Krever KI-forordningen at bedriften har KI-retningslinjer?

KI-forordningen krever ikke et dokument som heter KI-retningslinjer. Artikkel 4 pålegger bedrifter som bruker KI-systemer å iverksette tiltak for å styrke KI-kompetansen til de ansatte, og gjelder fra 2. februar 2025. Artikkel 50 legger til opplysningsplikter for deepfakes og visse publiserte tekster fra 2. august 2026. Skriftlige retningslinjer og opplæring er den vanlige måten å vise at tiltakene er gjort.

Hva bør KI-retningslinjer inneholde?

Virkeområde, godkjente verktøy og hvordan tilgang gis, hvilke dataklasser som kan gå inn i prompter, godkjente modeller og leverandører, regler for kodeagenter, lagring og logging, menneskelig kontroll, opplysning om KI-generert innhold, opplæring i KI-kompetanse, melding av hendelser, budsjettgodkjenning og en fast gjennomgang. Malen på denne siden dekker alle tolv.

Kan ansatte legge kundedata inn i ChatGPT eller Claude?

Bare i et verktøy som er godkjent for den dataklassen, med databehandleravtale og leverandørvilkår som utelukker trening på dataene og lagring av dem. Særlige kategorier personopplysninger og hemmeligheter holdes utenfor prompter. Punkt 3 i malen setter dette opp som en tabell dere kan tilpasse.

Hvem må merke KI-generert innhold etter KI-forordningen?

Leverandører av KI-systemer merker syntetisk lyd, bilde, video og tekst i et maskinlesbart format (artikkel 50 nr. 2). Bedrifter som bruker KI, opplyser om deepfakes de publiserer, og om KI-generert tekst som publiseres for å informere offentligheten om saker av allmenn interesse, med mindre en person har gjennomgått teksten og bedriften har det redaksjonelle ansvaret (artikkel 50 nr. 4). Begge deler gjelder fra 2. august 2026.

Hvordan håndhever vi KI-retningslinjer teknisk?

Send KI-trafikken gjennom en gateway som håndhever reglene på hver forespørsel. Med Standard Compute logger de ansatte inn via Microsoft Entra ID eller SAML, bare leverandører og modeller på listen deres betjener forespørsler, en Europa-regel og null datalagring kan settes for bedriften, et team eller en nøkkel, hver person og applikasjon har et fast månedsbudsjett, og forespørsler logges i 12 måneder.

Ja. Kopier den, rediger den og publiser den internt uten kildehenvisning. Last den ned som Markdown eller ren tekst fra denne siden.

KI-retningslinjer for bedrifter: gratis mal

Oppdatert 9. november 2026. Fri til å kopiere, redigere og bruke. Rettskildene lenker til EUR-Lex.

KI-retningslinjer forteller de ansatte hvilke KI-verktøy de kan bruke, hvilke data som kan gå inn i en prompt, hvem som kontrollerer resultatet og hvordan betalt bruk godkjennes. Malen under dekker de tolv punktene en bedrift trenger når den tar i bruk ChatGPT, Claude eller kodeagenter, inkludert KI-kompetanse etter artikkel 4 i EUs KI-forordning (AI Act), som gjelder fra 2. februar 2025, og plikten til å opplyse om deepfakes etter artikkel 50, som gjelder fra 2. august 2026.

Bytt ut teksten i [klammer], stryk det som ikke passer, og publiser retningslinjene på intranettet. Malen er leverandørnøytral og fungerer med de KI-leverandørene dere godkjenner.

Last ned malen (.md)Ren tekst (.txt)

Begge filene inneholder hele malen, klar til å lime inn i Word, Google Docs, Confluence eller Notion.

Hva malen dekker

1. Formål og virkeområde
2. Godkjente verktøy og tilgang
3. Data i prompter
4. Godkjente modeller og leverandører
5. Kodeagenter
6. Lagring og logging
7. Menneskelig kontroll av resultater
8. Opplysning om KI-generert innhold
9. Opplæring i KI-kompetanse
10. Melding av hendelser
11. Budsjett og godkjenning av betalt bruk
12. Gjennomgang og ansvar

Malen

Tekst i [klammer] fyller dere ut selv. Nummereringen er fast, så opplæring og revisjoner kan vise til den.

Retningslinjer for bruk av kunstig intelligens

Bedrift: [Bedriften]
Ansvarlig: [Navn, rolle, f.eks. IT-sjef eller sikkerhetssjef]
Godkjent av: [Ledelsen]
Versjon: 1.0. Gjelder fra: [dato]. Neste gjennomgang: [dato]

1. Formål og virkeområde

1.1
Disse retningslinjene setter reglene for bruk av verktøy for kunstig intelligens (KI) i [Bedriften]: chatassistenter, KI-funksjoner i annen programvare, kodeagenter og KI-modeller som brukes via API.
1.2
De gjelder for alle ansatte, innleide og konsulenter som bruker KI i arbeid for [Bedriften], på jobbutstyr og privat utstyr.
1.3
De gjelder sammen med retningslinjene våre for informasjonssikkerhet, personvern og bruk av IT. Ved motstrid gjelder den strengeste regelen.
1.4
Spørsmål om retningslinjene sendes til [ansvarlig, e-post].

2. Godkjente verktøy og tilgang

2.1
Bruk bare KI-verktøyene på listen over godkjente verktøy på [intranettlenke]. Listen viser hva hvert verktøy kan brukes til og den høyeste dataklassen som er tillatt i det (punkt 3).
2.2
Logg inn i godkjente verktøy med jobbkontoen i [Bedriften] via enkel pålogging (SSO) med [Microsoft Entra ID / Google Workspace / Okta]. Private kontoer og private abonnementer kan ikke brukes i arbeid for [Bedriften].
2.3
Tilgang gis gjennom [gruppemedlemskap i identitetsleverandøren / bestilling hos IT-brukerstøtte]. Når noen slutter i [Bedriften] eller bytter rolle, fjernes tilgangen gjennom de samme gruppene.
2.4
API-nøkler utstedes per person eller per applikasjon, deles aldri og lagres i [hemmelighetshvelv].
2.5
Nye verktøy foreslås via [skjema] til [ansvarlig]. Informasjonssikkerhet, personvern og innkjøp vurderer verktøyet før det kommer på listen. En gratis prøveperiode på et verktøy som ikke er godkjent, regnes som bruk.

3. Data i prompter

3.1
Alt du skriver, limer inn, laster opp eller lar et verktøy lese (filer, skjermbilder, kodelagre, e-post, lyd fra møter), regnes som en prompt.

3.2

Klassifiser data etter bedriftens klassifiseringsordning. Tabellen viser hva som kan gå inn i en prompt i et godkjent verktøy.

Dataklasse	Eksempler	I et godkjent verktøy
Åpen	EksemplerPublisert tekst på nettstedet, pressemeldinger, offentlig dokumentasjon	I et godkjent verktøyTillatt
Intern	EksemplerInterne rutiner, møtenotater uten personopplysninger, kode som ikke er sensitiv	I et godkjent verktøyTillatt
Fortrolig	EksemplerKundekontrakter, upubliserte økonomitall, kildekode, produktplaner	I et godkjent verktøyBare i verktøy godkjent for Fortrolig, med leverandørvilkårene i punkt 4
Personopplysninger	EksemplerNavn, e-postadresser, kunderegistre, personalmapper	I et godkjent verktøyBare med behandlingsgrunnlag og databehandleravtale som dekker verktøyet. Så lite som mulig, pseudonymisert der det går
Særlige kategorier og regulerte data	EksemplerHelseopplysninger, fagforeningsmedlemskap, straffesaker, kortdata, klientdata under taushetsplikt	I et godkjent verktøyIkke tillatt, med mindre [personvernombudet] godkjenner en bestemt bruk skriftlig
Hemmeligheter	EksemplerPassord, API-nøkler, tokens, private nøkler, tilkoblingsstrenger	I et godkjent verktøyAldri

3.3
Er du usikker på klassen, behandle dataene som den høyere klassen eller spør [ansvarlig].
3.4
Ikke bruk KI til å utlede sensitive egenskaper ved personer, til å overvåke ansatte eller til å avgjøre noe om en person uten den menneskelige kontrollen i punkt 7.

4. Godkjente modeller og leverandører

4.1
[Bedriften] har en liste over godkjente KI-modeller og leverandørene som kan kjøre dem. En modell eller leverandør som ikke står på listen, kan ikke behandle data fra [Bedriften].
4.2
En leverandør kommer på listen først etter vurdering av: hvor inferensen kjører [f.eks. bare i Europa], om den lagrer prompter og svar (for Fortrolig og høyere krever vi null datalagring), om den trener på dataene våre (det får den ikke), underleverandørene og en signert databehandleravtale.
4.3
Modeller med åpne vekter godkjennes per applikasjon, for bruken som står på listen.
4.4
Nye forsøk og reserveruter holder seg innenfor listen. Et verktøy som i det stille sender forespørsler til andre leverandører, er ikke godkjent.
4.5
[Ansvarlig] holder listen på [lenke] og går gjennom den sammen med disse retningslinjene.

5. Kodeagenter

5.1
Kodeagenter (for eksempel Claude Code, Codex, Cursor, GitHub Copilot eller Cline) kan brukes i kodelagrene som står på [lenke].
5.2
Aldri hemmeligheter i prompter, agentinstruksjoner eller kode som sjekkes inn. Hold .env-filer og påloggingsdata utenfor agentens rekkevidde, og kjør [verktøy for hemmelighetsskanning] på hver commit.
5.3
Agenter kjører med minst mulig rettigheter: ingen påloggingsdata til produksjon, ingen skrivetilgang til produksjonssystemer og ingen automatisk godkjenning av kommandoer som sletter data, endrer infrastruktur eller pusher til beskyttede brancher.
5.4
All kode skrevet av KI går gjennom vanlig pull request-gjennomgang av en annen person enn den som genererte den, og gjennom de samme testene og sikkerhetsskanningene som annen kode. Den som lager pull requesten, er ansvarlig for koden.
5.5
Sjekk lisensene til avhengigheter agenten legger til, og til lengre passasjer den gjengir ordrett.
5.6
MCP-servere, plugins og utvidelser er verktøy etter punkt 2 og må godkjennes før bruk.

6. Lagring og logging

6.1
Godkjente verktøy settes opp slik at leverandørene ikke beholder noen kopi av prompter og svar utover det som trengs for å betjene hver forespørsel, der leverandøren tilbyr dette.
6.2
[Bedriften] logger metadata om KI-bruk: hvem, hvilket verktøy eller hvilken nøkkel, hvilken modell og leverandør, når og til hvilken kostnad. Disse opplysningene lagres i [12 måneder].
6.3
Innholdet i prompter og svar logges ikke sentralt, med mindre [lovkrav eller godkjent bruksområde]. Der det logges, beskyttes det som den høyeste dataklassen det inneholder.
6.4
Samtalehistorikk i godkjente verktøy slettes etter [periode]. Resultater som er forretningsdokumenter, lagres i [dokumentsystem], ikke bare i KI-verktøyet.
6.5
Bruksloggene brukes til sikkerhet, kostnadskontroll og etterlevelse, slik det står i [personvernerklæringen for ansatte].

7. Menneskelig kontroll av resultater

7.1
Du er ansvarlig for alle KI-resultater du bruker. Kontroller fakta, tall, sitater, kilder, kode og juridiske utsagn før du støtter deg på dem.
7.2
En kvalifisert person går gjennom KI-resultatet før det sendes til en kunde, publiseres, brukes i en kontrakt eller brukes i en avgjørelse om en person, som ansettelse, medarbeidervurdering, kreditt eller tilgang til en tjeneste.
7.3
KI tar ikke endelige avgjørelser som har rettsvirkning eller tilsvarende betydelig virkning for en person. [List opp bruk som er forbudt eller krever en egen risikovurdering.]
7.4
Der yrket ditt krever det, noter i [system] når KI har bidratt vesentlig til råd gitt til en klient.

8. Opplysning om KI-generert innhold

8.1
Når [Bedriften] publiserer bilde, lyd eller video som er en deepfake (innhold som ligner virkelige personer, gjenstander, steder eller hendelser og feilaktig vil fremstå som ekte), opplyser vi at det er kunstig generert eller manipulert. Dette er en plikt for den som bruker KI-systemet, etter artikkel 50 nr. 4 i KI-forordningen, fra 2. august 2026.
8.2
Når vi publiserer tekst som er generert eller endret av KI for å informere offentligheten om saker av allmenn interesse, opplyser vi også om det, med mindre en person har gjennomgått eller redigert teksten og [Bedriften] har det redaksjonelle ansvaret.
8.3
Maskinlesbar merking av KI-innhold (vannmerker, metadata) er leverandøren av KI-systemets plikt etter artikkel 50 nr. 2. Ikke fjern slik merking.
8.4
I tillegg til lovkravene gjelder dette i [Bedriften]: [chatboter i kundekontakt merkes som KI / kundekommunikasjon opplyser om det når innhold i hovedsak er KI-generert].

9. Opplæring i KI-kompetanse

9.1
[Bedriften] iverksetter tiltak for å styrke KI-kompetansen til de ansatte og andre som bruker KI-systemer på bedriftens vegne, ut fra deres kunnskap, erfaring, utdanning og opplæring og sammenhengen verktøyene brukes i. Dette er plikten i artikkel 4 i KI-forordningen, som gjelder fra 2. februar 2025.
9.2
Alle gjennomfører [grunnkurs i KI] før de får tilgang til et godkjent verktøy, og [en oppfriskning hver 12. måned].
9.3
Opplæringen dekker disse retningslinjene, dataklassene, hvordan modeller kan ta feil, promptinjeksjon og hva hvert verktøy er godkjent til. Utviklere som bruker kodeagenter, og team som bruker KI i avgjørelser om personer, får i tillegg rollebasert opplæring.
9.4
[HR / ansvarlig] registrerer hvem som har fullført hvilken opplæring.

10. Melding av hendelser

10.1
Meld fra til [sikkerhetskontakt eller kanal] innen [24 timer] om: data lagt inn i et verktøy der de ikke var tillatt, en hemmelighet eksponert for et KI-verktøy, skadelig eller diskriminerende innhold som har nådd en kunde, en agenthandling som uventet endret eller slettet noe, eller mistanke om promptinjeksjon.
10.2
Det forventes at feil meldes raskt, og det får ingen disiplinære følger. Å skjule en feil er brudd på retningslinjene.
10.3
En eksponert hemmelighet byttes umiddelbart. [Informasjonssikkerhet / personvernombudet] vurderer om personvernregelverket krever melding til tilsynsmyndigheten eller til de berørte.

11. Budsjett og godkjenning av betalt bruk

11.1
Betalte KI-abonnementer, lisenser og API-bruk må godkjennes av [budsjettansvarlig] før kjøp. KI-verktøy kjøpes ikke med private kort uten [refusjonsgodkjenning].
11.2
Hver person og hver applikasjon med betalt bruk har et månedsbudsjett satt av [budsjettansvarlig]. Når budsjettet er brukt opp, stopper bruken til [budsjettansvarlig] godkjenner mer.
11.3
[Økonomiavdelingen] går gjennom KI-kostnadene per person, applikasjon og kostnadssted [hver måned].
11.4
Ubrukte lisenser og nøkler sies opp ved [kvartalsvis] gjennomgang.

12. Gjennomgang og ansvar

12.1
[Ansvarlig] eier disse retningslinjene, listen over godkjente verktøy og listen over godkjente modeller og leverandører.
12.2
Retningslinjene gjennomgås hver [6. måned], og straks etter en alvorlig hendelse, en ny type verktøy eller en lovendring.
12.3
Brudd på retningslinjene behandles etter [reglement / avtalevilkår].
12.4
Versjonshistorikk: [dato, versjon, endring, godkjent av].

Basert på den gratis malen på https://standardcompute.com/ki-retningslinjer-mal (versjon 9. november 2026). Fri til å kopiere og redigere. Ikke juridisk rådgivning.

Last ned malen (.md)Ren tekst (.txt)

Slik håndhever dere retningslinjene med en gateway

Retningslinjer på intranettet holder bare hvis verktøyene følger dem. En KI-gateway står mellom de ansatte, applikasjonene og agentene og modelleverandørene, så punkt 2, 3, 4, 6 og 11 håndheves på hver forespørsel i stedet for i innstillingene til hvert enkelt verktøy.

Standard Compute er den gatewayen: ett API til Claude, GPT, Gemini og ledende åpne modeller, med kontrollene under satt opp én gang for hele bedriften.

Punkt i retningslinjene	Hva Standard Compute håndhever
2. Tilgang og SSO	Koble til Microsoft Entra ID eller en annen SAML-identitetsleverandør, så logger de ansatte inn med jobbkontoen. Ansatte logger inn i Claude Desktop og Claude Code med Microsoft-jobbkontoen, så dere slipper å dele ut API-nøkler, og tilgangen følger Entra-gruppene deres gjennom SCIM-provisjonering.
4. Godkjente leverandører	Velg nøyaktig hvilke inferensleverandører som får behandle dataene deres, for hele bedriften, et team eller én nøkkel. Et lavere nivå kan bare stramme inn reglene, nye leverandører kommer aldri med uten godkjenning fra en administrator, og reserveruter kan aldri gå utenom listen.
4. Godkjente modeller	Bestem hvilke modeller hver nøkkel kan bruke. Da går åpne modeller som GLM, DeepSeek, MiniMax og Kimi til applikasjonene dere velger, og frontier-modeller til dem som trenger dem.
4. Hvor inferensen kjører	Sett en Europa-regel for bedriften, et team eller én nøkkel, så blir hver forespørsel, også nye forsøk og reserveruter, betjent bare av godkjente europeiske inferensendepunkter. Kan ingen europeiske endepunkter betjene den, blir forespørselen avvist før prompten sendes.
6. Lagring	Slå på null datalagring, så går hver forespørsel bare til inferensendepunkter som forplikter seg til å ikke beholde noen kopi av dataene. Vi behandler promptene i minnet og skriver dem aldri til lagring eller logger, og Standard Compute trener aldri på prompter eller svar.
11. Budsjetter	Hver person og applikasjon får et fast månedsbudsjett som aldri overskrides, og dere setter utgiftstak per nøkkel og for hele bedriften.
6 og 12. Sporbarhet	Hver endring en administrator gjør, logges med gammel og ny verdi. For hver forespørsel kan dere eksportere modell, leverandøren som betjente den og regionregelen som gjaldt, lagret i 12 måneder.

Opprett et bedriftsområde

Rettskilder

Artikkel 4 (KI-kompetanse) og artikkel 50 (åpenhet) i forordning (EU) 2024/1689, KI-forordningen. Artikkel 4 gjelder fra 2. februar 2025, artikkel 50 fra 2. august 2026.

Artikkel 4 slik den er erstattet ved forordning (EU) 2026/1744, den digitale omnibusen om KI, kunngjort i EU-tidende 24. juli 2026: leverandører og brukere iverksetter tiltak for å styrke KI-kompetansen til de ansatte, uten krav om å garantere et bestemt nivå for hver enkelt.

Malen er generell veiledning og ikke juridisk rådgivning. La personvernombudet eller en advokat gå gjennom den opp mot reglene i deres bransje.

Spørsmål bedrifter stiller

Krever KI-forordningen at bedriften har KI-retningslinjer?: KI-forordningen krever ikke et dokument som heter KI-retningslinjer. Artikkel 4 pålegger bedrifter som bruker KI-systemer å iverksette tiltak for å styrke KI-kompetansen til de ansatte, og gjelder fra 2. februar 2025. Artikkel 50 legger til opplysningsplikter for deepfakes og visse publiserte tekster fra 2. august 2026. Skriftlige retningslinjer og opplæring er den vanlige måten å vise at tiltakene er gjort.
Hva bør KI-retningslinjer inneholde?: Virkeområde, godkjente verktøy og hvordan tilgang gis, hvilke dataklasser som kan gå inn i prompter, godkjente modeller og leverandører, regler for kodeagenter, lagring og logging, menneskelig kontroll, opplysning om KI-generert innhold, opplæring i KI-kompetanse, melding av hendelser, budsjettgodkjenning og en fast gjennomgang. Malen på denne siden dekker alle tolv.
Kan ansatte legge kundedata inn i ChatGPT eller Claude?: Bare i et verktøy som er godkjent for den dataklassen, med databehandleravtale og leverandørvilkår som utelukker trening på dataene og lagring av dem. Særlige kategorier personopplysninger og hemmeligheter holdes utenfor prompter. Punkt 3 i malen setter dette opp som en tabell dere kan tilpasse.
Hvem må merke KI-generert innhold etter KI-forordningen?: Leverandører av KI-systemer merker syntetisk lyd, bilde, video og tekst i et maskinlesbart format (artikkel 50 nr. 2). Bedrifter som bruker KI, opplyser om deepfakes de publiserer, og om KI-generert tekst som publiseres for å informere offentligheten om saker av allmenn interesse, med mindre en person har gjennomgått teksten og bedriften har det redaksjonelle ansvaret (artikkel 50 nr. 4). Begge deler gjelder fra 2. august 2026.
Hvordan håndhever vi KI-retningslinjer teknisk?: Send KI-trafikken gjennom en gateway som håndhever reglene på hver forespørsel. Med Standard Compute logger de ansatte inn via Microsoft Entra ID eller SAML, bare leverandører og modeller på listen deres betjener forespørsler, en Europa-regel og null datalagring kan settes for bedriften, et team eller en nøkkel, hver person og applikasjon har et fast månedsbudsjett, og forespørsler logges i 12 måneder.
Er malen gratis?: Ja. Kopier den, rediger den og publiser den internt uten kildehenvisning. Last den ned som Markdown eller ren tekst fra denne siden.

Opprett et bedriftsområde, koble til identitetsleverandøren og sett opp listene over godkjente leverandører og modeller i dashbordet.