En mal for KI-policy er et kort sett med interne regler som sier hvilke KI-verktøy de ansatte kan bruke, med hvilke kontoer, hvilke opplysninger som kan legges inn, hvem som kontrollerer resultatet og hvordan feil meldes. Malen nedenfor dekker dette i 11 punkter. Fyll inn klammene, få ledelsen til å godkjenne den, og gi de ansatte opplæring før den trer i kraft.
Kort fortalt
- Regelen de ansatte bruker oftest, er dataklassene: offentlig, intern, konfidensiell og personopplysninger, med et tydelig svar på «kan dette legges inn i verktøyet?».
- Kontotypen betyr mer enn merkenavnet. OpenAI, Microsoft, Anthropic og Google oppgir alle at bedriftsplanene ikke trener modeller på kundedata som standard.
- Assistenter i Microsoft 365 og Google Workspace når alt brukeren selv har tilgang til. Datatilsynets sandkasserapport med NTNU ber virksomhetene «rydde i eget hus» med tilgangene først.
- Datatilsynet mener at det som hovedregel kreves en vurdering av personvernkonsekvenser (DPIA) når generativ KI behandler personopplysninger.
- En KI-policy trenger opplæring, en navngitt eier og en dato for revisjon for å virke. Sett av rundt fire uker fra første utkast til policyen gjelder.
Hva bør en KI-policy for ansatte inneholde?
En KI-policy for ansatte bør dekke åtte ting: virkeområde, godkjente verktøy og kontoer, hvilke opplysninger som kan legges inn, menneskelig kontroll av resultatet, åpenhet, godkjenning av nye verktøy, logging og opplæring, i tillegg til en rutine for avvik og en fast revisjon. To sider holder for de fleste bedrifter.
Retningslinjene er arbeidsregler for folk som allerede bruker ChatGPT, Copilot, Claude eller Gemini i jobben, ofte på private kontoer arbeidsgiveren aldri har sett. De erstatter ikke personvernarbeidet personopplysningsloven krever (protokoll over behandlingsaktiviteter, databehandleravtaler, DPIA). De gir de ansatte resultatet av det arbeidet i en form de kan bruke på ti sekunder: hvilke verktøy som er sjekket, og for hvilke typer opplysninger.
Hva kan de ansatte lime inn i ChatGPT, Copilot, Claude eller Gemini?
De ansatte kan bruke offentlig informasjon i alle godkjente verktøy, intern informasjon bare i bedriftens egne kontoer, og konfidensiell informasjon eller personopplysninger bare i verktøy som er godkjent for den klassen og for et registrert formål. Passord, tilgangsnøkler og særlige kategorier av personopplysninger holdes helt utenfor, med mindre en egen løsning er vurdert for dem.
Personopplysninger er alle opplysninger om en person som kan identifiseres (personvernforordningen artikkel 4): navn, e-postadresse, CV, kundenummer, et lydopptak. Særlige kategorier står i artikkel 9 og omfatter blant annet helse, etnisk opprinnelse, religion, fagforeningsmedlemskap og biometri.
| Klasse | Eksempler | Privat eller gratis konto | Godkjent bedriftskonto |
|---|---|---|---|
| Offentlig | Publiserte nettsider, pressemeldinger, offentlige rapporter, egen stillingsannonse etter at den er lagt ut | Tillatt, men bruk bedriftskontoen til jobb likevel | Tillatt |
| Intern | Prosessbeskrivelser, møtenotater uten navn, utkast til markedsplaner, internt opplæringsmateriell | Ikke tillatt | Tillatt |
| Konfidensiell | Kontrakter, upubliserte tall, anbud, kildekode, kundedokumenter underlagt taushetsavtale | Ikke tillatt | Bare i verktøy godkjent for konfidensiell informasjon, av rollene som står på listen |
| Personopplysninger | Kunderegister, CV-er, e-poster med navn, samtaleopptak, personalsaker | Ikke tillatt | Bare til et godkjent formål i et godkjent verktøy, og ikke mer enn oppgaven krever |
| Aldri | Passord, API-nøkler, kortdata, fødselsnummer, helseopplysninger og andre særlige kategorier, opplysninger underlagt lovbestemt taushetsplikt | Ikke tillatt | Ikke tillatt, med mindre en egen løsning er vurdert og godkjent |
Å fjerne et navn gjør ikke teksten anonym: etter fortalepunkt 26 i forordningen er opplysninger bare anonyme når personen ikke lenger kan identifiseres med midler som med rimelighet kan tenkes brukt. En klage som nevner stillingstittel, kommune og dato, kan fortsatt peke på én person.
Personvernrådet (EDPB) gir enda en grunn til å holde personopplysninger ute av instruksjonene. ChatGPT-arbeidsgruppen påpekte at brukerne trolig oppfatter svarene som faktisk riktige, også når de handler om enkeltpersoner, uavhengig av om de stemmer. En feil setning om en navngitt kunde er dermed et spørsmål om riktighet etter artikkel 5.
Hva endrer en bedriftskonto sammenlignet med en privat konto?
En bedriftskonto endrer avtalen: om dataene trener leverandørens modeller, hvem som eier det som legges inn og det som kommer ut, om det finnes en databehandleravtale, og om en administrator kan styre brukere og se logger. Private kontoer, gratis eller betalte, følger forbrukervilkår som den enkelte har godtatt, og som bedriften ikke har kontroll over.
| Verktøy og plan | Trening på deres data som standard? | Hva leverandøren ellers oppgir | Sjekk før dere godkjenner |
|---|---|---|---|
| ChatGPT Business, Enterprise, Edu og OpenAI API | Nei | OpenAI oppgir at virksomheten eier det som legges inn og det som kommer ut | Datalagring i Europa er oppført for kvalifiserte Enterprise-, Edu- og API-kunder, så sjekk hva som gjelder for deres plan |
| Microsoft Copilot med jobbkonto (tidligere Microsoft 365 Copilot) | Nei | Instruksjoner og svar lagres som annet innhold i Microsoft 365 og kan styres i Microsoft Purview | Copilot henter alt brukeren minst har lesetilgang til. Anthropic-modeller i Copilot er foreløpig utenfor EU Data Boundary |
| Claude Team, Enterprise og Anthropic API (kommersielle vilkår) | Nei | Kunden eier det som genereres, og Anthropics databehandlertillegg er en del av vilkårene | Samtaler som får tommel opp eller ned, kan brukes til trening. Eierne kan slå av «Rate chats» i virksomhetens personverninnstillinger |
| Gemini i Google Workspace med jobbkonto | Nei, ikke uten kundens tillatelse | Gemini henter bare innhold brukeren allerede har tilgang til, og innholdet gjennomgås ikke av mennesker | Gjelder kvalifiserte Workspace-utgaver, ikke private Google-kontoer |
| Private kontoer i ChatGPT, Claude eller Gemini | Avhenger av brukerens egne innstillinger | I Claude Free, Pro og Max velger brukeren selv. Tillates trening, lagrer Anthropic dataene i opptil fem år i stedet for 30 dager | Bedriften har ingen avtale, ingen administrasjon og ingen logg. Hold jobben utenfor disse kontoene |
En bedriftsplan fjerner ikke pliktene. Bedriften er fortsatt behandlingsansvarlig for personopplysningene de ansatte legger inn, leverandøren er databehandler og trenger en databehandleravtale etter artikkel 28, og behandlingen hører hjemme i protokollen. Vil du se nærmere på planer og vilkår, har vi en guide til valg av KI-verktøy og sjekk av databehandlingsvilkårene og en sammenligning av ChatGPT, Claude og Gemini.
Datatilsynets sluttrapport om Microsoft 365 Copilot peker på tilgangene: Copilot får tilgang til den samme informasjonen som brukeren av verktøyet har. Slappe delingsinnstillinger i SharePoint, Teams eller Disk blir synlige første gang noen spør assistenten om lønn.
Mal for KI-policy for ansatte (klar til å kopiere)
Malen for KI-policy nedenfor passer for bedrifter med omtrent 10 til 500 ansatte. Kopier alt inne i boksen, bytt ut teksten i klammer og stryk punkter som ikke gjelder dere. Malen er generell informasjon og ikke juridisk rådgivning. La personvernombudet, den som har ansvar for personvern, eller en advokat sjekke den mot hvordan dere faktisk behandler opplysninger.
Mal: retningslinjer for bruk av KI (kopier herfra)
Retningslinjer for bruk av kunstig intelligens i [bedriftsnavn]
Versjon [1.0]. Godkjent av [navn, rolle] [dato]. Eier: [navn, rolle]. Neste revisjon: [dato, senest 12 måneder etter godkjenning].
1. Formål og virkeområde
Disse retningslinjene gjelder bruk av verktøy med kunstig intelligens (KI) i arbeid for [bedriftsnavn]. De gjelder alle ansatte, vikarer, konsulenter og innleide som håndterer bedriftens informasjon eller bruker bedriftens utstyr. De omfatter alle KI-verktøy: chatassistenter som ChatGPT, Microsoft Copilot, Claude og Gemini, KI-funksjoner i annen programvare, nettleserutvidelser, verktøy for transkribering og møtereferat, og verktøy som lager bilder, video og kode.
2. Godkjente verktøy og kontoer
- 2.1 Bruk bare verktøyene på listen over godkjente verktøy på [sted, for eksempel en intranettside], og bare med bedriftskontoen du har fått ([pålogging med jobb-e-post]).
- 2.2 Ikke bruk private kontoer, gratis eller betalte, til arbeidsoppgaver. Ikke installer KI-utvidelser eller programtillegg som ikke står på listen.
- 2.3 Listen viser for hvert verktøy: plan, den høyeste dataklassen verktøyet er godkjent for, hvilke roller som kan bruke det, og hvem som er ansvarlig. Eksempel: [Microsoft Copilot Chat, jobbkonto, intern informasjon, alle ansatte, IT-ansvarlig].
- 2.4 Nye KI-funksjoner i programvare vi allerede bruker, regnes som nye verktøy til [eier av retningslinjene] har sjekket dem.
3. Hva du kan legge inn: dataklasser
- 3.1 Offentlig informasjon kan brukes i alle godkjente verktøy.
- 3.2 Intern informasjon kan bare brukes i godkjente bedriftskontoer.
- 3.3 Konfidensiell informasjon (kontrakter, upubliserte tall, anbud, kildekode, kundemateriale underlagt taushetsavtale) kan bare brukes i verktøy som er godkjent for konfidensiell informasjon, og bare av rollene som står oppført for verktøyet.
- 3.4 Personopplysninger (alle opplysninger om en person som kan identifiseres) kan bare brukes til formålene som står i [listen over godkjente verktøy eller protokollen], i godkjente verktøy, og ikke mer enn oppgaven krever. Fjern navn og identifiserende detaljer når oppgaven kan løses uten dem.
- 3.5 Legg aldri inn passord, tilgangsnøkler, kortdata, fødselsnummer, helseopplysninger eller andre særlige kategorier av personopplysninger, eller opplysninger underlagt lovbestemt taushetsplikt, med mindre [eier av retningslinjene] har godkjent en egen løsning for det.
- 3.6 Å laste opp filer, dele skjerm og koble et KI-verktøy til e-post, kalender, fillagring eller andre systemer følger de samme reglene som å lime inn tekst.
- 3.7 Er du usikker på hvilken klasse som gjelder, velg den strengeste eller spør [kontaktperson].
4. Menneskelig kontroll av resultatet
- 4.1 Du er ansvarlig for alt du sender, publiserer eller bestemmer med hjelp fra KI, akkurat som om du hadde skrevet det selv.
- 4.2 Kontroller fakta, tall, navn, sitater, kilder og lenker, og alle juridiske, økonomiske eller tekniske påstander, før du bruker resultatet. KI-verktøy kan lage overbevisende tekst som er feil.
- 4.3 KI kan støtte, men ikke ta beslutninger om enkeltpersoner, for eksempel ansettelser, vurderinger, lønn, kreditt eller klager. Et menneske tar beslutningen og kan forklare den.
- 4.4 Kode laget med KI gjennomgås og testes som all annen kode før den settes i produksjon.
5. Åpenhet
- 5.1 Si fra til kunder og andre utenfor bedriften når de kommuniserer direkte med et KI-system, for eksempel en chatbot eller et automatisk svar, med mindre det er åpenbart.
- 5.2 Merk bilder, lyd og video som er laget eller endret med KI, når de viser ekte personer, steder eller hendelser, eller kan oppfattes som ekte.
- 5.3 Si fra til den som kvalitetssikrer arbeidet ditt når en leveranse bygger mye på KI.
- 5.4 Følg kundeavtaler som begrenser eller forbyr bruk av KI. [Kundeansvarlige] holder oversikt over hvilke kunder det gjelder.
6. Godkjenning av nye verktøy og ny bruk
- 6.1 Be om et nytt verktøy, eller ny bruk av et godkjent verktøy (for eksempel med kundeopplysninger), via [skjema eller e-postadresse] til [eier av retningslinjene].
- 6.2 Før godkjenning sjekker [eier av retningslinjene]: databehandleravtalen, om leverandøren trener på våre data, hvor dataene lagres og behandles, lagringstid og sletting, administrasjon og tilgang til logger, og sikkerhetsdokumentasjon. [Personvernansvarlig] avgjør om det trengs en DPIA, og oppdaterer protokollen over behandlingsaktiviteter.
- 6.3 Du får svar innen [10 arbeidsdager]. Godkjente verktøy føres på listen med dataklassen de er godkjent for.
7. Logging
- 7.1 Bedriftens KI-verktøy kan lagre instruksjonene dine, filer du laster opp og svarene. Administratorer kan få tilgang til disse dataene for [sikkerhet, feilsøking, rettslige krav og håndtering av avvik].
- 7.2 Loggene brukes ikke til å overvåke eller vurdere enkeltansatte. Innsyn i én persons logg følger [vår rutine for innsyn i e-postkasse og elektronisk lagret materiale].
- 7.3 Loggene lagres i [periode] og slettes deretter, med mindre et avvik eller en rettslig plikt krever lengre lagring.
8. Opplæring
- 8.1 Alle gjennomfører [grunnleggende KI-opplæring, varighet] før de får tilgang til bedriftens KI-verktøy, og en oppfriskning når retningslinjene endres vesentlig.
- 8.2 De som bruker KI med konfidensiell informasjon eller personopplysninger, gjennomfører [rollebasert opplæring].
- 8.3 [Eier av retningslinjene] fører oversikt over hvem som har gjennomført hvilken opplæring.
9. Melding av avvik
- 9.1 Meld fra til [kontaktperson og kanal] straks, og senest samme arbeidsdag, hvis du har lagt inn opplysninger du ikke skulle, hvis et KI-resultat med feil har nådd en kunde eller er publisert, hvis et verktøy viser andres opplysninger eller oppfører seg uventet, eller hvis du mistenker at en konto er kompromittert.
- 9.2 Det er forventet at du melder fra raskt om egne feil, og det er ikke i seg selv grunn til reaksjoner.
- 9.3 [Personvernansvarlig] vurderer om avviket er et brudd på personopplysningssikkerheten som skal meldes til Datatilsynet innen 72 timer.
10. Roller
- 10.1 [Eier av retningslinjene] holder retningslinjene og listen over godkjente verktøy oppdatert og behandler forespørsler. [Personvernombud eller personvernansvarlig] gir råd om personopplysninger, DPIA og avvik.
- 10.2 Lederne sørger for at teamene kjenner retningslinjene og har gjennomført opplæringen. Alle følger retningslinjene og spør når de er usikre.
11. Revisjon og bekreftelse
- 11.1 Retningslinjene gjennomgås minst hver [12. måned], og i tillegg når et verktøy godkjennes for konfidensiell informasjon eller personopplysninger, når en leverandør endrer vilkårene, når regelverket endres, eller etter et alvorlig avvik.
- 11.2 Brudd håndteres etter bedriftens vanlige personalrutiner.
- 11.3 Jeg har lest og forstått retningslinjene. Navn: [ ] Dato: [ ]
Slutt på malen.
Hvordan tilpasser dere malen?
Tilpass malen ved å ta tre beslutninger før dere endrer en eneste formulering: hvilke verktøy dere godkjenner, hvor langt personopplysninger kan gå, og hvem som eier retningslinjene.
- Verktøy. Begynn med det dere allerede betaler for. Assistenten i Microsoft 365 eller Google Workspace med jobbkonto kan dekke det meste hvis delingstilgangene er ryddige. Legg til en egen assistent bare ved et dokumentert behov.
- Personopplysninger. En streng første versjon som holder personopplysninger ute av alle KI-verktøy, er lett å forklare og lett å myke opp senere. Åpne for konkret bruk (for eksempel oppsummering av kundesamtaler) én etter én, hver med sin egen vurdering og DPIA der det trengs.
- Eier. Utnevn én person, ofte driftsleder eller IT-ansvarlig, med personvernansvarlig som rådgiver.
Punkt 7 må sjekkes mot e-postforskriften (forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale). Forskriften sier at arbeidsgiver ikke har rett til å overvåke arbeidstakers bruk av elektronisk utstyr, med mindre formålet er å administrere datanettverket eller å avdekke eller oppklare sikkerhetsbrudd. Datatilsynet mente det var sannsynlig at loggen over Copilot-samtaler kan falle inn under forbudet. Formål, tilgang og lagringstid for KI-logger må derfor skrives ned, og kontrolltiltak skal drøftes med de tillitsvalgte etter arbeidsmiljøloven § 9-2.
Vær obs
Et totalforbud mot KI stopper sjelden bruken. Folk går over til private kontoer på mobilen, der bedriften verken har avtale, logg eller mulighet til å hjelpe etter en feil. Godkjenn ett trygt alternativ før dere forbyr de utrygge.
Hvordan innfører dere en KI-policy på fire uker?
Dere innfører en KI-policy på fire uker ved å kartlegge hva folk bruker i dag, godkjenne verktøy, fylle ut malen, få den vedtatt og gi alle opplæring før den gjelder.
| Når | Steg | Ansvarlig | Resultat |
|---|---|---|---|
| Uke 1 | Spør de ansatte anonymt hvilke KI-verktøy og kontoer de bruker, og til hva | Eier av retningslinjene | Oversikt over verktøy og faktisk bruk |
| Uke 1 | Sjekk vilkår og databehandleravtaler for de aktuelle verktøyene | Eier sammen med IT | Kortliste med dataklassen hvert verktøy tåler |
| Uke 2 | Fyll ut malen, avgjør behovet for DPIA og oppdater protokollen | Eier sammen med personvernansvarlig | Utkast og liste over godkjente verktøy |
| Uke 2 | Drøft logging og utkastet med de tillitsvalgte | Ledelsen | Innspill og avtalte endringer |
| Uke 3 | Vedta retningslinjene, sett opp kontoer med felles pålogging, slå av funksjoner dere ikke har godkjent | Ledelsen og IT | Vedtatte retningslinjer, kontoer som virker |
| Uke 3–4 | Gi hvert team opplæring med øvelser på egne oppgaver og på dataklassene | Eier eller opplæringsleverandør | Oversikt over gjennomført opplæring |
| Uke 4 | Publiser retningslinjene og listen, samle inn bekreftelser | Eier av retningslinjene | Retningslinjene gjelder |
| Dag 30 og dag 90 | Gå gjennom avvik, forespørsler og spørsmål, og juster | Eier av retningslinjene | Versjon 1.1 |
Opplæringen bærer det meste av vekten. Datatilsynets rapport slår fast at det er virksomheten som tar Copilot i bruk, som har ansvaret for at brukerne har tilstrekkelig kunnskap, bevissthet og opplæring. Den virker best når folk øver på egne oppgaver, for eksempel å fjerne identifiserende detaljer fra en ekte e-post eller kontrollere et sammendrag mot kilden. Instruksjonsdelen dekker vi i guiden til prompt engineering.
Eksempel
Et oppdiktet rådgivende ingeniørfirma i Bergen med 35 ansatte finner i uke 1 fire chatverktøy i bruk, alle på private kontoer. Firmaet godkjenner Copilot Chat i sin eksisterende Microsoft 365-løsning for intern informasjon og kjøper 6 bedriftslisenser av én egen assistent til anbudsteamet, godkjent for konfidensielle anbud, men ikke for personopplysninger. Så lenge personopplysninger holdes ute, mener personvernansvarlig at det ikke trengs en DPIA. Tre økter på 75 minutter med rundt 12 deltakere dekker alle i uke 3. Etter 30 dager er det kommet to avviksmeldinger (et anbud limt inn i en privat konto, et møtereferat med feil tall sendt til en kunde) og fem forespørsler om verktøy, hvorav to er godkjent. Versjon 1.1 får en regel om at møtereferater kontrolleres mot opptaket før de sendes ut.
Krever KI-forordningen en KI-policy?
EUs KI-forordning krever ingen skriftlig KI-policy for vanlig bruk av chatassistenter, men i EU har artikkel 4 siden 2. februar 2025 pålagt leverandører og brukere av KI-systemer å sette i verk tiltak for KI-kompetanse hos de ansatte. Retningslinjer pluss en oversikt over gjennomført opplæring er den enkleste måten å vise at det er gjort.
KI-omnibusen (forordning (EU) 2026/1744), publisert 24. juli 2026 og i kraft fra 27. juli 2026, skrev om artikkel 4. Leverandører og brukere skal nå sette i verk tiltak som støtter de ansattes KI-kompetanse, uten at de må garantere et bestemt nivå hos den enkelte. Åpenhetspliktene i artikkel 50, blant annet å si fra når folk har med et KI-system å gjøre og å merke deepfakes, gjelder i EU fra 2. august 2026, og punkt 5 i malen dekker dem. Generative KI-systemer som var på markedet før den datoen, har frist til 2. desember 2026 med den maskinlesbare merkingen i artikkel 50 nr. 2. Guiden vår til oppsett av en KI-chatbot går nærmere inn på åpenhet for kunderettede chatboter.
Norge har ennå ikke tatt KI-forordningen inn i EØS-avtalen, så den gjelder ikke her ennå. Et utkast til norsk KI-lov var på høring fra 30. juni 2025. Den 4. august 2026 varslet regjeringen et revidert utkast på ny høring høsten 2026, med mål om å legge fram lovforslaget for Stortinget våren 2027. Eksisterende regelverk, som personvernregelverket, gjelder allerede for bruk av KI.
Når holder ikke slike retningslinjer?
Retningslinjer på to sider holder ikke når KI-systemer tar eller forbereder beslutninger om mennesker, behandler helseopplysninger eller andre særlige kategorier i stort omfang, eller er koblet til kundesystemer og handler på egen hånd. Da trengs en DPIA for den konkrete behandlingen, en juridisk vurdering og tekniske kontroller som tilgangsbegrensning og logging bygget inn i systemet.
Det samme gjelder når KI flytter inn i arbeidsflyten, for eksempel en assistent som svarer ut fra egne dokumenter. Oversikten vår over KI-automasjon i bedriften forklarer hvor et menneske bør være med, og tjenesten vår for KI-implementering bygger slike systemer med tilgangsstyring og logging fra start.
Ofte stilte spørsmål
Trenger vi en KI-policy hvis bare noen få bruker ChatGPT?
Ja, hvis de håndterer opplysninger om kunder eller ansatte, eller konfidensiell informasjon. Noen få personer på private kontoer er nettopp situasjonen der opplysninger havner under vilkår bedriften aldri har godtatt. En versjon på én side med dataklassene og én godkjent konto er en god start.
Kan ansatte bruke ChatGPT med kundeopplysninger?
Bare i en bedriftskonto med databehandleravtale, til et formål som står i protokollen, og med så få personopplysninger som oppgaven krever. Private ChatGPT-kontoer skal ikke brukes med kundeopplysninger. Sjekk om det kreves en DPIA før dere åpner for slik bruk.
Holder det å fjerne navn før teksten limes inn i et KI-verktøy?
Ofte ikke. Opplysninger er bare anonyme når personen ikke kan identifiseres med midler som med rimelighet kan tenkes brukt, og detaljer som stilling, sted og dato kan avsløre hvem det gjelder. Behandle pseudonymisert tekst som personopplysninger med mindre dere er sikre på at ingen kan koble den tilbake.
Når retningslinjene er vedtatt, er neste jobb å få dem til å sitte i hverdagen. KI-opplæringen vår for team omfatter utarbeiding eller oppdatering av bedriftens KI-retningslinjer og trener hver rolle på egne oppgaver, også i hva som kan og ikke kan legges inn i offentlige KI-verktøy.
Kilder
- EUR-Lex: Forordning (EU) 2024/1689 (KI-forordningen), artikkel 4, 50 og 113
- EUR-Lex: Forordning (EU) 2026/1744, Digital Omnibus on AI (EU-tidende, 24. juli 2026)
- Europakommisjonen: AI literacy, questions and answers (oppdatert juli 2026)
- Lovdata: Personopplysningsloven med personvernforordningen, artikkel 4, 5, 9, 28, 33 og 35
- EUR-Lex: Forordning (EU) 2016/679 (GDPR), fortalepunkt 26
- Datatilsynet og NTNU: Copilot through the lens of data protection, sluttrapport fra sandkassen (november 2024)
- Datatilsynet: Vurdering av personvernkonsekvenser (DPIA)
- Datatilsynet: Avvikshåndtering
- Personvernrådet (EDPB): Report of the work undertaken by the ChatGPT Taskforce (mai 2024)
- Regjeringen: Lov om kunstig intelligens i Norge sendes nå på høring (30. juni 2025)
- Regjeringen: Tung vil sende KI-loven med endringer på høring (4. august 2026)
- Lovdata: Forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale, § 2
- Lovdata: Arbeidsmiljøloven kapittel 9, kontrolltiltak
- OpenAI: Business data privacy, security and compliance
- OpenAI: Enterprise privacy
- Microsoft Learn: Data, privacy and security for Microsoft Copilot (oppdatert oktober 2026)
- Anthropic: Commercial Terms of Service (gjeldende fra 17. juni 2025)
- Anthropic Privacy Center: Is my data used for model training?
- Anthropic: Updates to our consumer terms (28. august 2025)
- Google Workspace: Generative AI in Google Workspace Privacy Hub
- Future of Privacy Forum: What changes under the AI Omnibus (2026)
