Hvorfor er GDPR relevant for AI?
De fleste AI-systemer bruker data for å fungere. Når dataene inneholder personopplysninger – navn, e-post, adferd, kjøpsmønstre – trer GDPR inn. GDPR gjelder allerede i Norge via EØS-avtalen, og Datatilsynet fører tilsyn.
I tillegg er EU AI Act (AI-forordningen) på vei. Den klassifiserer AI-systemer etter risiko og stiller krav til transparens, dokumentasjon og menneskelig tilsyn.
De 5 viktigste GDPR-reglene for AI-bruk
1. Du trenger et behandlingsgrunnlag
All behandling av personopplysninger krever et lovlig grunnlag. De vanligste for AI-bruk:
- Samtykke: Personen har gitt eksplisitt godkjenning
- Berettiget interesse: Behandlingen er nødvendig for din berettigede interesse, og personens rettigheter veier ikke tyngre
- Avtale: Behandlingen er nødvendig for å oppfylle en avtale med personen
2. Databehandleravtale med AI-leverandøren
Bruker du en tredjeparts AI-tjeneste (ChatGPT, Claude, Copilot)? Da er leverandøren en databehandler, og du trenger en databehandleravtale (DPA). De fleste store leverandører tilbyr dette – men du må aktivere det.
3. Informasjonsplikt
De registrerte (kundene, brukerne) har rett til å vite:
- At du bruker AI til å behandle dataene deres
- Hva formålet er
- Hvem som er databehandler
- Hvilke rettigheter de har (innsyn, sletting, protestrett)
4. Dataminimering
Ikke send mer data til AI-systemet enn nødvendig. Trenger AI-en kundens fullt navn for å svare på et teknisk spørsmål? Sannsynligvis ikke. Anonymiser eller pseudonymiser når mulig.
5. DPIA – risikovurdering
For AI-bruk med høy risiko (automatiserte beslutninger, profilering, helseopplysninger) krever GDPR en DPIA (Data Protection Impact Assessment). Dette er en formell risikovurdering du dokumenterer.
GDPR-sjekkliste for AI-prosjekter
- ☐ Identifiser hvilke personopplysninger AI-systemet behandler
- ☐ Velg riktig behandlingsgrunnlag (samtykke, berettiget interesse, avtale)
- ☐ Signer databehandleravtale med AI-leverandøren
- ☐ Oppdater personvernerklæringen med informasjon om AI-bruk
- ☐ Vurder om du trenger DPIA
- ☐ Implementer dataminimering – send kun nødvendige data
- ☐ Sørg for at registrerte kan utøve sine rettigheter
- ☐ Dokumenter behandlingen i behandlingsprotokollen
- ☐ Sjekk at data ikke overføres til usikre tredjeland uten tiltak
EU AI Act – hva betyr det for norske bedrifter?
AI-forordningen klassifiserer AI-systemer i fire risikonivåer:
- Uakseptabel risiko: Forbudt (f.eks. sosial scoring, manipulativ AI)
- Høy risiko: Strenge krav (F.eks. AI i rekruttering, kredittvurdering, helse)
- Begrenset risiko: Transparenskrav (f.eks. chatbots – brukere må vite at de snakker med AI)
- Minimal risiko: Få krav (f.eks. spam-filter, anbefalingssystemer)
For de fleste SMB-er som bruker AI til kundeservice, innhold eller intern effektivisering, havner bruksmåtene i kategori 3 eller 4 – med krav om transparens, men uten tungvint byråkrati.
Praktiske eksempler
AI-chatbot på nettsiden
Du kan bruke en AI-chatbot litt som du vil, men brukeren må vite at den snakker med AI. Hvis chatboten lagrer samtalelogg med persondata, trenger du samtykke eller berettiget interesse + informasjon i personvernerklæringen.
AI for e-postsortering eller kundesegmentering
Internt bruk med anonymiserte data er greit. Bruker du kundenes personopplysninger? Dokumenter formålet, signer DPA, informer kundene. Les mer om automatisering.
AI-generert innhold
Å bruke AI for å skrive blogginnlegg, produktbeskrivelser eller e-poster er uproblematisk fra et GDPR-perspektiv – så lenge du ikke mater AI-en med personopplysninger i prosessen.
5 vanlige feil bedrifter gjør
- Sender kundedata direkte til ChatGPT uten databehandleravtale
- Glemmer å oppdatere personvernerklæringen med informasjon om AI-bruk
- Bruker gratis AI-versjoner som kan bruke dataene til trening
- Hopper over DPIA for høyrisiko-bruk som automatiserte beslutninger
- Mangler dokumentasjon – kan ikke vise Datatilsynet hva de gjør og hvorfor
Vanlige spørsmål
Er det lov å bruke AI til å behandle personopplysninger?
Ja, men du trenger et lovlig behandlingsgrunnlag, en databehandleravtale med AI-leverandøren, og du må oppfylle informasjonsplikten overfor de registrerte.
Hva er EU AI Act?
EU AI Act er EUs nye regulering av kunstig intelligens. Den klassifiserer AI-systemer etter risiko og stiller krav til transparens, dokumentasjon og menneskelig tilsyn. Den gjelder også i Norge via EØS-avtalen.
Kan jeg bruke ChatGPT til kundestøtte uten samtykke?
Det avhenger av hva du deler med tjenesten. Hvis du sender personopplysninger til ChatGPT, trenger du behandlingsgrunnlag og en databehandleravtale med OpenAI. For anonymiserte data er kravene lavere.
Trenger du AI som er GDPR-kompatibel?
Vi bygger AI-løsninger med personvern innebygd – Privacy by Design fra dag én.
📅 Book gratis rådgivning