Oppdatert tilstandsrapport om databeskyttelse og LLM bruk: Hva norske bedrifter bør vite om AI-verktøy og personvern i i 2026

Sist oppdatert: 25. mars 2026

Denne artikkelen ble opprinnelig publisert i mars 2025, basert på Vischer-rapporten «KI-Tools – wie es um den Schutz der Daten steht» (2024–2025). Vurderingene er nå oppdatert til mars 2026 med nye observasjoner fra Datatilsynet, regjeringens KI-strategi, EUs KI-forordning (AI Act) og nyere vilkår fra de største LLM-leverandørene.

Kort oppsummert: Mange av de juridiske problemene fra 2025 er fortsatt relevante, men noen leverandører har gjort signifikante forbedringer i DPA-modeller, EU-datalagring og håndtering av taushetspliktsdata. Samtidig har det regulatoriske landskapet endret seg vesentlig med innføringen av EUs KI-forordning, som etter planen trer i kraft i Norge sensommeren 2026.

1. Bakgrunn: Vischer-rapporten og dens relevans i 2026

Advokatfirmaet VISCHER i Sveits publiserte i 2024–2025 en grundig analyse av personvernvilkårene til de mest brukte AI-verktøyene. Deres vurderinger av ChatGPT, Microsoft Copilot og Google Gemini ble en viktig referanse for europeiske virksomheter – inkludert norske.

Kjernebudskapet fra Vischer-rapporten står seg:

• Forbrukerversjoner av ChatGPT, Copilot og Gemini mangler nødvendige databehandleravtaler (DPA) og er uegnet for bedriftsbruk.
• Enterprise-versjoner har varierende grad av compliance, og krever aktiv konfigurasjon.
• Taushetsplikt (helse, jus, finans) er fortsatt problematisk hos de fleste leverandører.

Men mye har skjedd på ett år. Her er hva som er nytt.

2. Nytt regulatorisk landskap i 2026

EUs KI-forordning (AI Act) kommer til Norge

Regjeringen har bekreftet at EUs KI-forordning skal innføres i Norge sensommeren 2026. Digitaliseringsdirektoratet (Digdir) etablerer «KI Norge» sammen med Nkom og Datatilsynet, som skal tilby felles veiledning og en regulatorisk sandkasse for kunstig intelligens.

Datatilsynet har i 2025–2026 utvidet sin veiledning om AI-bruk og personvern, og har signalisert at bruk av ikke-GDPR-kompatible LLM-verktøy kan regnes som uforholdsmessig behandling av personopplysninger – også for småbedrifter.

Innbyggernes bekymring

Innbyggerundersøkelsen 2026 viser at 59 prosent av de spurte oppgir å være i liten grad trygge på at personvernet ivaretas ved offentlig bruk av KI. Dette understreker behovet for at bedrifter tar personvern på alvor – ikke bare juridisk, men også for tillitens skyld.

3. Status for de viktigste AI-verktøyene per mars 2026

Oversiktstabell

ChatGPT (OpenAI)

Gratis/Plus: Fortsatt ingen DPA for individuelle brukere. Ikke egnet for sensitive personopplysninger eller taushetspliktsdata. Bruk kun for offentlig tilgjengelige data eller simulering.

Enterprise/Business og API: OpenAI tilbyr nå DPA og har introdusert EU-databehandling for Enterprise-, Business- og API-kunder. Data brukes ikke til modelltrening med mindre kunden eksplisitt velger det.

Likevel: DPA alene er ikke tilstrekkelig for helse-, juridiske eller finansielle data med streng taushetsplikt uten en egen risikovurdering (DPIA).

Microsoft Copilot for Microsoft 365

Microsoft har forbedret sine vilkår betydelig. Copilot for M365 har bred compliance-dekning, inkludert GDPR, ISO 27001, HIPAA og ISO 42001.

Men: I tidlig 2026 har organisasjoner reist alvorlige bekymringer om hvordan Copilot interagerer med bedriftsdata i M365-miljøet – spesielt knyttet til tilgangsrettigheter og dataeksponering. Hvis tilgangskontrollen i SharePoint/OneDrive ikke er ryddig, kan Copilot eksponere data på tvers av organisasjonen.

Anbefaling:

• Bruk med DPA (som del av M365 Enterprise-avtalen).
• Slå av Bing/websøk når du arbeider med sensitive data.
• Rydd opp i tilgangsrettigheter i SharePoint og OneDrive før du ruller ut Copilot.
• Oppdater Record of Processing Activities (RoPA) til å inkludere Copilots databruk.

Datatilsynet gjennomførte i 2024 en egen analyse av Microsoft 365 Copilot. Sluttrapporten understreker at god tilgangsstyring og datahygiene i slike abonnementsløsninger er en forutsetning for ansvarlig bruk av Copilot – og at organisasjoner bør gjennomgå sine tilgangsrettigheter grundig før utrulling.

Google Gemini for Workspace

Google Gemini for Workspace tilbyr DPA og enterprise-grade sikkerhet som arver organisasjonens eksisterende kontroller.

Likevel: Det har vært påpekt tekniske utfordringer med full GDPR- og AI Act-etterlevelse i Geminis arkitektur for Workspace.

Anbefaling:

• Et godt valg for organisasjoner som allerede er på Google Workspace.
• Krev DPA og verifiser EU-lokalisering av data.
• Gjennomfør DPIA før bruk med sensitive personopplysninger.

4. Taushetsplikt og sektorspesifikke krav i norsk kontekst

Helsesektoren

Datatilsynet anbefaler klare DPA-forpliktelser, minimal dataeksponering og i størst mulig grad løsninger som ikke avhenger av store språkmodeller for direkte pasientdata.

Anbefaling: For helsebedrifter er det sterkt anbefalt å bruke lokale/API-baserte modeller eller avskjerming via egen infrastruktur i stedet for å mate direkte pasientdata inn i ChatGPT, Copilot eller Gemini.

Helsedirektoratet publiserte i 2024–2025 en rapport om store språkmodeller i helse- og omsorgstjenesten, som understreker at behandling av pasientdata i store språkmodeller bør unngås uten klare tillegg som sikrer lokalisering, styring og sporbarhet.

Juridisk sektor og finans

Mange leverandører har fortsatt ikke klare tillegg som deklarerer at de respekterer advokat-, lege- og banktaushetsplikt i norsk kontekst.

Anbefaling: Bruk AI-verktøy kun for aggregering, generell dokumentanalyse eller ikke-identifiserende data. Unngå å lime inn konkrete mandatsaker, sensitiv bankkundedata eller pasientjournaler.

5. Åtte konkrete anbefalinger for norske SMB-er

Basert på Vischer-rapporten, Datatilsynets veiledning og markedsutviklingen per mars 2026:

1. Lag en intern AI-brukspolicy

Definer tydelig:

• Hvilke verktøy som er tillatt (med versjon og DPA-status).
• Hva som aldri må limes inn (kundenummer, pasientdata, kontrakter, lønnsdata, personnummer).
• Hvem som har ansvar for etterlevelse.

2. Forby forbrukerversjoner for bedriftsdata

ChatGPT gratis/Plus, Copilot forbruker og Gemini forbruker skal ikke brukes til behandling av personopplysninger eller bedriftssensitive data.

3. Krev DPA fra alle AI-leverandører

Ikke anta at DPA automatisk dekker alle AI-funksjoner. For eksempel vil noen Copilot-funksjoner fortsatt være utenfor DPA-dekningen om du ikke har aktivert riktige kontroller.

4. Gjennomfør en DPIA-lite

Før du lar ansatte bruke AI til å analysere kundedata, pasientdata eller taushetspliktsdata, gjennomfør en kort intern risikovurdering. Denne trenger ikke være omfattende, men bør dokumentere:

• Hvilke data som behandles
• Hvilken leverandør og versjon som brukes
• Hvilke tiltak som er iverksatt

5. Vurder kostnad mot risiko

Enterprise-løsninger er dyrere, men kan være billigere sammenlignet med risikokostnaden – bøter, omdømmetap og konsekvenser ved brudd på taushetsplikt.

6. Hold deg oppdatert på vilkårsendringer

Vilkårene for ChatGPT, Copilot og Gemini endres hyppig. Sjekk leverandørenes personvernsider minst kvartalsvis.

7. Forbered deg på KI-loven

EUs KI-forordning (AI Act) innføres i Norge sensommeren 2026. Sett deg inn i risikokategoriene og kravene som gjelder for din virksomhet. HR Norge har publisert en nyttig KI-veileder som hjelper deg å forberede deg.

8. Vurder lokale og API-baserte løsninger

For teknologibedrifter som vil integrere AI i egne plattformer, er det ofte mer juridisk sikkert å:

• Bruke API-løsninger med DPA og EU-lokalisering
• Minimere eksponering av rå-personopplysninger
• Eventuelt kombinere med egne/lokale modeller (f.eks. Llama, Mistral) for sensitive data

6. API-baserte og «privat-AI»-løsninger: Økende etterspørsel

I 2026 ser vi en tydelig trend: Økende etterspørsel etter lokale modeller og API-wrapper-løsninger som gir bedre kontroll over dataflyt. Open source-modeller som Llama-varianter og Mistral gir norske bedrifter muligheten til å kjøre AI-prosessering uten at data forlater egen infrastruktur.

For norske SMB-er som ikke har egen infrastruktur: API-baserte løsninger fra OpenAI, Google eller Anthropic med signert DPA og EU-databehandling gir et godt kompromiss mellom funksjonalitet og compliance.

Forsvarets forskningsinstitutt (FFI) har publisert en rapport med utfordringer og anbefalinger for sikker bruk av store språkmodeller. Rapporten gir konkrete råd om hvordan organisasjoner kan minimere risiko ved bruk av LLM-er, og er relevant lesning for norske bedrifter som vurderer API-baserte eller lokale AI-løsninger.

Oppsummering: Fra 2025 til 2026

Denne oppsummeringen er oppdatert til mars 2026 og bygger på Vischer-rapportens analyse fra 2024–2025, nyere praksis fra Datatilsynet, regjeringens KI-strategi, og markedsutviklinger for AI-verktøy.

Artiklen ble opprinnelig researchet og skrevet av Nickolass Jensen, men er i seneste versjon både faktasjekket, oppsummert og oppdatert av Kira med AI

Relevante ressurser

• Datatilsynet: Bruk og håndheving av kunstig intelligens
• Digdir: KI Norge
• Regjeringen: Gjør Norge klar for trygg og innovativ KI-bruk
• OpenAI: Enterprise Privacy
• Microsoft: Data, Privacy, and Security for M365 Copilot
• Google: Generative AI in Workspace Privacy Hub
• VISCHER: KI-Tools – wie es um den Schutz der Daten steht
• HR Norge: KI-veileder – forbered deg på ny lov i 2026

Ønsker du en grundigere gjennomgang?

Vi i Nettpilot hjelper gjerne med en skreddersydd teknisk/juridisk vurdering i lag med våre juridiske samarbeidspartnere.

Oppdateringslogg:
• Opprinnelig publisert: mars 2025
• Oppdatert: 25. mars 2026 – nye vilkår fra leverandører, Datatilsynets sluttrapport om Copilot, Helsedirektoratets rapport om store språkmodeller, FFIs anbefalinger for sikker LLM-bruk, status for EUs KI-forordning, oversiktstabell og åtte konkrete SMB-anbefalinger.