I 2026 kontrollerer Datatilsynet hvordan norske kommuner sikrer personopplysninger. Tilsynet ble varslet 28. januar som del av Totalforsvarsåret 2026, og omfatter alle landets 357 kommuner.
Dette er ikke et KI-tilsyn. Det handler om personopplysningssikkerhet, beredskap, autentisering, tilgangsstyring, gjenoppretting og styringssystemer. Likevel bør kommuner bruke tilsynet til å stille et konkret spørsmål:
Kan vi dokumentere hvilke KI-, oversettelses- og språkverktøy som brukes på innbyggeropplysninger, hvilke opplysninger som behandles, hvilke avtaler som gjelder, og hvem som har godkjent bruken?
Det er denne typen spørsmål kommunene bør kunne svare på før verktøyene blir en fast del av arbeidsprosessene.
Dette er kommunetilsynet 2026
Datatilsynet har delt kommunetilsynet inn i tre faser. Først skulle alle kommuner svare på spørsmål om hvordan de ivaretar personopplysningssikkerheten, med svarfrist 20. februar 2026. Deretter ble 104 utvalgte kommuner bedt om å sende utfyllende informasjon om rutiner og systemer, med frist 22. mai. Når Datatilsynet har gått gjennom den utfyllende informasjonen, skal enkelte kommuner velges ut for stedlige tilsyn.
Temaene er tydelige: styringssystemer for informasjonssikkerhet og personvern, autentisering, tilgangsstyring, beredskap og evne til gjenoppretting etter sikkerhetshendelser. Datatilsynet peker blant annet på svake påloggingsløsninger som en vanlig årsak til sikkerhetsbrudd, og på mangelfulle rutiner for backup og gjenoppretting som en faktor som kan gjøre konsekvensene av digitale angrep større enn nødvendig.
For kommuner er signalet klart: Det holder ikke å ha systemer. Man må kunne vise hvordan de brukes, hvem som har tilgang, hvilke kontroller som finnes, og hvordan avvik oppdages.
Tilsynet handler ikke om KI, men KI-bruk må inn i styringen
Det er viktig å være presis. Kommunetilsynet 2026 er ikke rettet mot kunstig intelligens. Det publiserte spørreskjemaet gjelder overordnet styringssystem, autentisering, tilgangsstyring, gjenoppretting, sikkerhetsrevisjoner og beredskap. Tilsynet handler om personopplysningssikkerhet og beredskap.
Men KI- og språkverktøy kan likevel bli relevante fordi de ofte behandler tekst, dokumenter og henvendelser som inneholder personopplysninger.
Personvernforordningen krever at behandlingsansvarlige setter i verk egnede tekniske og organisatoriske tiltak og kan påvise at personopplysninger behandles i samsvar med regelverket. Datatilsynet beskriver internkontroll som ledelsens verktøy for å ivareta ansvar og demonstrere etterlevelse, og tiltakene skal dokumenteres og oppdateres ved behov.
Det betyr at kommunen må vite hvilke behandlinger som faktisk skjer. Datatilsynet skriver også at alle virksomheter som behandler personopplysninger, skal føre protokoll over behandlingsaktivitetene de har ansvar for. Protokollen skal blant annet beskrive formål, kategorier av registrerte og personopplysninger, mottakere, overføringer og sikkerhetstiltak. [Datatilsynet, Protokoll over behandlingsaktiviteter]
Hvis ansatte bruker åpne oversettelsesverktøy, generative KI-tjenester eller språkassistenter til å behandle personopplysninger uten at bruken er kjent, vurdert og dekket av relevante rutiner og avtaler, kan kommunen mangle nødvendig oversikt over behandlingen.
Der oversikten ofte glipper: oversettelse og flerspråklig kommunikasjon
Oversettelse og flerspråklig innbyggerkommunikasjon er et praktisk risikoområde. Behovet oppstår ofte raskt. Et brev må forstås. En søknad er skrevet på et annet språk. En innbygger trenger veiledning. En ansatt finner et verktøy som gir et godt nok førsteutkast.
Problemet oppstår når dette skjer uten styring.
Kommunale dokumenter kan inneholde opplysninger om helse, skole, barnevern, økonomi, bolig, arbeid, flyktningtjenester eller andre forhold som er beskyttelsesverdige. Noen ganger kan opplysningene også være særlige kategorier av personopplysninger. Når slike tekster legges inn i et verktøy kommunen ikke har vurdert, er det ikke lenger bare et språkspørsmål. Det er behandling av personopplysninger i en konkret arbeidsprosess.
Nav-saken fra mars 2026 viser risikoen. Nav opplyste at offentlig tilgjengelige digitale oversettelsesverktøy kan ha blitt brukt for å oversette dokumenter innbyggere hadde sendt inn på andre språk enn norsk. Nav skrev også at det ikke var inngått avtale om bruk av slike verktøy som sikret personvernet, altså databehandleravtale, og at Nav regnet dette som et brudd på personvernregelverket. Datatilsynet ble varslet.
Nav-saken bør ikke brukes til å skremme kommuner fra all digital oversettelse. Den bør brukes som en praktisk læringssak: Språkverktøy må ha samme styring som andre digitale verktøy som behandler personopplysninger.
Dokumentasjon er ikke papirarbeid. Det er operativ kontroll.
Datatilsynets funn fra skolesektoren viser hvor raskt oversikten kan bli ufullstendig når digitale verktøy tas i bruk lokalt. I tilsyn med digitale læringsverktøy fant Datatilsynet blant annet at flere verktøy ikke ble vurdert sentralt i kommunen, men besluttet av rektor eller den enkelte lærer. Datatilsynet fant også at mange kommuner hadde for snever forståelse av hva en personopplysning er, slik at mange digitale læringsverktøy ikke ble vurdert og ikke kom inn i kommunens samlede oversikt over behandlingsaktiviteter.
Funnene gjelder digitale læringsverktøy, ikke KI- og språkverktøy generelt. De viser likevel en relevant styringsutfordring: Når verktøy tas i bruk lokalt uten en felles vurderingsprosess, kan virksomhetens oversikt over behandlingene bli ufullstendig. Risikoen er ikke bare at et verktøy er “farlig”. Risikoen er at ingen vet sikkert hvilke verktøy som brukes, hvilke dokumenttyper som behandles, hvilke data som sendes ut av virksomheten, hvilke avtaler som gjelder, og når menneskelig kvalitetssikring kreves.
Databehandleravtaler kan være en sentral del av dette bildet. Når en leverandør behandler personopplysninger på vegne av kommunen, skal forholdet reguleres i en databehandleravtale. Avtalen skal sette tydelige rammer for hvordan opplysningene kan behandles.
For KI- og språkverktøy bør kommunen derfor kunne svare skriftlig på fem spørsmål:
- Hvilke KI-, oversettelses- og språkverktøy brukes faktisk i virksomheten?
- Hvilke dokumenttyper og personopplysninger behandles i disse verktøyene?
- Hvilke verktøy er godkjent, begrenset eller ikke tillatt for ulike typer innhold?
- Hvilke avtaler, risikovurderinger og protokolloppføringer dekker bruken?
- Når kreves menneskelig kvalitetssikring, og hvordan dokumenteres den?
Hvis kommunen ikke kan svare på disse spørsmålene, tyder det på et styringsgap som bør undersøkes og lukkes.
Hva bør virksomheter gjøre nå?
Start med faktisk bruk, ikke vedtatt bruk. Spør fagmiljøer, servicekontor, skole, helse, integrering, arkiv, kommunikasjon og saksbehandling hvilke KI- og språkverktøy som brukes i dag. Skill mellom verktøy som er anskaffet sentralt, funksjoner som ligger inne i eksisterende systemer, og åpne nettjenester ansatte har tatt i bruk selv.
Lag deretter en enkel klassifisering av innhold. Noe kan kanskje behandles i godkjente språkverktøy etter klare regler. Noe bør kommunen bare tillate i verktøy med relevante avtaler og definerte sikkerhetstiltak, eventuelt også logging der det er nødvendig. Noe bør ikke legges inn i KI- eller oversettelsesverktøy i det hele tatt.
Oppdater dokumentasjonen. Det betyr ikke nødvendigvis et stort prosjekt. Begynn med behandlingsprotokollen, leverandøroversikten, databehandleravtalene, risikovurderingene og interne retningslinjer for KI- og språkbruk. Koble hvert godkjent bruksområde til ansvarlig enhet, dokumenttype, datakategori, verktøy, avtalegrunnlag og kontrollpunkt.
Dokumenter menneskelig kontroll. I språk- og innbyggerkommunikasjon er kvalitet ikke bare grammatikk. Det handler om korrekt innhold, riktig rettighetsinformasjon, klarspråk, målgruppetilpasning og at oversettelsen ikke endrer betydningen av vedtak, frister eller plikter. Kommunen bør definere når fagperson, språkressurs, profesjonell oversetter eller kvalifisert tolk må brukes. Oversettelse og tolking må behandles som ulike arbeidsprosesser. Når kommunen har plikt til å bruke tolk, gjelder egne krav etter tolkeloven.
Til slutt: Gjør det lett for ansatte å gjøre riktig. Forbud uten alternativer gir ofte uformell bruk. God styring betyr godkjente verktøy, tydelige grenser, korte rutiner, praktiske eksempler og en lav terskel for å spørre.
Bruk tilsynet som en prioriteringsliste
Datatilsynet beskriver tilsyn som et virkemiddel for å kontrollere etterlevelse, avdekke svakheter og bidra til læring. Tilsyn kan gjennomføres som brevkontroller, stedlige tilsyn eller en kombinasjon.
Kommuner bør derfor ikke vente på et brev. Kommunetilsynet 2026 gir allerede en tydelig prioritering: oversikt, styringssystem, tilgang, beredskap, dokumentasjon og kontroll.
For KI- og språkverktøy betyr det at uformell bruk må inn i ordinær internkontroll. Ikke fordi alle språkverktøy er uegnede, men fordi behandling av innbyggeropplysninger må kunne forklares, avgrenses og dokumenteres.
ClearNord bistår offentlige og regulerte virksomheter med å kartlegge hvor KI- og språkverktøy berører oversettelse, dokumentarbeid og flerspråklig kommunikasjon. Vi bidrar med regler for godkjent, begrenset og ikke tillatt bruk, krav til menneskelig kontroll og dokumentasjon som kan følges opp i internkontrollen. Rollen er ikke å erstatte juridiske vurderinger, personvernombud eller kvalifiserte tolker der tolking kreves, men å gjøre de konkrete arbeidsflytene styrbare, dokumenterbare og enklere å følge opp.
Kommuner som bruker 2026 til å få oversikt over språk- og KI-bruken sin, står bedre forberedt både på tilsyn, sikkerhetshendelser og den daglige kontakten med innbyggerne.
