Nav-saken handler ikke bare om ett verktøy
Nav meldte 13. mars 2026 at etaten kan ha brukt digitale oversettelsesverktøy for å oversette dokumenter sendt inn på andre språk enn norsk i forbindelse med søknad om ytelser eller tjenester. Det samme kunne gjelde henvendelser på Nav-kontor på andre språk enn norsk.
Det mest sentrale i kunngjøringen er ikke at oversettelse ble brukt. Offentlig sektor må ofte forstå dokumenter, forklaringer og henvendelser på flere språk. Det sentrale er at Nav opplyste at verktøyene var offentlig tilgjengelige på internett, og at Nav ikke hadde inngått avtale om bruk av slike verktøy som sikret personvernet, altså databehandleravtale. Nav regnet dette som et brudd på personvernregelverket og varslet Datatilsynet.
For kommuner, direktorater, fylkeskommuner, helse- og velferdstjenester og andre publikumsrettede virksomheter er dette en viktig læringssak. Den viser hvordan en praktisk språkoppgave raskt kan bli personopplysningsbehandling, leverandørstyring, informasjonssikkerhet og internkontroll.
Hvorfor oversettelse ofte er personvernarbeid
Når en innbygger sender dokumenter til en offentlig virksomhet, kan teksten inneholde navn, fødselsnummer, helseopplysninger, familieforhold, økonomi, oppholdsstatus, arbeidsforhold eller andre opplysninger som kan være beskyttelsesverdige. Risikoen ligger ikke bare i sluttresultatet, men i hele arbeidsflyten: opplasting, liming inn tekst, mellomlagring, leverandørens vilkår, eventuell modelltrening, underleverandører, tilgang, logging og sletting.
Datatilsynet forklarer at et brudd på personopplysningssikkerheten kan være utilsiktet eller ulovlig tilgang, spredning, tap, endring eller sletting av personopplysninger. Brudd kan gjelde konfidensialitet, integritet eller tilgjengelighet.
I Nav-saken er det særlig konfidensialitetsrisikoen som er lett å forstå. Dersom dokumentinnhold legges inn i et offentlig nettverktøy uten nødvendig avtale, styring og dokumentasjon, kan virksomheten miste kontroll over hvor opplysningene behandles, hva leverandøren kan gjøre med dem, og hvem som kan få tilgang.
Databehandleravtalen er ikke bare en formalitet
Datatilsynet beskriver databehandleravtalen som reguleringen av forholdet mellom behandlingsansvarlig virksomhet og databehandler. Avtalen skal sikre at personopplysninger behandles i samsvar med regelverket og sette en klar ramme for hvordan databehandleren kan behandle opplysningene.
Dette er en bindende personvernplikt der en leverandør behandler personopplysninger på vegne av virksomheten. Det er ikke nok at et verktøy er praktisk, kjent, gratis, europeisk eller teknisk godt. Virksomheten må vite hvilken rolle leverandøren har, hvilke opplysninger som behandles, hva formålet er, hvilke instrukser som gjelder, hvordan data sikres, om underleverandører brukes, hvor data lagres, hvordan sletting skjer, og hvordan avvik håndteres.
Dette betyr ikke at digitale oversettelsesverktøy aldri kan brukes. Nav opplyste selv at etaten fortsatt kan ha behov for digital oversettelse, men at de nå bruker verktøy fra leverandører de har avtale med. Poenget er styring, ikke teknologiforbud.
Skygge-KI og uautorisert bruk av språkverktøy
Virksomheter bør skille mellom verktøy som er anskaffet, vurdert og konfigurert sentralt, og verktøy ansatte tar i bruk på eget initiativ. Et kunnskapsgrunnlag utarbeidet for Digitaliserings- og forvaltningsdepartementet viser at flere informanter antok at bruken av åpne KI-verktøy var mer omfattende enn ledelsen hadde oversikt over. Rapporten beskriver blant annet bruk av ChatGPT, DALL-E og DeepSeek uten sentrale initiativer som støttet eller la til rette for bruken.
Slik bruk omtales ofte som skygge-KI. Utfordringen er ikke bare at verktøyet mangler formell godkjenning. Virksomheten kan også mangle oversikt over hvilke opplysninger som behandles, hvilke leverandørvilkår som gjelder, og hvordan resultatet kvalitetssikres.
I praksis kan skygge-KI oppstå av gode grunner. En saksbehandler vil forstå et dokument raskt. En veileder vil hjelpe en innbygger. En kommunikasjonsrådgiver vil kvalitetssikre en tekst. Problemet er at gode intensjoner ikke erstatter behandlingsgrunnlag, databehandleravtale, risikovurdering, opplæring og dokumenterte rutiner.
Digdirs Prosjektveiviser anbefaler at virksomheter etablerer felles kjøreregler som angir hvilke verktøy som kan brukes, hvilken informasjon som kan deles, og hvordan KI-generert innhold skal kontrolleres. Digdir skriver også at personopplysninger, taushetsbelagt informasjon, sikkerhetsgradert informasjon og forretningshemmeligheter ikke skal legges inn i åpne KI-verktøy uten at bruken er avklart og nødvendige risiko- og juridiske vurderinger er gjennomført.
ClearNords praktiske anbefaling er at oversettelsesverktøy bør få egne bruksregler i virksomhetens KI- og språkstyring. Det bør ikke bare stå «ikke lim inn sensitive opplysninger» i en generell KI-policy. Virksomheten bør ha konkrete språkflyter: hva kan maskinoversettes, hva skal anonymiseres først, hva krever godkjent leverandør, hva krever menneskelig kontroll, og hva må rutes til tolk eller profesjonell oversetter.
Oversettelse er ikke det samme som tolking
Nav skriver at etaten kan bruke profesjonelle oversettere og tolker. Det er et viktig skille.
Tolkeloven gjelder bruk av tolk i offentlig sektor, altså muntlig eller tegnspråklig tolking i kommunikasjon. IMDi forklarer at offentlige organer skal bruke tolk når det følger av lov, eller når det er nødvendig for å ivareta rettssikkerhet eller yte forsvarlig hjelp og tjeneste. Når det foreligger plikt til å bruke tolk, er hovedregelen etter § 7 at det skal brukes kvalifisert tolk. Fram til 31. desember 2026 gjelder det imidlertid en midlertidig dispensasjon fra kvalifikasjonskravet. IMDi anbefaler at offentlige organer bruker kvalifisert tolk også i dispensasjonsperioden.
Vanlig dokumentoversettelse er ikke det samme som tolking etter tolkeloven. Likevel henger feltene sammen operativt. En virksomhet må kunne avgjøre om behovet gjelder å forstå et innsendt dokument, oversette et vedtak, gi generell flerspråklig informasjon, gjennomføre en samtale med en innbygger, eller sikre forsvarlig saksbehandling i en konkret sak. Feil kanal kan gi både personvernrisiko og rettssikkerhetsrisiko.
Språkplikt, klarspråk og flerspråklig tilgjengelighet
Språklova stiller krav til klart og korrekt språk tilpasset målgruppen for offentlige organer. Språkrådet presiserer samtidig at klarspråkskravet ikke i seg selv innebærer plikt til å bytte ut norsk med andre språk.
Det betyr at flerspråklig kommunikasjon må styres med presisjon. Noen ganger er norsk tekst i klart språk riktig tiltak. Andre ganger trengs oversatt informasjon, samisk språktilbud, tilrettelagt kommunikasjon, tolk eller profesjonell oversettelse. Valget bør ikke overlates til tilfeldige verktøyvalg i en hektisk arbeidshverdag.
Hva bør virksomheter gjøre nå?
Start med å kartlegge faktisk bruk. Ikke spør bare hvilke KI-verktøy som er anskaffet. Spør hvilke oversettelsesverktøy, skriveverktøy, nettjenester, nettlesertillegg og KI-assistenter ansatte faktisk bruker i dokumentarbeid, publisering, e-post, veiledning og saksforberedelse.
Lag deretter en enkel risikomatrise for språkflyter. Skill mellom offentlig informasjon, intern tekst, personopplysninger, særlige kategorier av personopplysninger, taushetsbelagt informasjon og dokumenter som inngår i enkeltvedtak eller rettighetsutøvelse.
Godkjenn verktøy etter formål. Et verktøy kan være akseptabelt for generell klarspråksstøtte, men uegnet for dokumenter med personopplysninger. Et annet verktøy kan være godkjent for oversettelse med databehandleravtale, men bare når bestemte innstillinger, tilgangsroller og slettetider er aktivert.
Dokumenter leverandørforhold. Avklar behandlingsansvar, eventuell databehandlerrolle, databehandleravtale, underleverandører, overføringer, lagring, sletting, sikkerhetstiltak, avvikshåndtering og kontrollrett. Hvilke krav som gjelder, avhenger blant annet av leverandørens rolle, dataflyten og den konkrete bruken. Når verktøyet behandler personopplysninger, er dette personvernarbeid og ikke bare innkjøpsadministrasjon.
Etabler rutingregler. Ansatte bør vite når de kan bruke maskinoversettelse, når tekst må anonymiseres, når profesjonell oversetter skal brukes, når tolk skal bestilles, og når jurist, personvernombud eller sikkerhetsmiljø må involveres.
Gi kort og praktisk opplæring. Regjeringens praktiske guide om KI-assistenter anbefaler tilgjengelig, relevant og rollebasert opplæring. Ansatte bør forstå hvordan løsningen fungerer, hva den kan og ikke kan brukes til, og hvilken informasjon som ikke skal deles. Opplæringen bør bruke realistiske eksempler fra saksbehandling, Nav-lignende dokumentflyt, publisering og innbyggerdialog.
Vurder logging og sporbarhet. Regjeringens praktiske guide peker på at logging av interaksjoner med KI-assistenter kan bidra til sporbarhet, avdekking av feil og håndtering av misbruk, særlig i sensitive sammenhenger. Samtidig kan loggene inneholde personopplysninger og brukes til å kartlegge ansattes eller brukeres atferd. Virksomheten bør derfor fastsette hva som skal logges, hvorfor det er nødvendig, hvem som skal ha tilgang, hvor lenge loggene skal oppbevares, og hvilket behandlingsgrunnlag som gjelder. All KI-bruk bør ikke logges ukritisk.
En moden reaksjon er bedre styring
Nav-saken bør ikke leses som et argument mot digital oversettelse. Den bør leses som et argument for styrt, dokumentert og formålsavklart språkbruk i offentlig sektor.
ClearNord bistår offentlige og regulerte virksomheter med å kartlegge hvor KI- og språkverktøy berører oversettelse, dokumentarbeid og flerspråklig kommunikasjon. Vi bidrar med regler for godkjent, begrenset og ikke tillatt bruk, ruting til riktig språkressurs, krav til menneskelig kontroll og dokumentasjon som kan følges opp i internkontrollen. Rollen er ikke å erstatte juridiske vurderinger, personvernombud eller kvalifiserte tolker der tolking kreves, men å gjøre de konkrete språkflytene styrbare, dokumenterbare og enklere å følge opp.
Når offentlig sektor bruker KI og språkverktøy riktig, kan det gi bedre tilgjengelighet, raskere forståelse og mer likeverdige tjenester. Men det krever at oversettelse ikke behandles som en uformell snarvei. Det er en del av tjenesten, og derfor også en del av ansvaret.
