Datatilsynet: Kunstig intelligens og personvern
Sist faglig kontrollert 16. juli 2026
Kort oversikt
Datatilsynets veiledning beskriver hvordan utvikling og bruk av kunstig intelligens kan påvirke personvernet. Den sentrale rapporten «Kunstig intelligens og personvern» ble publisert 11. januar 2018 og fremhever særlig rettferdighet og diskriminering, formålsbegrensning, dataminimering, gjennomsiktighet og retten til informasjon.
Rapporten må leses sammen med nyere veiledning og erfaringer fra Datatilsynets regulatoriske sandkasse. Sandkasserapportene viser hvordan personvernregelverket kan anvendes på blant annet generative KI-assistenter, samtaleroboter, beslutningsstøtte, læringsanalyse og automatisert dokumentbehandling.
Veiledningen forklarer og konkretiserer krav i personopplysningsloven og personvernforordningen (GDPR), men erstatter ikke regelverket. Se også ClearNords profil om personopplysningsloven og GDPR for en samlet fremstilling av de bindende kravene.
Ved KI-støttet oversettelse, transkribering, oppsummering eller tekstproduksjon kan kildetekst, lyd, instrukser og genererte svar inneholde personopplysninger. Virksomheten må derfor vurdere formål, behandlingsgrunnlag, dataminimering, informasjon til de registrerte, leverandørens rolle, lagring, sikkerhet og eventuell overføring til land utenfor EØS.
Hva regulerer dette
Veiledningen er ikke et eget regelverk. Den forklarer hvordan personopplysningsloven og GDPR kan få anvendelse når KI-systemer utvikles, trenes, tilpasses eller brukes til å behandle personopplysninger.
Sentrale temaer er behandlingsgrunnlag, formålsbegrensning, dataminimering, rettferdighet, åpenhet, informasjon, innebygd personvern, informasjonssikkerhet, automatiserte avgjørelser og vurdering av personvernkonsekvenser.
Nyere sandkasserapporter gir praktiske eksempler på problemstillinger som anonymitet og reidentifisering, tilgangsstyring, gjenbruk av opplysninger, bruk av sensitive personopplysninger og innføring av generative KI-verktøy i kontrollerte trinn.
Hvem berøres
Leverandør til offentlig sektor
Offentlig sektor
Privat sektor
Hvorfor det har praktisk betydning
KI-verktøy kan behandle flere personopplysninger enn det brukeren umiddelbart ser. Opplysningene kan finnes i treningsdata, interne kunnskapskilder, dokumenter, e-post, lydopptak, instrukser, logger og systemets svar. Fjerning av navn er ikke nødvendigvis tilstrekkelig til å gjøre opplysningene anonyme.
Integrerte KI-assistenter kan også forsterke eksisterende svakheter i tilgangsstyring og informasjonsforvaltning. En ekstern leverandør overtar ikke automatisk virksomhetens personvernansvar. Roller, formål, behandlingsgrunnlag, databehandleravtaler, sikkerhet og eventuell videre bruk av opplysningene må avklares.
For oversettelse, transkribering og oppsummering betyr dette at både kildeinnhold og generert innhold må vurderes. Menneskelig kontroll av resultatet fjerner ikke personvernrisikoen som oppstår når opplysningene sendes til og behandles i KI-tjenesten.
Sentrale krav og forpliktelser
- Identifiser behandlingsansvarlig, eventuell databehandler og andre aktørers roller før behandlingen starter
- Fastsett tydelige formål og et gyldig behandlingsgrunnlag etter GDPR artikkel 6
- Avklar særskilt grunnlag etter artikkel 9 eller 10 dersom særlige kategorier eller opplysninger om straffbare forhold behandles
- Begrens personopplysningene til det som er nødvendig for det angitte formålet
- Gi de registrerte forståelig og tilgjengelig informasjon og legg til rette for at rettighetene kan utøves
- Bygg personvern inn i løsningen og bruk personvernvennlige standardinnstillinger etter artikkel 25
- Sørg for egnet informasjonssikkerhet, tilgangsstyring, lagring, sletting og kontroll med leverandører
- Gjennomfør en vurdering av personvernkonsekvenser dersom behandlingen sannsynligvis medfører høy risiko
- Vurder reglene om automatiserte individuelle avgjørelser dersom KI-resultatet brukes i avgjørelser med rettslig eller tilsvarende betydelig virkning
- Dokumenter vurderingene og kunne vise hvordan personvernregelverket etterleves
Hva virksomheten kan vurdere å dokumentere
- Bruke ClearNords profil om personopplysningsloven og GDPR som juridisk grunnprofil og denne veiledningen som praktisk fordypning
- Føre en oversikt over KI-verktøy, bruksområder, datakilder, integrasjoner og hvilke personopplysninger som kan behandles
- Klassifisere tekst, lyd og dokumenter før de brukes til KI-støttet oversettelse, transkribering eller oppsummering
- Forby at beskyttede opplysninger legges inn i KI-tjenester som ikke er vurdert og godkjent for formålet
- Undersøke om leverandøren lagrer instrukser eller svar, bruker opplysninger til modellutvikling eller overfører data utenfor EØS
- Gjennomføre og dokumentere DPIA før høyrisikobehandling settes i drift
- Teste tilgangsstyring, mulighet for reidentifisering, uønsket gjenfinning og lekkasje av opplysninger
- Innføre generative KI-verktøy i små, kontrollerte trinn med avgrensede roller og bruksområder
- Bruke relevante sandkasserapporter som eksempler, men foreta egne vurderinger av virksomhetens løsning og datagrunnlag
Kilder og videre lesning
- Primær offisiell kilde
- Datatilsynet – Anbefalinger for godt personvern i utvikling og bruk av kunstig intelligens
- Datatilsynet – Vurder personvernkonsekvensene og bygg personvern inn i løsningene
- Datatilsynet – Regulatorisk sandkasse
- Datatilsynet – Rapporter og funn fra sandkassa
- Datatilsynet – Personvernvennlige samtaleroboter
- Datatilsynet – NTNU: Copilot med personvernbriller på
- EDPB – Opinion 28/2024 om personopplysninger og KI-modeller
- KI Norge – Den kommende regulatoriske KI-sandkassen
Lenkene peker til eksterne kilder. Kontroller gjeldende tekst og status for bruk i eget arbeid.
