI-gateway til ledende og åpne modeller, tar seg av den tekniske delen av flere punkter på listen: hvor prompter behandles, hvem som lagrer dem, hvem som kan bruke hvilken modell og hva som har skjedd.
Europa-regel
Sett en Europa-regel for bedriften, et team eller én nøkkel: hver forespørsel, også nye forsøk og reserveruter, betjenes bare av godkjente europeiske inferensendepunkter. Kan ingen europeisk endepunkt betjene den, avvises forespørselen før prompten sendes. EU-gatewayen vår terminerer TLS og kjører i Finland, og kontodata lagres i Frankfurt.
Ingen datalagring (ZDR)
Slå på null datalagring for bedriften, et team eller en nøkkel: hver forespørsel går bare til inferensendepunkter som forplikter seg til ikke å beholde noen kopi av dataene. Team og nøkler arver kravet og kan aldri slå det av.
Ingen trening
Standard Compute trener aldri på promptene eller svarene deres. Med en regionregel eller null datalagring slått på går hver forespørsel bare til leverandører som forplikter seg til ikke å trene på den.
SSO og Microsoft Entra
Koble til Microsoft Entra ID eller en annen SAML-identitetsleverandør, så logger de ansatte inn med jobbkontoen sin. Alle på det verifiserte domenet blir automatisk med i bedriften. De ansatte logger også inn i Claude Desktop og Claude Code med Microsoft-jobbkontoen gjennom EU-gatewayen vår, og tilgangen følger Entra-gruppene via SCIM.
Godkjente leverandører og modeller
Velg hvilke inferensleverandører som får behandle dataene, for bedriften, et team eller en nøkkel, og hvilke modeller hver nøkkel kan bruke. Et lavere nivå kan bare stramme inn reglene, nye leverandører legges aldri til uten at en administrator godkjenner det, og reserveruter går aldri rundt listen.
Revisjonslogg og forespørselslogg
Hver endring en administrator gjør, logges med verdien før og etter, og dere eksporterer modell, leverandøren som betjente forespørselen og regionregelen som gjaldt, for hver forespørsel, lagret i 12 måneder. Postene inneholder bare metadata, aldri prompter eller svar.
Databehandleravtale i dashbordet
Signer databehandleravtalen vår i dashbordet på noen minutter: ingen trening på dataene deres, ingen lagring av innholdet og varsel om sikkerhetsbrudd innen 72 timer. Vi publiserer alle underleverandører og varsler 14 dager før en ny legges til.
Budsjetter
Hver person og hver app får sin egen nøkkel med et fast månedsbudsjett som aldri overskrides, og dere setter utgiftsgrenser per nøkkel og for hele bedriften.
Spørsmål fra IT, personvern og sikkerhet
- Forbyr Datatilsynet ChatGPT eller Copilot på jobben?
- Nei. Publikasjonene som er oppsummert her, forbyr ingen verktøy. Datatilsynet skriver at målet er trygg bruk, og ber om DPIA per behandling, ryddig tilgangsstyring, retningslinjer, opplæring og forsiktighet med opplysninger i åpne chatboter.
- Gjør en KI-gateway bedriften i samsvar med GDPR?
- Nei. En gateway løser en teknisk del: hvor prompter behandles, lagring, godkjente leverandører og modeller, og logger. Formål, behandlingsgrunnlag, DPIA, informasjon til de registrerte og retningslinjer er fortsatt deres ansvar.
- Hvor behandler Standard Compute prompter?
- Med en Europa-regel går promptene inn og ut gjennom gatewayen vår i Finland og betjenes bare av godkjente europeiske inferensendepunkter, uten reserverute utenfor Europa. Kan ingen endepunkt betjene forespørselen, avvises den før noe sendes.
- Lagrer Standard Compute innholdet i forespørslene?
- Vi behandler promptene i minnet for å betjene hver forespørsel og skriver dem aldri til lagring eller logger. Forespørselspostene inneholder bare metadata: modell, leverandør, tokens, kostnad og status.
Offisielle kilder
Oppsummeringen bygger på disse sidene, lest 9. november 2026. Den erstatter verken sidene selv eller juridisk rådgivning.
- NTNU: Copilot through the lens of data protection (Datatilsynet (engelsk nettversjon av sluttrapporten), publisert 26.11.2024, endret 23.10.2025)
- Gode rutiner hindrer at KI blir en usynlig trussel (Datatilsynet, 28.10.2026)
- Personvern og generativ KI: Slik beskytter du deg selv og andre (Datatilsynet, 29.10.2026)
- KI og personvern på arbeidsplassen (Datatilsynet, 19.03.2025)
Les også
Opprett bedriftsområdet, slå på Europa-regelen og null datalagring, og signer databehandleravtalen i dashbordet.