AI Usage Policy Norway

An AI Usage Policy in Norway (AI-bruk policy) is an internal governance document in which an organisation sets out the rules, risk categories, permitted and prohibited uses, transparency requirements and data protection obligations governing its employees' use of artificial intelligence tools and systems. The primary legal framework is the EU AI Act (Regulation (EU) 2024/1689 on Artificial Intelligence), which will apply in Norway through the EEA Agreement, together with the General Data Protection Regulation (GDPR) and the Personopplysningsloven (2018). The AI Act classifies AI systems into four risk tiers — unacceptable, high, limited and minimal risk — imposing progressively stricter requirements, and bans systems in the unacceptable-risk category outright under article 5.

AI-bruk policy i Norge er nødvendig for alle virksomheter som enten allerede bruker AI-verktøy i sin virksomhet, eller som vurderer å ta slike i bruk. EU AI Act og GDPR skaper juridiske forpliktelser som krever styringsdokumenter.

Virksomheter som bruker generative AI-verktøy. Virksomheter som bruker ChatGPT, Microsoft Copilot, Google Gemini, Claude, GitHub Copilot eller tilsvarende generative AI-verktøy i arbeidshverdagen, trenger en AI-bruk policy. Policyen skal regulere hva verktøyene lovlig kan brukes til, hva som er forbudt (for eksempel å legge inn kunders personopplysninger i offentlig tilgjengelige AI-tjenester), og krav til merking av AI-generert innhold.

Virksomheter som bruker AI i HR og rekruttering. AI-systemer i rekruttering, personlighetstester, prestasjonsvurdering og HR-administrasjon er klassifisert som høy-risiko etter EU AI Act vedlegg III. For slike systemer stilles strenge krav, herunder risikovurdering, menneskelig tilsyn og transparens overfor de berørte. Mange norske bedrifter bruker allerede AI-baserte CV-siling, automatiserte vurderingsverktøy og chatboter i rekrutteringen uten å ha gjennomgått kravene i EU AI Act.

Virksomheter som bruker AI i kundeservice og chatboter. AI-drevne chatboter som samhandler med kunder, er underlagt transparensplikt etter EU AI Act artikkel 50 — kunden skal vite at de snakker med en AI. En AI-bruk policy og tilhørende prosesser for å sikre etterlevelse av transparenskravene er nødvendig for slike virksomheter.

Virksomheter i finanssektoren. AI brukt i kredittscoring, forsikringsprising og risikostyring i finanssektoren er høy-risiko etter EU AI Act. I tillegg gjelder sektorspesifikke krav fra Finanstilsynet og EBA (European Banking Authority). En AI-bruk policy som adresserer de spesifikke risikoene og kravene i finanssektoren er nødvendig for banker, forsikringsselskaper og fintech-aktører i Norge.

Offentlige virksomheter og myndigheter. Offentlige etater som bruker AI i forvaltningsavgjørelser, for eksempel NAV, Skatteetaten og UDI, er underlagt strenge krav etter EU AI Act og personvernforordningen (GDPR). Automatiserte enkeltvedtak er regulert av forvaltningsloven (1967) og personvernforordningen (GDPR) artikkel 22. En AI-bruk policy som regulerer bruken av AI i forvaltningsprosesser er nødvendig for offentlige virksomheter.

Helsesektoren. AI i medisinsk diagnostikk, behandlingsstøtte og medisinsk utstyr er høy-risiko etter EU AI Act. I tillegg gjelder særskilt regulering for medisinsk utstyr (MDR) og særlige krav til personvern ved behandling av helseopplysninger etter personvernforordningen (GDPR) artikkel 9. Sykehus, klinikker og helseforetak trenger en AI-bruk policy som adresserer disse særlige kravene.

Alle virksomheter med ansatte som bruker AI-verktøy. Selv virksomheter som bare bruker generative AI-verktøy til tekstproduksjon og idégenerering, bør ha en AI-bruk policy for å regulere forsvarlig bruk, beskytte forretningshemmeligheter, sikre etterlevelse av personvernregelverket og unngå at AI-generert innhold brukes på en villedende eller ansvarspåleggende måte.

En komplett AI-bruk policy Norge inneholder følgende nøkkelelementer for å oppfylle kravene i EU AI Act (forordning (EU) 2024/1689), personvernforordningen (GDPR) og personopplysningsloven (2018).

Virksomhetens identifikasjon og policyens virkeområde. Policyen skal identifisere virksomheten med navn og organisasjonsnummer, og angi hvem policyen gjelder for — ansatte, innleide konsulenter og samarbeidspartnere. Klart definert virkeområde sikrer at alle som bruker AI på vegne av virksomheten, er bundet av policyens regler.

Oversikt over AI-systemer og risikovurdering. Policyen bør inneholde en oversikt over AI-verktøy og -systemer som virksomheten benytter, og en vurdering av risikonivå etter EU AI Act artikkel 6 og vedlegg III. Oversikten bør angi leverandør, formål og vurdert risikokategori. Denne oversikten er grunnlaget for å fastslå hvilke krav som gjelder og hvilke tiltak som er nødvendige.

Tillatt bruk. Policyen skal angi konkret hvilke oppgaver AI-verktøyene lovlig og forsvarlig kan brukes til, for eksempel tekstproduksjon, oppsummering, kodegenerering, oversettelse og idégenerering. Tillatt bruk bør balansere produktivitetsgevinster mot risiko for feil, misbruk og personvernbrudd.

Forbudt eller begrenset bruk. Policyen skal eksplisitt angi hva som er forbudt, herunder bruk av AI-systemer med uakseptabel risiko etter EU AI Act artikkel 5, innlegging av sensitive personopplysninger i offentlig tilgjengelige AI-tjenester, bruk av konfidensielle forretningshemmeligheter i AI-tjenester uten tilstrekkelig avtale, og AI-generert innhold som presenteres som ekte uten merking. Forbudsreglene er viktige for å unngå personvernbrudd og ansvarspålegging.

Krav til merking og transparens. Policyen skal fastsette krav til merking av AI-generert innhold etter EU AI Act artikkel 50, herunder at eksternt publisert innhold som er vesentlig AI-generert, merkes tydelig, og at chatboter og AI-systemer som samhandler med kunder, identifiseres som AI-systemer. Transparens er en kjerne i EU AI Act og personvernforordningen (GDPR). Disse elementene utfyller forms-legal.com bibliotekets maler for virksomhetsretningslinjer.

Personvernforpliktelser. Policyen skal angi at behandling av personopplysninger gjennom AI-verktøy er underlagt personvernforordningen (GDPR), herunder krav til rettslig grunnlag, databehandleravtaler med AI-leverandører etter artikkel 28, DPIA ved høy risiko etter artikkel 35, og overføringsgrunnlag ved overføring av personopplysninger til tredjeland.

Ansvar, opplæring og oppfølging. Policyen skal angi hvem i virksomheten som er ansvarlig for AI-bruk og etterlevelse, og fastsette krav til opplæring av ansatte. Policyen bør angi at den gjennomgås og oppdateres jevnlig og ved vesentlige endringer i AI-verktøy eller regelverk.

Å fylle ut en AI-bruk policy Norge korrekt krever at man følger trinnene nedenfor, slik at policyen oppfyller kravene i EU AI Act (forordning (EU) 2024/1689), personvernforordningen (GDPR) og personopplysningsloven (2018).

Trinn 1 — Angi virksomhetens opplysninger. Oppgi virksomhetens fulle navn etter Foretaksregisteret, organisasjonsnummer (ni sifre), adresse og kontaktadresse for AI- og personvernspørsmål. Angi policyens virkeområde, det vil si hvem den gjelder for — ansatte, innleide konsulenter og samarbeidspartnere.

Trinn 2 — List opp AI-verktøy og gjennomfør risikovurdering. List opp alle AI-verktøy og -systemer som virksomheten bruker eller vurderer å bruke, med leverandør og formål. Vurder risikonivå etter EU AI Act: minimal risiko (chatboter, spam-filter, AI-innholdsgenerering), begrenset risiko (transparensplikt, for eksempel chatboter som samhandler med kunder), høy risiko (HR, rekruttering, kredittscoring, kritisk infrastruktur), eller uakseptabel risiko (forbudt).

Trinn 3 — Beskriv personvernkonsekvensene. Vurder om AI-verktøyene behandler personopplysninger, hvilke kategorier av opplysninger som behandles, og om det er nødvendig med en DPIA etter personvernforordningen (GDPR) artikkel 35. Angi at databehandleravtaler er eller vil bli inngått med alle AI-leverandører som behandler personopplysninger. Angi overføringsgrunnlag for leverandører utenfor EØS.

Trinn 4 — Definer tillatt bruk. Beskriv konkret hvilke oppgaver AI-verktøyene lovlig kan brukes til, for eksempel utarbeide utkast til dokumenter, oppsummere tekst, generere kodeutkast, oversette og analysere anonymiserte datasett. Understreke at ansatte er ansvarlige for å kvalitetssikre og ta faglig ansvar for AI-generert innhold.

Trinn 5 — Definer forbudt bruk. Angi eksplisitt hva som er forbudt: bruk av AI-systemer med uakseptabel risiko etter EU AI Act artikkel 5, innlegging av kunders eller kollegers personopplysninger i offentlig tilgjengelige AI-tjenester uten GDPR-vurdering, bruk av konfidensielle forretningshemmeligheter i uverifiserte AI-tjenester, og AI-generert innhold presentert som ekte uten merking.

Trinn 6 — Fastsett krav til merking. Angi kravene til merking av AI-generert innhold som skal publiseres eksternt, i tråd med EU AI Act artikkel 50. Beskriv merkingspraksis for ulike typer innhold (tekst, bilder, kode, presentasjoner).

Trinn 7 — Angi ansvar og opplæringsplan. Angi hvem i virksomheten som har det overordnede ansvaret for AI-bruk og etterlevelse av denne policyen. Angi krav til opplæring: hvem skal gjennomgå opplæring, når (ved ansettelse og ved vesentlige endringer i AI-verktøy), og hva opplæringen skal dekke.

Trinn 8 — Fastsett rutiner for gjennomgang. Angi at policyen gjennomgås og oppdateres minimum én gang per år og ved vesentlige endringer i AI-verktøy, EU AI Act eller personvernregelverket. Angi hvem som er ansvarlig for gjennomgangen.

Trinn 9 — Informer ansatte og integrer i onboarding. Sørg for at alle ansatte er kjent med policyen og at den inngår i onboarding-prosessen. Policyen bør gjøres lett tilgjengelig på virksomhetens intranett og via kontaktadressen angitt i policyen.

AI-bruk policy Norge er forankret i EU AI Act (forordning (EU) 2024/1689) og personvernforordningen (GDPR), som til sammen skaper et nytt rettslig rammeverk for kunstig intelligens i Europa og Norge.

EU AI Act (forordning (EU) 2024/1689). EU AI Act ble vedtatt av EU i 2024 og vil gjelde i Norge via EØS-avtalen. Forordningen inndeler AI-systemer i fire risikokategorier med ulike krav: (1) uakseptabel risiko — forbudt etter artikkel 5, herunder AI for sosial kredittvurdering, subliminal manipulasjon og de fleste former for biometrisk fjernidentifisering; (2) høy risiko — strenge krav etter artiklene 8 til 15 og vedlegg III, herunder risikovurdering, teknisk dokumentasjon, menneskelig tilsyn og robusthet; (3) begrenset risiko — transparensplikt etter artikkel 50 for chatboter og AI-generert innhold; og (4) minimal risiko — ingen særlige krav. Forordningen er under implementering med utfasede frister frem til 2027.

Personvernforordningen (GDPR) og personopplysningsloven (2018). Personvernforordningen (GDPR) gjelder i Norge gjennom EØS-avtalen og er gjennomført ved personopplysningsloven (2018). Der AI-systemer behandler personopplysninger, gjelder GDPR fullt ut: det rettslige grunnlaget for behandlingen etter artikkel 6 skal foreligge, databehandleravtaler etter artikkel 28 skal inngås med AI-leverandører, og DPIA etter artikkel 35 skal gjennomføres ved høy risiko. Datatilsynet har utgitt veiledning om AI og personvern, og EDPB har publisert retningslinjer om AI og rettigheter.

Forbud mot automatiserte enkeltvedtak etter personvernforordningen (GDPR) artikkel 22. Der AI-systemer brukes til automatiserte enkeltvedtak med rettslige følger for den registrerte, gjelder artikkel 22. Den registrerte har rett til å ikke være gjenstand for utelukkende automatiserte avgjørelser. Unntak gjelder ved samtykke, avtale eller lovpålagt plikt, men da stilles krav til menneskelig inngripen, innsyn og klageadgang. Dette er særlig relevant ved AI i HR, kreditt og offentlig forvaltning.

Transparensplikt etter EU AI Act artikkel 50. Brukere av chatboter, virtuelle assistenter og AI som genererer innhold, skal sikre at brukerne er informert om at de samhandler med et AI-system der dette ikke er åpenbart. Leverandører av generative AI-modeller skal sikre at AI-generert innhold merkes som sådant. Merking av syntetisk medieinnhold (deepfakes) er spesielt regulert.

Sikkerhetskrav og DPIA etter personvernforordningen (GDPR) artiklene 32 og 35. Der AI-systemer behandler personopplysninger i stor skala, ved systematisk profilering eller ved bruk av nye teknologier, skal det gjennomføres en DPIA etter personvernforordningen (GDPR) artikkel 35. EU AI Act stiller i tillegg egne krav til sikkerhet og robusthet for høy-risiko AI-systemer etter artiklene 9 og 10. Datatilsynet fører tilsyn med etterlevelsen av DPIA-plikten.

Arbeidsrettens og arbeidsmiljølovens krav. Bruk av AI i arbeidslivet, herunder overvåking og evaluering av ansatte gjennom AI-systemer, er regulert av arbeidsmiljøloven (2005) kapittel 9, som krever saklig grunn og drøfting med tillitsvalgte. Personvernforordningen (GDPR) artikkel 88 og personopplysningsloven (2018) gir regler om behandling av ansattes personopplysninger. AI-bruk policyen bør adressere disse kravene der AI brukes i personalledelse.

Klageadgang og sanksjoner. Den registrerte kan klage til Datatilsynet etter personvernforordningen (GDPR) artikkel 77 ved brudd på personvernregelverket ved AI-bruk. Datatilsynet kan ilegge overtredelsesgebyr etter artikkel 83. EU AI Act gir i tillegg egne sanksjonsmuligheter for brudd på forordningens krav, med gebyr opp til 35 millioner euro eller 7 prosent av global omsetning for de alvorligste bruddene (bruk av forbudte AI-systemer).

Vanlige feil ved utforming av AI-bruk policy Norge kan medføre at ansatte ikke vet hva som er tillatt, at virksomheten bryter personvernregelverket, eller at EU AI Act ikke overholdes.

Feil 1 — Ingen AI-bruk policy. Den vanligste feilen er at virksomheter bruker AI-verktøy i stor skala uten noen form for intern policy. Ansatte bruker verktøyene uten retningslinjer, noe som kan medføre at sensitive personopplysninger legges inn i offentlig tilgjengelige AI-tjenester, at forretningshemmeligheter eksponeres, eller at AI-generert innhold brukes uten kvalitetssikring. Løsning: utarbeid en AI-bruk policy og kommuniser den til alle ansatte.

Feil 2 — Manglende risikovurdering etter EU AI Act. En policy uten vurdering av risikonivå for de AI-systemene som brukes, overholder ikke EU AI Acts krav om risikobasert tilnærming. Løsning: kartlegg AI-systemene virksomheten bruker og vurder risikokategori etter EU AI Act vedlegg III; iverksett tiltak tilpasset risikonivå.

Feil 3 — Ingen databehandleravtaler med AI-leverandører. Å bruke AI-tjenester som behandler personopplysninger uten databehandleravtale etter personvernforordningen (GDPR) artikkel 28, er et brudd. Løsning: inngå databehandleravtaler med alle AI-leverandører som behandler personopplysninger på vegne av virksomheten; sjekk at leverandørens datavilkår oppfyller kravene i artikkel 28.

Feil 4 — Ansatte legger inn sensitive data i offentlige AI-tjenester. En policy uten klare regler om hvilke data som kan legges inn i offentlig tilgjengelige AI-tjenester, kan medføre at ansatte legger inn kunders personopplysninger, helseopplysninger eller forretningshemmeligheter. Løsning: forby eksplisitt innlegging av sensitive personopplysninger og konfidensielle forretningshemmeligheter i offentlige AI-tjenester; bruk virksomhetsspesifikke AI-løsninger med tilstrekkelig datasikkerhet for sensitive data.

Feil 5 — Manglende merking av AI-generert innhold. Å publisere AI-generert innhold eksternt uten merking kan være i strid med EU AI Act artikkel 50 og kan skade virksomhetens troverdighet. Løsning: fastsett tydelige krav til merking av AI-generert innhold i policyen, og opprett en rutine for merking av alt eksternt publisert innhold som er vesentlig AI-generert.

Feil 6 — Ingen opplæring av ansatte. En policy uten opplæring er lite effektiv. Ansatte som ikke forstår regelverket og de interne reglene, vil ikke overholde dem. Løsning: sørg for at alle ansatte gjennomgår opplæring i AI-bruk policyen ved ansettelse og ved vesentlige endringer, og integrer opplæring i onboarding-prosessen.

Feil 7 — Policyen oppdateres ikke. EU AI Act er under implementering og regelverket og beste praksis endres raskt. En policy som ikke oppdateres, kan raskt bli utdatert og misvisende. Løsning: fastsett i policyen at den gjennomgås og oppdateres minimum én gang per år og ved vesentlige endringer i AI-verktøy eller regelverk.