KI og personvern 2025: Slik bruker du LLM-er i samsvar med GDPR – og får kontroll på skygge-KI i bedriften

Det er stor sannsynlighet for at noen i bedriften din allerede bruker KI, helt uten retningslinjer, godkjenning eller databehandleravtale.

Markedsavdelingen finpusser tekster med ChatGPT, salgsavdelingen legger kundedata inn i prompter, og utviklere får kode kontrollert av KI-verktøy. Godt ment, men sett i lys av GDPR, EUs KI-forordning og bedriftens regelverksetterlevelse er dette en tikkende bombe: skygge-KI.

Samtidig ville det vært absurd å gi avkall på produktivitetsgevinstene fra moderne store språkmodeller (LLM-er) . Kunsten er å forene KI og personvern med tydelige rammer som gir rom for innovasjon og begrenser risikoen.

Som sertifisert KI-ekspert med sertifikat fra MMAI® Business School, Academy4AI, og kommende medlem av KI Bundesverband bistår jeg bedrifter nettopp i skjæringspunktet mellom teknologi, juss og styring. Og som WooCommerce-spesialist og WordPress-utvikler for mellomstore bedrifter og industri kjenner jeg den praktiske siden godt fra prosjekter.

I denne artikkelen ser vi på

• hvordan GDPR og EUs KI-forordning (AI Act) virker sammen,
• hvilke risikoer ved bruk av ChatGPT, Claude, Gemini og lignende som faktisk er relevante,
• hvilke praktiske regler for personvernvennlig KI-bruk du bør innføre,
• og hvorfor en plattform som InnoGPT er et interessant alternativ når du vil gi teamene dine et KI-miljø som er i samsvar med GDPR .

I denne artikkelen deler jeg mitt faglige perspektiv som sertifisert KI-ekspert. Artikkelen erstatter imidlertid ikke individuell juridisk rådgivning. Hvis du trenger en bindende personvernrettslig vurdering, anbefaler jeg å involvere en kvalifisert advokat eller et personvernombud.

1. De bindende rettslige rammene i 2025: GDPR og EUs KI-forordning (AI Act)

1.1 GDPR er fortsatt grunnlaget for alle personopplysninger

Så snart du legger personopplysninger inn i KI-systemer, enten det er til trening, besvarelse av spørsmål eller analyse, gjelder GDPR. Du må blant annet

• ha et behandlingsgrunnlag etter GDPR artikkel 6,
• sikre åpenhet overfor de registrerte,
• overholde prinsippet om dataminimering,
• gjennomføre tekniske og organisatoriske tiltak,
• og ved behov foreta vurderinger av personvernkonsekvenser (DPIA) . (Handelsblatt Live)

Den tyske personvernkonferansen DSK publiserte i 2024 en omfattende veiledning om «KI og personvern» . Den gjør det klart at den som velger og bruker KI-verktøy, har ansvar for at valget er i samsvar med personvernreglene, inkludert leverandørvalg, dataflyt og konfigurasjon. (Datenschutzkonferenz)

Den EDPB (European Data Protection Board) , har gjennom sin ChatGPT-arbeidsgruppe også tatt opp konkrete spørsmål om lovligheten av nettskraping, åpenhet og krav til riktighet ved bruk av LLM-er. (EDPB)

Kort sagt: Selv om KI er nytt, er det ikke et lovtomt rom når det gjelder personvern.

1.2 EUs KI-forordning (AI Act): Risikobasert og med vekt på styring

Med EUs KI-forordning, forordning (EU) 2024/1689, vedtok EU i 2024 verdens første omfattende rettslige rammeverk for KI-systemer. AI Act har vært i kraft siden 1. august 2024 og bygger på en risikobasert tilnærming, fra minimal og begrenset risiko til høyrisiko-KI og forbudt praksis. (EUR-Lex)

Viktige punkter:

• Enkelte forbud mot bestemte former for KI-bruk , for eksempel visse typer manipulerende systemer, og krav til KI-kompetanse, eller AI Literacy, har gjeldt siden 2. februar 2025. (Künstliche Intelligenz Gesetz EU)
• De fleste pliktene, særlig for høyrisiko-KI , får gradvis anvendelse frem mot 2. august 2026 , med ytterligere presiseringer og veiledninger fra EU-kommisjonen og det nye European AI Office. (AI Act Service Desk)
• AI Act innfører blant annet krav til risikostyring, datakvalitet, logging, teknisk dokumentasjon, åpenhet, menneskelig tilsyn og styringsstrukturer. (EUR-Lex)

EU diskuterer for tiden å utsette enkelte plikter for høyrisiko-KI til 2027for å gi bedriftene mer tid til gjennomføringen. Per i dag, 11. desember 2025, er dette et politisk forslag som fortsatt må gjennom lovgivningsprosessen. (Reuters)

Viktig for deg:
GDPR gjelder fortsatt fullt ut, og AI Act supplerer den. Som tommelfingerregel:

«AI Act regulerer hva et KI-system kan få gjøre, mens GDPR regulerer hvordan du kan behandle personopplysninger.» (Handelsblatt Live)

1.3 KI-kompetanse og styringsplikter: Hvorfor bedrifter må kunne dokumentere KI-kompetanse fra 2025

EUs KI-forordning innfører for første gang et tydelig rammeverk for bedriftenes organisatoriske ansvarnår de bruker KI-systemer, uavhengig av om de utvikler egne modeller eller bruker eksterne verktøy.

To punkter er særlig viktige fra 2025:

Plikt til KI-kompetanse (artikkel 4 i AI Act) – gjelder fra februar 2025

Bedrifter som tilbyr eller bruker KI-systemer, «providers» og særlig «deployers», må sørge for at medarbeiderne har et tilstrekkelig nivå av KI-kompetanse . I praksis betyr det:

• Medarbeidere må forstå hvordan KI fungerer i hovedtrekk, hvor risikoene ligger, og hvordan de kan arbeide trygt med den.
• Bedrifter må tilby opplæring, bevisstgjøring og interne retningslinjer.
• Tiltakene må dokumenteres slik at de kan påvises som ledd i ansvarlighetsplikten.

Med andre ord:

Siden februar 2025 henger «å bruke KI» uløselig sammen med «å dokumentere KI-kompetanse».

KI-styring – relevant for KI til allmenne formål fra august 2025

Da reglene om KI til allmenne formål, General Purpose AI (GPAI), begynte å gjelde i august 2025, kom ytterligere organisatoriske krav, særlig for tilbydere, men indirekte også for bedrifter som bruker slike systemer i driften:

• strukturert dokumentasjon av modellene som brukes,
• overvåking og logging av bruken,
• prosesser for håndtering av hendelser, risiko og klager,
• tydelige roller og ansvarsområder i KI-bruken.

Selv om hele settet av plikter for høyrisiko-KI først gjelder i 2026/2027, er én ting klart:
Uten et KI-styringskonsept – altså dokumenterte ansvarsområder, retningslinjer, prosesser og opplæring – blir det stadig vanskeligere for bedrifter å troverdig dokumentere AI-Act- og GDPR-kompatibel bruk.

2. Hva tilsynsmyndighetene konkret sier om KI og LLM-er

La oss se kort på tre sentrale kilder for å gjøre dette mer konkret:

1. DSKs veiledning «KI og personvern» (2024) – gir bedrifter og offentlige etater kriterier for valg og bruk av KI-systemer: formålsbegrensning, behandlingsgrunnlag, dataminimering, åpenhet, databehandling på oppdrag og tekniske og organisatoriske tiltak. (Datenschutzkonferenz)
2. EDPBs rapport fra ChatGPT-arbeidsgruppen (mai 2024) – ser blant annet på
   • hvordan trening basert på nettskraping av personopplysninger skal vurderes rettslig,
   • hvilke plikter til åpenhet og informasjon som gjelder overfor brukerne,
   • hvilke krav som stilles til riktighet og rettferdighet i LLM-svar. (EDPB)
3. Nasjonale informasjonsark, for eksempel fra HWR Berlin eller personvernombud – viser konkret hvilke data som oppstår ved bruk av generativ KI, og hvordan bruken kan utformes personvernvennlig, for eksempel uten direkte identifikatorer, med pseudonymisering og uten sensitive data i fritt tilgjengelige verktøy. (Datenschutz HWR Berlin)

Budskapet er stort sett det samme:

• Grunnprinsipp: Legg så få personopplysninger som mulig inn i KI-systemer.
• Bedrifter trenger tydelige reglerfor hvilke verktøy som kan brukes, og hvordan.
• «Bare prøve det raskt» er ikke et behandlingsgrunnlag.

3. Typiske risikoer: Slik oppstår skygge-KI i bedriften

Dette er situasjoner jeg stadig ser:

• Markedsavdelingen laster kundedata, for eksempel en CRM-eksport, inn i en vilkårlig KI-nettapp for å «lage segmenter raskt».
• HR lar ChatGPT vurdere arbeidsavtaler eller søknader, med fullstendige personopplysninger.
• Salgsavdelingen kopierer hele e-posttråder med personopplysninger inn i LLM-er for å formulere «bedre svar».
• Fagavdelinger bruker gratis LLM-verktøy uten bedriftskonto, uten databehandleravtale og uten å vite hvor dataene behandles.

Sett fra personvernsiden oppstår flere problemer samtidig:

• uavklarte roller og ansvarsområder , som behandlingsansvarlig og databehandler,
• mulige overføringer til tredjeland , for eksempel USA,
• uklarhet om lagring og bruk av data til trening,
• manglende eller utilstrekkelig informasjon til de registrerte.

Personvernmyndighetene har de siste månedene rettet økt oppmerksomhet mot nettopp slike tilfeller, helt frem til kortvarige begrensninger og undersøkelser hos enkelte leverandører. (StreamLex)

4. Ti grunnregler for personvernvennlig bruk av LLM-er, alene og i team

Enten du er selvstendig næringsdrivende eller arbeider med IT i en mellomstor bedrift, er disse reglene nyttige i praksis for å bruke LLM-er på en GDPR-vennlig måte :

1. Ingen sensitive personopplysninger i forbrukerkontoer
   Helseopplysninger, særlige kategorier etter GDPR artikkel 9, fortrolig informasjon om medarbeidere, interne avtaler og lignende hører ikke hjemme i fritt tilgjengelige KI-grensesnitt. (Datenschutz HWR Berlin)
2. Pseudonymiser eller anonymiser der det er mulig
   I stedet for «Max Mustermann, IBAN, prosjekt XY hos kunde Z», bruk heller «kunde A, budsjett B, prosjekt innen maskinindustrien, eksportland D».
3. En tydelig verktøystrategi: Skill privat bruk fra jobb
   Unngå «jeg bruker bare min private ChatGPT-konto». Definer godkjente verktøy, og blokker om nødvendig problematiske domener i bedriftens proxy. (Landesdatenbank NRW)
4. Lag bedriftens egne KI-retningslinjer («AI Policy»)
   Kort, forståelig og praktisk: Hvilke verktøy er tillatt? Hvilke data kan legges inn? Hvem svarer på spørsmål? KI-retningslinjer er ikke lenger «kjekt å ha», men et sentralt element i KI-styringen.
5. Avklar behandlingsgrunnlaget
   I bedriften vil dere ofte bygge på berettigede interesser, GDPR artikkel 6 nr. 1 bokstav f, oppfyllelse av avtaler eller eventuelt samtykke. Det er viktig med ryddig dokumentasjon i protokollen over behandlingsaktiviteter. (Datenschutzkonferenz)
6. Vurder behovet for DPIA, særlig i sensitive situasjoner
   Når KI-systemer griper sterkt inn i forretningsprosesser eller inneholder profilering, blir det ofte obligatorisk med en vurdering av personvernkonsekvenser . (Datenschutzkonferenz)
7. Loggfør og gjør bruken etterprøvbar
   Hvem bruker hvilket system til hva? Logging handler om både IT-sikkerhet og styring, og passer godt med den dokumentasjonsorienterte tilnærmingen i AI Act. (EUR-Lex)
8. Velg modeller og leverandører bevisst
   Undersøk hosting i EU/EØS, databehandleravtale, lagrings- og treningspraksis, åpenhet og tekniske sikkerhetsfunksjoner. Enkelte leverandører markedsfører nå uttrykkelig «Zero Retention» og «ingen trening på kundedata». (ASCOMP)
9. Opplæring av ansatte – også rettslig forventet siden februar 2025
   Korte kurs, demonstrasjoner og små workshops om konkrete bruksområder skal gi forståelse for både mulighetene og grensene.
   Siden februar 2025 krever EUs KI-forordning, EU AI Act, uttrykkelig at bedrifter sikrer et tilstrekkelig nivå av KI-kompetanse, eller AI Literacy. Opplæring, interne retningslinjer og dokumentert deltakelse blir dermed i praksis en forpliktende del av KI-etterlevelsen, på linje med opplæring i personvern eller informasjonssikkerhet.
10. Knytt KI og personvern til den eksisterende nett- og SEO-strategien
    Den som allerede arbeider ryddig med teknisk SEO, ytelse og strukturert datavedlikehold , har et godt grunnlag for ryddige KI-integrasjoner. Kjenner du forresten veiledningen min til teknisk SEO og artikkelen min om de viktigste SEO-trendene i 2024 ? Synlighet, tillit og teknologi som er i samsvar med loven, henger sammen. (isla-stud.io)

5. Hvorfor forbrukerkontoer hos ChatGPT og lignende er problematiske for bedrifter

Selv med forbedringer i personverninnstillingene er klassiske forbrukerkontoer, enten gratis- eller basiskontoer, fortsatt problematiske i mange bedriftssammenhenger:

• Dataflyt til tredjeland og komplekse kjeder av underdatabehandlere.
• Begrensede eller manglende databehandleravtaler,
• Uklar informasjon til de registrerte.
• I noen tilfeller brukes inndata til modelltrening , avhengig av leverandør og abonnement, selv om mange leverandører nå tilbyr reservasjon eller bedriftsalternativer. (eRecht24)

Det betyr ikke at du aldri kan bruke slike verktøy, men

• i bedriftssammenheng krever forsvarlig bruk ofte omfattende avklaringer, avtalegjennomgang og tilleggstiltak.
• Særlig for bedrifter lønner det seg derfor ofte å gå over til dedikerte KI-plattformersom uttrykkelig er laget for bruk i samsvar med GDPR.

6. Personvernkompatible KI-plattformer: InnoGPT og Langdock

Det finnes nå plattformer som samler ulike LLM-er i et EU-hostet miljø innrettet mot GDPR . To av dem er InnoGPT og Langdock.

6.1 Hva kjennetegner InnoGPT?

Offentlig tilgjengelige beskrivelser gir kort oppsummert dette bildet:

• InnoGPT samler ledende språkmodeller , som GPT-4, GPT-5, Gemini, Claude og Mistral, i en plattform som særlig retter seg mot tyske og europeiske bedrifter . (sysbus.eu)
• Plattformen satser på hosting i Europa og markedsfører en avtalefestet «Zero Retention Policy», dvs. at kundens inndata ikke brukes til å trene KI-modellene og behandles utelukkende på europeiske servere – inndataene havner altså ikke hos den opprinnelige tredjepartsleverandøren. (ASCOMP)
• Den retter seg mot typiske bedriftsbehov som teamfunksjoner, arbeidsflyter og integrasjon i eksisterende prosesser.

Hvis du vil se nærmere på dette, kan du bruke lenken nedenfor:

Bli kjent med InnoGPT (partnerlenke)

For bedrifter som vil erstatte skygge-KI og samtidig gi teamene moderne verktøy, er nettopp denne tilnærmingen interessant:

Teamene dine arbeider fortsatt med sterke modeller, men i et kontrollert, dokumenterbart og GDPR-vennlig miljø.

7. Praktiske eksempler: Hvordan mellomstore bedrifter og industrien kan bruke InnoGPT

Her er noen situasjoner jeg kjenner fra prosjekter og samtaler med kunder:

1. Teknisk salg og tilbudsarbeid
   • Fagtekster, produktbeskrivelser og tilbud klargjøres med InnoGPT.
   • Interne dokumenter kan kobles inn ved hjelp av gjenfinningsteknikker uten at bedriften mister kontroll over dataene. (arXiv)
2. Kunnskapsforvaltning og dokumentasjon
   • Interne retningslinjer, håndbøker og standardprosedyrer gjøres tilgjengelige for spørsmål og svar i et sikkert miljø.
   • Medarbeidere stiller spørsmål som «Hvilke kontrolltrinn gjelder for produktlinje X?». InnoGPT gir svar basert på interne dokumenter uten å sende dem til eksterne treningssystemer. (arXiv)
3. Markedsføring og innhold for B2B-nettsteder og nettbutikker
   • Det lages innholdsutkast til WooCommerce-butikker, produktsider og blogginnlegg , med etterfølgende faglig gjennomgang.
   • Lagring og behandling i Europa gjør dette langt enklere å innpasse i en eksisterende personvern- og etterlevelsesstrategi enn bruk av spredte forbrukerverktøy. (Capterra)

8. Styring og KI-strategi: Fra enkeltverktøy til bedriftsløsning

Hvis du ikke vil overlate bedriftens KI-bruk til tilfeldighetene, trenger du mer enn et verktøy:

1. Kartlegg situasjonen
   • Hvem bruker allerede hvilke KI-verktøy, og til hva?
   • Hvilke data går hvor?
2. Definer målbildet
   • Hvilke bruksområder skal støttes offisielt, for eksempel tekst, kode, undersøkelser eller møtenotater?
   • Hvordan passer KI inn i den eksisterende digital- og SEO-strategien ?
3. Samle verktøyene
   • I stedet for fem ulike KI-tjenester i det skjulte: én godkjent plattform, for eksempel InnoGPT, supplert med tydelig definerte spesialverktøy.
4. Forankre retningslinjer og prosesser
   • KI-policy, databehandleravtaler, protokoll over behandlingsaktiviteter og opplæring.
   • KI-retningslinjer, rollemodell og prosesser for eskalering og godkjenning.
5. Overvåking og løpende tilpasning
   • AI Act-implementering, nye retningslinjer fra tilsynsmyndigheter, tekniske videreutviklinger – styring er ikke et engangsprosjekt, men en løpende prosess. (AKEuropa)

Hvorfor dette er mer enn «god praksis»:
AI Act krever, trinnvis gjennom 2025–2027, et dokumentert styringssystem for bedrifter som bruker KI. Uten en internt forankret struktur for KI-styring med retningslinjer, opplæring og overvåking blir det på sikt svært vanskelig å dokumentere overfor tilsynsmyndigheter og forretningspartnere at KI-bruken er kontrollert, ansvarlig og i samsvar med regelverket.

9. Sjekkliste: Gjør bedriftens KI-bruk klar for GDPR og AI Act

Her er en kort sjekklistedu kan begynne med i dag:

1. Kartlegg bruken – Hvor i bedriften brukes KI allerede, og med hvilke verktøy, datatyper og prosesser?
2. Gjennomfør en risikovurdering – Hvilken bruk er uproblematisk, og hvilken berører sensitive data eller kjerneprosesser?
3. Kontroller behandlingsgrunnlag og avtaler – GDPR, databehandleravtaler, dataflyt og overføringer til tredjeland.
4. Definer en godkjent plattform – for eksempel InnoGPT som en sentral, GDPR-kompatibel KI-løsning for team
5. Vedta en KI-policy – forståelig og praktisk, med eksempler på hva man skal og ikke skal gjøre.
6. Opplæring og tilrettelegging – Ruste ansatte til å bruke KI målrettet, ansvarlig og effektivt – og dokumentere denne opplæringen (AI Literacy).
7. Dokumentasjon og overvåking – Ta tilnærmingen i AI Act og GDPR på alvor: dokumenter, vurder og juster. (EUR-Lex)

Kilder

1. Datenschutzkonferenz (DSK), veiledningen «KI og personvern» (06.05.2024) – Kriterier for valg og bruk av KI-verktøy i bedrifter og offentlige etater. (Datenschutzkonferenz)
2. European Data Protection Board (EDPB), «Report of the work undertaken by the ChatGPT Taskforce» (24.05.2024) – Første samordnede europeiske vurdering av ChatGPTs behandling av personopplysninger i lys av GDPR. (EDPB)
3. Informasjonsarket «Bruk av generativ KI og personvern» (høyskole/personvernombud, 04/2024) – Praktisk veiledning til bruk av generativ KI, særlig ChatGPT, fra et personvernperspektiv. (Datenschutz HWR Berlin)
4. eRecht24, «Kan ChatGPT brukes i samsvar med personvernreglene?» (2025) – Vurdering av personvernvennlig bruk av ChatGPT, med informasjon om bruk til trening og innstillinger. (eRecht24)
5. Regulation (EU) 2024/1689 – Artificial Intelligence Act (AI Act) – EUs offisielle rettslige rammeverk for KI, blant annet med en risikobasert tilnærming, styringsplikter og tidsplan for anvendelse. (EUR-Lex)
6. EU AI Act Service Desk & FPF Timeline – Oversikt over den trinnvise anvendelsen av AI Act frem til 2026/2027. (AI Act Service Desk)
7. Reuters og Le Monde (2025), rapporter om EU-kommisjonens forslag om å utsette høyrisikoplikter etter AI Act – Informasjon om planlagt utsettelse av bestemte regler til 2027. (Reuters)
8. Handelsblatt Live, «KI og personvern: Slik bruker du KI-systemer i samsvar med GDPR» (2025) – Vurdering av samspillet mellom GDPR, den tyske personvernloven BDSG og AI Act i bedriftssammenheng. (Handelsblatt Live)
9. ASCOMP, sysbus.eu og Capterra – informasjon om InnoGPT som en GDPR-orientert KI-plattform med EU-hosting og Zero Retention-tilnærming. (ASCOMP, sysbus.eu, Capterra)
10. arXiv – fagartikler om gjenfinningsbaserte KI-verktøy og kunnskapsforvaltning i bedrifter. (arXiv)
11. AKEuropa – analyser og bakgrunnsrapporter om praktisk gjennomføring av AI Act i Europa. (AKEuropa)

Merk: Denne artikkelen gir faglig orientering om bruk av KI-systemer i samsvar med GDPR og AI Act. Den erstatter ikke juridisk rådgivning. For bindende vurderinger bør du innhente juridisk ekspertise.