Må vi ha en AI-policy?

Spørsmålet dukker som regel opp på samme måte. Noen i ledergruppen oppdager at en medarbeider har limt inn et kundedokument i ChatGPT for å få hjelp med en oppsummering, og plutselig er spørsmålet ikke lenger teoretisk. Det korte svaret er: sannsynligvis ja. Ikke fordi én bestemt lov krever det fra en bestemt dato, men fordi flere regelsett allerede peker samme vei: noen ferdige, noen fortsatt i bevegelse.

Det lange svaret handler om hvorfor. Og her går de fleste virksomheter seg vill, fordi de leter etter én frist å forholde seg til, i et regelverk som ikke er bygget slik.

To typer regler, og de endrer seg i ulikt tempo

Den vanligste misforståelsen er å tro at spørsmålet handler om én lov som enten gjelder eller ikke gjelder ennå. Det stemmer ikke. Det er nyttigere å skille mellom to kategorier.

Det som allerede er norsk lov, og som ikke venter på noe:

Arbeidsmiljøloven stiller krav helt uavhengig av om en egen KI-lov kommer på plass. Innføring av verktøy som overvåker eller styrer ansattes arbeidshverdag, kan utløse reglene om kontrolltiltak i kapittel 9, som skal drøftes med tillitsvalgte før innføring, uansett bedriftens størrelse. Loven pålegger også arbeidsgiver å sørge for nødvendig opplæring i nye systemer, jf. § 4-2, og å være oppmerksom på diskriminering etter kapittel 13 dersom et KI-verktøy er trent på skjeve data.

Personopplysningsloven og GDPR gjelder i det øyeblikket et KI-verktøy behandler personopplysninger, enten det er en språkmodell som får tilgang til dokumenter med kundedata, eller et system som logger ansattes bruk. Da må virksomheten ha et rettslig grunnlag klart, og ofte dokumentere en personvernkonsekvensvurdering.

Disse to gjelder fullt ut, i dag, og kommer til å gjelde uansett hva som skjer med KI-loven videre.

Det som fortsatt er i bevegelse:

EUs KI-forordning (AI Act) er ikke norsk lov ennå, og selve forordningen har vært under aktiv endring fra EUs side gjennom 2026. Detaljene i dette punktet flytter seg oftere enn resten av artikkelen, så vi holder det i en egen, datert boks i stedet for å veve det inn i teksten:

Poenget med å sette denne informasjonen i en boks er ikke bare ryddighet. Det er fordi resten av denne artikkelen ikke skal måtte skrives om hver gang fristen flytter seg igjen — noe den har gjort flere ganger allerede.

Hvorfor det er lurt uansett hvordan fristene ender opp

Uavhengig av når og hvordan KI-loven lander, peker tre strukturelle mønstre samme vei, og de er ikke avhengig av noen bestemt dato.

Bruken vokser raskere enn styringen. Dette er ikke unikt for 2026. Det er mønsteret hver gang en ny teknologi blir billig og tilgjengelig nok til at enkeltansatte kan ta den i bruk uten å spørre noen. KI er bare det nyeste eksempelet, og det mest utbredte. Nøyaktig hvor stor andel norske bedrifter som bruker KI i dag vil endre seg måned for måned — men retningen har vært entydig siden 2023, og det er ingen grunn til å tro den snur.

Shadow AI er normalen, ikke unntaket. Ansatte limer kundelister inn i en chatbot for å få hjelp med segmentering, eller e-poster inn i en gratisversjon av et verktøy for å forbedre formuleringer, uten at noen i ledelsen har tatt stilling til det. Dette skjer i de aller fleste virksomheter som ikke aktivt har tatt stilling til hva som er lov, uavhengig av bransje og størrelse. Samsung-saken fra 2023 er blitt stående som det klassiske eksempelet: ingeniører lastet opp kildekode og interne møtereferater til en offentlig chatbot kort tid etter at verktøyet ble godkjent internt, og informasjonen ble en del av leverandørens treningsgrunnlag.

Tilsynsmyndigheter reagerer på personvernbrudd med reelle beløp, uavhengig av om det handler om KI. Datatilsynet har vist gjennom flere store saker at sanksjonsmulighetene faktisk brukes når kontrollen svikter. Ingen av de mest kjente sakene har handlet spesifikt om generativ KI, men de viser hvilket alvor tilsynet legger i saker der virksomheter ikke har hatt oversikt over egen databehandling. Og et KI-verktøy uten retningslinjer er nettopp det: databehandling uten oversikt.

En AI-policy løser ikke noen av disse tre mønstrene alene. Men den er det første, billigste tiltaket som faktisk flytter noe, fordi den tvinger fram en samtale om hva som er godkjent, hva som ikke er det, og hvem som har ansvaret, før det skjer i praksis uten at noen har tatt stilling til det.

Hva en AI-policy faktisk må dekke

En AI-policy er ikke ett dokument som løser alt. Den er en samling av konkrete svar på spørsmål ansatte allerede stiller seg, om de sier det høyt eller ikke. Dette er strukturelle spørsmål som ikke endrer seg selv om lovverket gjør det:

Hvilke verktøy er godkjent, og til hva. Ikke et generelt «ja til KI», men en liste: ett verktøy er greit til førsteutkast av interne notater, ikke til kundedata. Et annet er integrert og godkjent for e-post og møtereferater. Det som ikke står på listen, er det ikke tatt stilling til ennå, og da skal det avklares før det brukes, ikke etterpå.

Hva som aldri skal limes inn i en KI-tjeneste. Personopplysninger, kildekode, forretningshemmeligheter, uoffentliggjorte styresaker. Dette punktet alene fanger opp det meste av risikoen fra shadow AI, og det er samtidig det enkleste å kommunisere til ansatte som ikke har tid eller interesse for hele regelverket.

Hvem som godkjenner nye verktøy. Uten et definert ansvarspunkt havner beslutningen hos den enkelte ansatte, som verken har forutsetning eller mandat til å vurdere det.

Hva dere gjør når KI-en tar feil. Hallusinasjoner og faktafeil er ikke en unntakstilstand, det er en kjent egenskap ved språkmodeller. En policy som ikke sier noe om menneskelig kontroll og etterprøving, mangler det viktigste punktet.

Hvordan dere involverer tillitsvalgte. For virksomheter over 50 ansatte er dette ikke valgfritt etter arbeidsmiljøloven, og Hovedavtalens tilleggsavtale IV regulerer innføring av ny teknologi spesifikt. Flere virksomheter har god erfaring med å ta med tillitsvalgte allerede i pilotfasen, ikke først når verktøyet er innført.

Hvordan dere viser, om noen spør, at dere faktisk har tenkt gjennom opplæringsbehovet. Dette punktet handler ikke lenger om å oppfylle ett bestemt paragrafnummer med et bestemt skjema. Hverken norsk eller europeisk regelverk krever i dag en spesifikk dokumentasjonsform. Det handler om å kunne vise, kort og enkelt, at ledelsen har vurdert hva de ansatte trenger å vite for å bruke verktøyene forsvarlig, og at det er gjort noe med det. Tre setninger og en dato er ofte nok.

Ingen av disse punktene krever et konsulentbyrå eller et halvt års prosjekt. De krever at noen i ledelsen setter seg ned, går gjennom dem konkret for de verktøyene dere faktisk bruker, og skriver ned svarene.

Hvor dere starter, i praksis

Steg én er ikke å skrive policyen. Det er å kartlegge hva som allerede skjer. De fleste virksomheter blir overrasket over hvor mange KI-verktøy som allerede er i bruk når de først spør. Ikke fordi ansatte har gjort noe galt, men fordi ingen har spurt før.

Lag en enkel oversikt: hvilke verktøy, hvem bruker dem, til hvilke oppgaver, og hvilke data kan havne der. Vurder deretter hvert konkret bruksområde opp mot risiko. Et KI-verktøy som skriver førsteutkast til interne notater er noe helt annet enn ett som er involvert i ansettelser eller kredittvurdering, som faller inn under det KI-forordningen definerer som høyrisiko. Sett så ansvar: hvem godkjenner nye verktøy, og hvem eier policyen når den er skrevet.

Dette er ikke et engangsprosjekt. Verktøyene endrer seg raskere enn de fleste interne rutiner klarer å følge, og en policy som ikke oppdateres, blir fort et dokument ingen lenger stoler på. Det samme gjelder for øvrig regelverksstatusen øverst i denne artikkelen. Behandle den som et øyeblikksbilde, ikke som en fasit som varer evig.

Ofte stilte spørsmål