INNSIKT

KI og GDPR: slik bruker dere KI uten å bryte personvernet

Personvern og KI trenger ikke stå i motsetning. Med riktig oppsett kan norske virksomheter hente ut verdien av KI og samtidig være trygge på GDPR.

Innsikt, oppdatert juni 2026

Mange norske virksomheter nøler med KI av én grunn: frykten for å bryte personvernet. Det er en god frykt, for den tvinger fram de riktige spørsmålene. Men svaret er ikke å la være. Svaret er å bygge KI på en måte som er GDPR-bevisst fra første strek.

Hvorfor KI og GDPR oppleves som en konflikt

Konflikten oppstår når ansatte tar i bruk offentlige KI-verktøy på egen hånd. Da kan personopplysninger og forretningssensitiv informasjon havne hos en ekstern tjeneste, uten behandlingsgrunnlag, uten oversikt og uten kontroll. Det er ikke KI som er problemet. Det er mangelen på styring.

Bygget riktig er KI tvert imot et verktøy som kan styrke personvernet, fordi dere får tilgangsstyring, logging og kontroll på ett sted, i stedet for spredt og uoversiktlig bruk.

Fem prinsipper for GDPR-bevisst KI

Disse prinsippene avgjør om en KI-løsning er trygg å sette i produksjon:

  • Dataminimering. Løsningen får kun tilgang til de dataene den faktisk trenger, ikke alt.
  • Tydelig behandlingsgrunnlag. Hver behandling har et grunnlag i GDPR, og formålet er avklart før dere starter.
  • Tilgangsstyring. Rollebasert tilgang sørger for at brukere kun ser det de har lov til, akkurat som i resten av IT-en.
  • Sporbarhet og logging. Alle spørsmål og svar logges, så dere kan dokumentere hva som har skjedd, og hvorfor.
  • Menneskelig kontroll. På kritiske steg er det et menneske som godkjenner, ikke KI alene.

Hvor dataene behandles betyr alt

Det viktigste valget er hvor dataene behandles. For de mest sensitive dataene kan løsningen kjøres privat eller helt on-prem, slik at ingenting forlater deres egen infrastruktur. Da bruker dere ikke offentlige modeller som trenes på det dere sender inn, og dere beholder full datasuverenitet. Les mer om privat og on-prem KI.

Hva med EUs KI-forordning?

GDPR handler om personopplysninger. EUs KI-forordning (AI Act) stiller i tillegg krav til selve KI-bruken, særlig for løsninger med høyere risiko. De to henger sammen, og en god tilnærming dekker begge. Vi har skrevet mer om dette i hva KI-forordningen betyr for norske virksomheter.

Kom trygt i gang

Den enkleste måten å finne ut om KI er trygt og verdt det for dere, er å starte smått og kontrollert. En Trygg KI Pilot gir dere en sikret, GDPR-bevisst løsning på få uker, til fast pris. Vil dere vurdere et konkret bruksområde? Book et møte, så går vi gjennom personvern og sikkerhet for akkurat deres situasjon.