AI-en er gratis, pass på at regningen ikke kommer fra Brussel

Det finnes en ny sjanger av mareritt for bedrifter og toppledere i 2026, og den begynner slik: noen på økonomi limer et regneark med personnummer inn i et AI-verktøy de fant selv, for å «spare litt tid». Resten av historien skriver myndighetene.

Flere lover

Det er lett å tro at dette handler om EUs AI Act, men det er ikke helt presist. For per dags dato gjelder denne enda ikke i Norge. EUs AI-forordning (AI Act) skal gjennomføres i norsk lov, men den er enda ikke vedtatt. Regjeringen sender AI-loven på ny høring denne høsten og tar sikte for å legge fram lovforslaget våren 2027. Det betyr ikke at bruk av AI-verktøy er uregulert. En rekke eksisterende lover gjelder allerede fullt ut når virksomheter bruker AI-verktøy, og feil bruk kan føre til brudd. Eksempler på dette er personregelverket (GDPR) når personopplysninger legges inn i tjenester uten databehandler avtale, arbeidsmiljøloven om AI brukes til å kontrollere eller vurdere ansatte, diskrimineringsloven når AI er full beslutningstaker ved rekruttering, bransjeregler om taushetsplikt innen helse, finans, og juss, listen er lang. Med andre ord er det flere lover som allerede kan felle deg om du benytter AI-tjenester uaktsomt, så ikke vent med innføring av god AI-skikk innad i bedriften selv om det ikke finnes et eget AI-lovverk i Norge enda.

EUs AI Act

La oss ta noen korte ord om hva EU har kokkelert i Brussel. EUs AI Act tredde i kraft 1. august 2024 og i kjent EU stil slippes tilhørende lover sakte, men sikkert ut. Forordningen regulerer AI etter risiko og deler løsninger inn i fire kategorier: forbudte AI-praksiser, høyrisikosystemer, generelle AI-modeller og andre AI-systemer. Den første bestemmelsen ble gitt ut 2. Februar 2025 og omhandler sosial poengsetting og følelsengjenkjenning på arbeidsplassen 1.

Det er ikke denne artikkelens formål å ramse opp alle lover og regler og gå i detalj  juridisk (det har jeg heller ikke bakgrunnen til å kunne gjøre), det må din bedrift sette dere inn i selv, men det er viktig at poengtere at dette er lovverk som er på vei inn i EØS avtalen og vil bli noe norske forretninger må forholde seg til. Er du i dag en norsk bedrift som leverer AI-løsninger i EU, er du omfattet av lovverket allerede nå. Her er det viktig å ha orden på sysakene.

Bruk av tjenester og språkmodeller

Når det kommer til majoriteten av bedrifter som ikke lager egne AI verktøy eller tjenester er det bruken av tjenestene til Anthropic, OpenAI, og Microsoft (med mer) og de tilhørende språkmodellene som er området din virksomhet må ha skikk rundt.

Vi kan ta for oss hovedregel nummer 1: IKKE bruk gratis versjoner av Claude, ChatGPT, Gemini, Copilot, Perplexity… til arbeidsoppgaver på jobb.

For noen er dette helt åpenbart, andre ikke, men det betyr ikke at vi alle ikke kan være uoppmerksomme eller ha en dårlig dag i ny og ne. Si at du har en privat bruker og en bedriftsbruker i Claude. En er knyttet til din private e-post og en er knyttet til jobb. Du benytter samme bærbare PC, nettbrett og telefon når du benytter begge brukerne. Det er utrolig lett å glemme at du plutselig har vært inne på din private, kanskje gratis bruker over helgen når du sitter på jobb mandag morgen klokken 08:00 før du smekker inn en spørring på sensitiv kundedata. Whoops er denne dataen utenfor beskyttelse og whoops er sjansen større for at din bedrift får en bot i postkassa. Her må vi følge med!

I dette tilfellet er det i hovedsak GDPR lover vi føyer oss etter, og «riktig» brudd på denne kan føre til bøter på 4% av årlig omsetning eller 20 millioner euro, avhengig av hva som er størst. Den er veldig grei. For å unngå disse fine summene kan vi huske på en av flere regler vi i Norge er kjent med, nemlig fjellvettreglene og rettere sagt regel nummer 1: Planlegg turen og meld fra hvor du går. Oversatt: planlegg/tenk gjennom hva du skal bruke tjenesten til og meld fra/gå til riktig bruker i henhold til hvilken oppgave du skal utføre, privat eller på jobb. Gjør du dette er du litt bedre rustet for å unngå feil.

Hvordan unngå fallgruvene

Så hva kan vi gjøre for å unngå brudd på lovverkene? Jeg har ingen fasit, men erfaring har lært meg en ting eller to:
1. ALDRI benytt en gratis chatbot eller løsning uten databehandleravtale til
arbeidsoppgaver.
2. Vær sikker på at du bruker jobb-brukeren, ikke den private.
3. Sjekk dataavtalen: Beskytter leverandørens avtale den spesifikke dataen du
jobber med? Særlig personopplysninger og forretningssensitiv data.
4. Klassifiser først: Hva slags data er det? Åpent, internt og fortrolig? Noen data
skal ikke i AI-verktøy i det hele tatt.

Regelverkene og ERP

La oss binde dette sammen i kontekst av ERP. Når dataene hentes ut fra Business NXT eller Visma.net ERP til en ekstern AI-tjeneste som Claude, ChatGPT, Copilot eller Gemini er det din virksomhet som har ansvaret for dataene. Dette gjelder ved manuell eksport (klipp og lim) og når det skjer via en integrasjon eller tilkobling (connector). Din bedrift er dermed ansvarlig for alt uttrekk som gjøres til eksterne AI-tjenester som er utenfor Vismas univers. Her er det avtalen med AI-leverandøren som blir gjeldende og viktig. Bruken av AI-verktøy koblet mot ERP-systemet burde også være dokumentert i en risikovurdering (Data Protection Impact Assessment) og i enke retningslinjer for ansatte, slik at «jeg trodde det var greit» ikke blir firmaets offisielle personvernsstrategi.

Kilder:
1. Bruder, A.H., Yaros, O. and Mayer, M. (2024) 'EU AI Act Published: Which Provisions Apply When?', Mayer Brown, 16 July. Available at: https://www.mayerbrown.com/en/insights/publications/2024/07/eu-ai-act-published-
which-provisions-apply-when