GDPR er EUs personvernforordning, som regulerer hvordan virksomheter samler inn, bruker og lagrer opplysninger om personer. Norge er med i EØS, og GDPR gjelder her gjennom personopplysningsloven fra 2018. Reglene gjelder alle som behandler personopplysninger: bedrifter, legekontorer, advokatfirmaer, kommuner og foreninger. Kjernen er enkel: du trenger et lovlig grunnlag, du skal bare bruke opplysningene til det formålet du oppga, og personen har rettigheter. Men GDPR beskytter bare det som kan knyttes til en person.
Et eksempel fra hverdagen
Regnskapsbyrået Eksempel Regnskap AS (et oppdiktet eksempel) har 40 kunder. Byrået lagrer navn, fødselsnummer, lønnsslipper og bankopplysninger. Alt dette er personopplysninger, og GDPR bestemmer hvordan byrået kan bruke dem.
En dag vil en medarbeider laste opp en kundes lønnsoversikt til et KI-verktøy for å lage en oppsummering. Da må byrået spørre: har vi grunnlag for å dele dette? Har vi en databehandleravtale med leverandøren? Hvor havner opplysningene? GDPR gir svar på de to første spørsmålene. Det tredje er der det blir interessant, og vi kommer tilbake til det.
GDPR i praksis: hva forordningen krever
Hva er en personopplysning? Alle opplysninger som kan knyttes til en identifiserbar person: navn, fødselsnummer, e-postadresse, IP-adresse, bilde, men også en kombinasjon av opplysninger som sammen peker på én person.
De viktigste reglene:
- Lovlig grunnlag. Du trenger ett av seks grunnlag i artikkel 6, for eksempel samtykke, avtale, rettslig forpliktelse eller berettiget interesse.
- Prinsippene i artikkel 5. Opplysningene skal brukes til bestemte formål, begrenses til det som er nødvendig, være riktige, ikke lagres lenger enn nødvendig og sikres.
- Særlige kategorier. Helseopplysninger, genetiske og biometriske opplysninger, religion, seksuell orientering, politisk syn, fagforeningsmedlemskap og etnisk opprinnelse er i utgangspunktet forbudt å behandle, med mindre et unntak i artikkel 9 gjelder.
- Den registrertes rettigheter. Rett til innsyn, retting, sletting, dataportabilitet og til å protestere.
- Databehandlere. Bruker du en leverandør som behandler opplysninger for deg, trenger du en databehandleravtale (artikkel 28).
- Avvik. Brudd på personopplysningssikkerheten skal som hovedregel meldes til Datatilsynet innen 72 timer.
Hvem fører tilsyn? I Norge er det Datatilsynet. Vedtak kan påklages til Personvernnemnda.
Hva er sanksjonen? Overtredelsesgebyr på inntil 20 millioner euro eller 4 prosent av den globale årsomsetningen, avhengig av hva som er høyest.
Vil du se hvordan dette slår ut for KI-verktøy, har vi samlet kravene i GDPR-kompatibel KI.
Dette er generell informasjon, ikke juridisk rådgivning.
Hva GDPR ikke beskytter
GDPR er sterk, men den har en klar grense: den gjelder bare personopplysninger.
- Anonyme opplysninger faller helt utenfor. Fortalepunkt 26 sier at personvernreglene ikke gjelder for anonyme opplysninger, altså opplysninger som ikke lenger kan knyttes til en identifiserbar person. Fjern navnet, fødselsnummeret og alt annet som peker på personen, og det som står igjen kan lovlig samles, lisensieres og selges.
- Pseudonymisert er fortsatt beskyttet. Bytter du bare navnet ut med en kode, er det fortsatt personopplysninger. Grensen mellom de to forklarer vi i Pseudonymisering og anonymisering. I 2026 ila det franske datatilsynet et helsedataselskap et gebyr på 5 millioner euro for flere brudd. Selskapet hevdet at reseptdataene var anonyme, men tilsynet kom til at de bare var pseudonymiserte.
- Du kan ha gitt bort retten selv. Mange vilkår gir leverandøren en lisens til å bruke det du laster opp til egne formål. Med en lisens og en anonymisering er alt lovlig.
- Anonymt er sjelden så anonymt. En studie i Nature Communications (2019) viste at 99,98 prosent av amerikanerne kunne reidentifiseres ut fra 15 egenskaper. KI gjør slik sammenstilling billig.
For Eksempel Regnskap betyr det: selv om GDPR følges til punkt og prikke, kan lønnsoversikten, uten navn, ende som en rad i et datasett. Mekanismen vises steg for steg på Data Trail, og kildene står på Lovlig å selge.
Hva dette betyr når du bruker KI-verktøy
Sjekkliste du kan bruke på ethvert verktøy:
- Databehandleravtale: finnes det en avtale etter artikkel 28, og er leverandøren bare databehandler?
- Lisens: tar vilkårene en rett til å gjenbruke innholdet ditt, også anonymisert?
- Trening: brukes det du skriver til å trene modeller?
- Lagring: hvor lagres data, og hvor lenge beholder KI-modellleverandørene det?
- Eierskifte: gjelder løftene også hvis selskapet blir kjøpt opp?
Wysor er laget for å svare ja på det som teller og nei på resten. Wysor er databehandler etter artikkel 28 og handler bare på dine instrukser. Vi tar ingen lisens til å gjenbruke innholdet ditt, trener aldri på det og selger det aldri, anonymisert eller ikke. Forpliktelsene står i kontrakten og binder også den som en gang måtte eie Wysor. Alt er kryptert under overføring og lagring, driftes i EU, og alle tilkoblede KI-modellleverandører kjører med null datalagring. I ett arbeidsområde bruker du GPT, Claude, Gemini og flere modeller.
Vanlige spørsmål
Hva er GDPR på norsk? GDPR står for General Data Protection Regulation og kalles på norsk personvernforordningen. Den gjelder i Norge gjennom personopplysningsloven, som trådte i kraft i juli 2018.
Gjelder GDPR i Norge når Norge ikke er med i EU? Ja. Forordningen er tatt inn i EØS-avtalen og gjort til norsk lov gjennom personopplysningsloven. Norske virksomheter har de samme pliktene som virksomheter i EU.
Hvem må følge GDPR? Alle virksomheter og organisasjoner som behandler personopplysninger, uansett størrelse. Rene private aktiviteter, som en privat adressebok, er unntatt.
Hva skjer hvis man bryter GDPR? Datatilsynet kan gi pålegg, forby behandling og ilegge overtredelsesgebyr på inntil 20 millioner euro eller 4 prosent av global årsomsetning. I tillegg kan de registrerte kreve erstatning.
Er det lov å bruke KI-verktøy etter GDPR? Ja, så lenge du har et lovlig grunnlag, en databehandleravtale med leverandøren og passende sikkerhet. Det GDPR ikke regulerer, er hva som skjer med data etter at de er anonymisert. Det må du sjekke i vilkårene.
Les mer
- GDPR-kompatibel KI: hva du bør kreve
- Hva er en databehandleravtale?
- Taushetsplikt forklart enkelt
- Pseudonymisering og anonymisering
- Lovlig å selge: kildene bak
Har du spørsmål om GDPR og Wysor? Skriv til [email protected] eller bruk kontaktskjemaet i appen.
