Oppdatering 26. august 2026: NAVs opprinnelige informasjonsside om hendelsen er ikke lenger tilgjengelig på nav.no. Kildehenvisningen er derfor oppdatert til senere omtale fra Kode24, som inneholder uttalelser fra både NAV og Datatilsynet. Artikkelen er også oppdatert med senere informasjon om NAVs arbeid med styrt bruk av KI.
Nav-saken handler ikke bare om ett verktøy
Nav opplyste 13. mars 2026 at etaten hadde avdekket bruk av digitale oversettelsesverktøy uten nødvendige databehandleravtaler i forbindelse med dokumenter og henvendelser på andre språk enn norsk. Kode24 rapporterte senere at enkelte ansatte hadde brukt Google Oversetter, samt andre offentlig tilgjengelige tjenester. Nav vurderte hendelsen som et brudd på personvernregelverket og varslet Datatilsynet.
Problemet var ikke at oversettelse ble brukt. Offentlig sektor må ofte forstå dokumenter, forklaringer og henvendelser på flere språk. Nav opplyste imidlertid at verktøyene var offentlig tilgjengelige på internett, og at etaten ikke hadde inngått en databehandleravtale som sikret personvernet. Nav regnet dette som et brudd på personvernregelverket og varslet Datatilsynet.
For kommuner, direktorater, fylkeskommuner, helse- og velferdstjenester og andre publikumsrettede virksomheter er dette en viktig læringssak. Den viser hvordan en praktisk språkoppgave raskt kan involvere behandling av personopplysninger, leverandørstyring, informasjonssikkerhet og internkontroll.
Hvorfor oversettelse ofte er personvernarbeid
Når en innbygger sender dokumenter til en offentlig virksomhet, kan teksten inneholde navn, fødselsnummer, helseopplysninger, familieforhold, økonomi, oppholdsstatus, arbeidsforhold eller andre opplysninger som kan være beskyttelsesverdige. Risikoen ligger ikke bare i sluttresultatet, men i hele arbeidsflyten: opplasting, liming inn tekst, mellomlagring, leverandørens vilkår, eventuell modelltrening, underleverandører, tilgang, logging og sletting.
Datatilsynet forklarer at et brudd på personopplysningssikkerheten kan være utilsiktet eller ulovlig tilgang, spredning, tap, endring eller sletting av personopplysninger. Brudd kan gjelde konfidensialitet, integritet eller tilgjengelighet.
I Nav-saken er det særlig konfidensialitetsrisikoen som er lett å forstå. Dersom dokumentinnhold legges inn i et offentlig nettverktøy uten nødvendig avtale, styring og dokumentasjon, kan virksomheten miste kontroll over hvor opplysningene behandles, hva leverandøren kan gjøre med dem, og hvem som kan få tilgang.
Databehandleravtalen er nødvendig, men ikke tilstrekkelig
Datatilsynet beskriver databehandleravtalen som reguleringen av forholdet mellom en behandlingsansvarlig virksomhet og en databehandler. Avtalen skal sikre at personopplysninger behandles i samsvar med regelverket og sette en klar ramme for hvordan databehandleren kan behandle opplysningene.
En databehandleravtale er nødvendig når leverandøren behandler personopplysninger på vegne av virksomheten, men avtalen er ikke i seg selv et bevis på at bruken er lovlig og forsvarlig. Virksomheten må også avklare leverandørens rolle, behandlingsgrunnlag, formål, instrukser, dataminimering, sikkerhet, underleverandører, lagring, sletting, eventuelle overføringer og avvikshåndtering. Det er ikke nok at et verktøy er praktisk, kjent, gratis, europeisk eller teknisk godt.En databehandleravtale er nødvendig når leverandøren behandler personopplysninger på vegne av virksomheten, men avtalen er ikke i seg selv et bevis på at bruken er lovlig og forsvarlig. Virksomheten må også avklare leverandørens rolle, behandlingsgrunnlag, formål, instrukser, dataminimering, sikkerhet, underleverandører, lagring, sletting, eventuelle overføringer og avvikshåndtering. Det er ikke nok at et verktøy er praktisk, kjent, gratis, europeisk eller teknisk godt.
Dette betyr ikke at digitale oversettelsesverktøy aldri kan brukes. Nav opplyste at etaten hadde stoppet bruken av de aktuelle verktøyene, men fortsatt kunne ha behov for digital oversettelse. Etaten skriver at den nå bare bruker verktøy fra leverandører den har avtale med. Poenget er styring, ikke teknologiforbud.Dette betyr ikke at digitale oversettelsesverktøy aldri kan brukes. Nav opplyste at etaten hadde stoppet bruken av de aktuelle verktøyene, men fortsatt kunne ha behov for digital oversettelse. Etaten skriver at den nå bare bruker verktøy fra leverandører den har avtale med. Poenget er styring, ikke teknologiforbud.
Fra uautoriserte språkverktøy til skygge-KI
NAVs opprinnelige informasjon om hendelsen navnga ikke de aktuelle verktøyene. Kode24 rapporterte senere at enkelte ansatte hadde brukt Google Oversetter, i tillegg til andre «store og anerkjente aktører». Det er derimot ikke dokumentert at hendelsen gjaldt generativ KI. Den illustrerer likevel en tilsvarende styringsutfordring: Ansatte kan ta i bruk åpne KI- og språkverktøy uten at bruken er sentralt avklart.
Virksomheter bør skille mellom verktøy som er anskaffet, vurdert og konfigurert sentralt, og verktøy ansatte tar i bruk på eget initiativ. Et kunnskapsgrunnlag utarbeidet for Digitaliserings- og forvaltningsdepartementet viser at flere informanter antok at bruken av åpne KI-verktøy var mer omfattende enn ledelsen hadde oversikt over. Rapporten beskriver blant annet bruk av ChatGPT, DALL-E og DeepSeek uten sentrale initiativer som støttet eller la til rette for bruken.
Slik bruk omtales ofte som skygge-KI. Utfordringen er ikke bare at verktøyet mangler formell godkjenning. Virksomheten kan også mangle oversikt over hvilke opplysninger som behandles, hvilke leverandørvilkår som gjelder, og hvordan resultatet kvalitetssikres.
I praksis kan skygge-KI oppstå av gode grunner. En saksbehandler vil forstå et dokument raskt. En veileder vil hjelpe en innbygger. En kommunikasjonsrådgiver vil kvalitetssikre en tekst. Problemet er at gode intensjoner ikke erstatter behandlingsgrunnlag, databehandleravtale, risikovurdering, opplæring og dokumenterte rutiner.
Digdirs Prosjektveiviser anbefaler at virksomheter etablerer felles kjøreregler som angir hvilke verktøy som kan brukes, hvilken informasjon som kan deles, og hvordan KI-generert innhold skal kontrolleres. Digdir skriver også at personopplysninger, taushetsbelagt informasjon, sikkerhetsgradert informasjon og forretningshemmeligheter ikke skal legges inn i åpne KI-verktøy uten at bruken er avklart og nødvendige risiko- og juridiske vurderinger er gjennomført.
ClearNords praktiske anbefaling er at oversettelsesverktøy får egne bruksregler i virksomhetens KI- og språkstyring. En generell formulering om ikke å lime inn «sensitive opplysninger» er for upresis. Reglene bør i stedet knyttes til konkrete dokumenttyper, opplysningskategorier og godkjente behandlingsruter.
Oversettelse er ikke det samme som tolking
Nav skriver at etaten kan bruke profesjonelle oversettere og tolker. Det er et viktig skille.
Tolkeloven gjelder bruk av tolk i offentlig sektor, altså muntlig eller tegnspråklig tolking i kommunikasjon. IMDi forklarer at offentlige organer skal bruke tolk når det følger av lov, eller når det er nødvendig for å ivareta rettssikkerhet eller yte forsvarlig hjelp og tjeneste. Når det foreligger plikt til å bruke tolk, er hovedregelen etter § 7 at det skal brukes kvalifisert tolk. Fram til 31. desember 2026 gjelder det imidlertid en midlertidig dispensasjon fra kvalifikasjonskravet. IMDi anbefaler at offentlige organer bruker kvalifisert tolk også i dispensasjonsperioden.
Vanlig dokumentoversettelse er ikke det samme som tolking etter tolkeloven. Likevel henger feltene sammen operativt. En virksomhet må kunne avgjøre om behovet gjelder å forstå et innsendt dokument, oversette et vedtak, gi generell flerspråklig informasjon, gjennomføre en samtale med en innbygger, eller sikre forsvarlig saksbehandling i en konkret sak. Feil kanal kan gi både personvernrisiko og rettssikkerhetsrisiko.
Språkplikt, klarspråk og flerspråklig tilgjengelighet
Språklova stiller krav til klart og korrekt språk tilpasset målgruppen for offentlige organer. Språkrådet presiserer samtidig at klarspråkskravet ikke i seg selv innebærer plikt til å bytte ut norsk med andre språk.
Det betyr at flerspråklig kommunikasjon må styres med presisjon. Noen ganger er norsk tekst i klart språk riktig tiltak. Andre ganger trengs oversatt informasjon, samisk språktilbud, tilrettelagt kommunikasjon, tolk eller profesjonell oversettelse. Valget bør ikke overlates til tilfeldige verktøyvalg i en hektisk arbeidshverdag.
Hva bør avgjøres før et språkverktøy brukes?
Nav-saken viser at styringen må skje før teksten limes inn eller lastes opp. Den ansatte bør ikke måtte improvisere etter at dokumentet allerede er sendt til et verktøy. Før behandlingen starter, bør det være avklart hvilken rute teksten skal følge.
Maskinoversettelse i en godkjent løsning. Denne ruten kan brukes når løsningen er vurdert og godkjent for den aktuelle dokumenttypen og de aktuelle opplysningene, og nødvendige avtaler, innstillinger, tilgangsregler og slettetider er på plass. Behovet for menneskelig kontroll må vurderes ut fra formålet og konsekvensene av feil.
Fjerning av identifiserende opplysninger før behandling. Dersom oppgaven kan løses uten navn, fødselsnummer eller andre identifiserende opplysninger, bør disse fjernes eller erstattes før teksten behandles. Det kan redusere risikoen, men virksomheten må fortsatt vurdere om innholdet kan knyttes til en person.
Profesjonell oversetter. En profesjonell oversetter bør brukes, eller inngå i kvalitetssikringen, når teksten krever høy språklig og faglig presisjon. Det gjelder særlig vedtak, rettigheter, plikter, frister og annen kommunikasjon der en betydningsendring kan få konsekvenser.
Kvalifisert tolk. Når behovet gjelder muntlig eller tegnspråklig kommunikasjon, må virksomheten vurdere om det foreligger plikt til å bruke tolk. Maskinoversettelse av en samtale erstatter ikke kvalifisert tolk når tolkeloven gjelder.
Passer ingen godkjent rute, bør teksten ikke legges inn i et tilfeldig nettverktøy. Saken må løftes til riktig fagmiljø, for eksempel tjenesteeier, personvernombud, sikkerhetsmiljø eller ansvarlig for språk- og tolketjenester.
Bedre ruting, ikke teknologiforbud
Senere utvikling i Nav illustrerer nettopp dette skillet. I juli 2026 omtalte Juristen hvordan Nav utforsker bruk av KI blant annet til referater fra brukermøter. Arbeidet skjer i en tverrfaglig gruppe der juridiske, teknologiske og personvernmessige spørsmål vurderes før løsninger tas i bruk. Oversettelse er også nevnt som et mulig framtidig bruksområde.
Dette er en annen problemstilling enn hendelsen med åpne oversettelsesverktøy. Sammen illustrerer de likevel det samme styringsprinsippet: spørsmålet er ikke bare om en teknologi kan brukes, men under hvilke betingelser, til hvilke oppgaver og med hvilke kontrollmekanismer.
Nav-saken bør derfor ikke leses som et argument mot digital oversettelse. Den viser hvorfor virksomheten må bestemme behandlingsruten før tekst deles med et verktøy eller en ekstern språkressurs.
ClearNord hjelper offentlige og regulerte virksomheter med å gjøre slike vurderinger om til konkrete rutingregler for språkflyter: hva som kan behandles i en godkjent maskinoversettelsesløsning, hvilke opplysninger som må fjernes først, når en profesjonell oversetter skal brukes, og når kommunikasjonen må rutes til kvalifisert tolk. Vi bidrar også med krav til menneskelig kontroll og dokumentasjon som kan følges opp i internkontrollen.
Arbeidet erstatter ikke juridiske vurderinger, personvernombud eller kvalifiserte tolker når tolking kreves. Målet er å gjøre det enklere for ansatte å velge riktig rute før teksten lastes opp, deles eller sendes videre.
Når oversettelse inngår i saksbehandling, veiledning eller innbyggerkommunikasjon, er den ikke en uformell snarvei. Den er en del av tjenesten, og derfor også en del av ansvaret.
