KI-retningslinjer: hva de skal inneholde, med eksempler

Innholdet i KI-retningslinjene – avsnitt for avsnitt

For hvert avsnitt står det hva det skal dekke, og for de vanskeligste avsnittene et eksempel på formulering. Bytt ut hakeparentesene med deres egne opplysninger.

1. Formål og virkeområde

Forklar hvorfor retningslinjene finnes og hvem de gjelder for: ansatte, innleide, konsulenter og alle som bruker KI på virksomhetens vegne. Ta med alle typer KI-verktøy, ikke bare chatboter: kodeassistenter, transkripsjon, bildegeneratorer og KI-funksjoner i systemer dere allerede har.

Eksempel: «Retningslinjene gjelder for alle ansatte, innleide og konsulenter som bruker KI-verktøy i arbeid for [Virksomheten], uansett om verktøyet leveres av [Virksomheten], er en del av programvare vi har lisens på, eller brukes via en privat konto.»

2. Godkjente verktøy

List opp verktøyene som kan brukes og for hvilke informasjonsklasser, eller vis til en oppdatert liste på intranettet. Navngi bedriftsversjonen uttrykkelig, for eksempel Microsoft 365 Copilot med jobbkonto, ikke forbrukerversjonen. Beskriv hvordan man ber om et nytt verktøy. Listen bør hentes fra KI-registeret, slik at de to alltid stemmer overens.

Eksempel: «Bare verktøy på listen Godkjente KI-verktøy kan brukes i arbeidet. Nye verktøy bestilles hos [ansvarlig for KI-styring] via [skjema] og tas i bruk først etter vurdering av sikkerhet, personvern og leverandør.»

3. Informasjonsklasser – dette skal aldri legges inn

Dette avsnittet forebygger flest hendelser. Knytt informasjonsklassene dere allerede har (for eksempel åpen, intern, fortrolig, strengt fortrolig) til KI-regler, og list opp det som er helt forbudt i verktøy som ikke er godkjent for det.

Eksempel: «Legg aldri inn følgende i et KI-verktøy med mindre verktøyet er skriftlig godkjent for den informasjonsklassen: passord, API-nøkler eller andre påloggingsdata; personopplysninger om kunder eller ansatte; særlige kategorier personopplysninger som helse, biometri eller fagforeningsmedlemskap; fødselsnummer; kortdata; upubliserte økonomiske tall; kildekode merket fortrolig; opplysninger underlagt taushetsplikt eller konfidensialitetsavtale med kunde.»

I offentlig sektor må avsnittet også dekke taushetsplikt etter forvaltningsloven og særlovgivning, og hvilke opplysninger som kan deles med en ekstern skytjeneste.

4. Kontroll av KI-svar og ansvar

Gjør det klart at den som bruker KI, eier resultatet. Svar skal kontrolleres for riktighet, skjevheter, opphavsrett og egnethet før de brukes eller deles. Beslutninger om mennesker krever ekstra aktsomhet.

Eksempel: «Du er ansvarlig for alt arbeid du gjør med hjelp av KI. Kontroller fakta, tall, kilder og kode før bruk. KI-svar skal aldri være eneste grunnlag for en beslutning om en persons ansettelse, kreditt, tilgang til tjenester eller rettigheter; en person med myndighet skal vurdere og kunne endre utfallet.»

5. Forbudt bruk

List opp det som aldri er tillatt. Start med den forbudte KI-praksisen i artikkel 5 som realistisk kan forekomme i en virksomhet, og legg til egne grenser:

• KI som tolker følelsene til ansatte, for eksempel stemningsanalyse av videomøter, unntatt av medisinske eller sikkerhetsmessige grunner.
• Biometrisk kategorisering som utleder etnisitet, politisk syn, religion eller seksuell orientering.
• Manipulerende teknikker som vesentlig endrer noens atferd og sannsynligvis gir betydelig skade, eller som utnytter sårbarhet knyttet til alder, funksjonsnedsettelse eller sosial og økonomisk situasjon.
• Å lage seksualisert materiale av identifiserbare personer uten samtykke, eller materiale med seksuelle overgrep mot barn. Overgrepsmateriale er allerede straffbart i Norge, og deling av krenkende seksualiserte bilder kan også være det. I EU blir begge deler forbudt KI-praksis fra 2. desember 2026.
• Egne grenser, for eksempel å utgi seg for å være en annen person, lage trakasserende innhold eller la KI ta endelige beslutninger om ansettelse eller oppsigelse.

6. Åpenhet og merking

Beskriv når ansatte må opplyse om at KI er brukt. Etter artikkel 50 skal personer få vite at de samhandler med en KI dersom det ikke er åpenbart, og deepfakes – bilder, lyd eller video som ligner ekte personer eller hendelser – skal merkes. KI-generert tekst som publiseres for å informere allmennheten om saker av allmenn interesse, skal også merkes, med mindre den har vært gjennom redaksjonell kontroll.

Eksempel: «Chatboter og stemmeassistenter som møter kunder, skal ved starten av samtalen si at de er KI. Bilder, video og lyd som er laget eller vesentlig endret med KI og viser virkelige personer, steder eller hendelser, skal merkes som KI-generert før publisering.»

7. Opphavsrett og fortrolighet

Beskriv hvem som eier resultatet, risikoen for at KI gjengir beskyttet materiale, og hvordan kundenes fortrolighet ivaretas. Krev kontroll av lisensvilkår for generert kode og bilder, og forby opplasting av materiale virksomheten ikke har rett til å behandle.

8. Sikkerhet og skygge-KI

Forby private KI-kontoer i jobbsammenheng og ikke-godkjente nettlesertillegg som leser sideinnhold. Krev pålogging med jobbkonto (SSO) der det finnes. Forklar hvorfor: forbrukervilkår kan tillate at leverandøren trener på det dere skriver, og det finnes ingen logging.

Eksempel: «Ikke bruk private kontoer i KI-tjenester til arbeid for [Virksomheten], og ikke installer KI-tillegg, programtillegg eller møteroboter som ikke står på listen Godkjente KI-verktøy. IT kan sperre eller fjerne verktøy som ikke er godkjent.»

9. Melding av avvik

Definer hva som er et KI-avvik – fortrolig informasjon i et verktøy som ikke er godkjent, et diskriminerende svar, en chatbot som gir kunder feil opplysninger – og hvordan det meldes, helst gjennom den vanlige avviksrutinen. Gjelder det personopplysninger, kan det være et brudd på personopplysningssikkerheten som må vurderes for melding til Datatilsynet innen 72 timer. Gjør det trygt å melde ærlige feil, ellers melder ingen.

10. KI-kompetanse og opplæring

Krev rolletilpasset opplæring før tilgang til KI-verktøy, og gjenta den jevnlig. Roller med høyere risiko, som HR-medarbeidere som bruker et rangeringsverktøy, trenger mer. Ta vare på deltakerlister og kursinnhold. Se hvilken opplæring KI-forordningen forventer.

11. Roller og ansvar

Skriv hvem som eier retningslinjene (ofte sikkerhetssjef eller en ansvarlig for KI-styring), hvem som godkjenner verktøy, hvem som svarer på personvernspørsmål (personvernombudet) og hva ledere skal gjøre.

12. Revisjon og etterlevelse

Sett en dato for gjennomgang, minst årlig og oftere mens teknologien og reglene endres raskt. Skriv at brudd behandles etter ordinære personalrutiner, og før versjonshistorikk. Hvordan retningslinjene henger sammen med rammeverk, risikovurdering og leverandørkontroll, er beskrevet i artikkelen om styringsrammeverk for KI.

Gjør og ikke gjør – på én side

Slik innfører dere KI-retningslinjene i en norsk virksomhet

1. Ta utgangspunkt i det som brukes. Listen over godkjente verktøy må speile virkeligheten. Kartlegg først.
2. Vurder leverandørene før dere godkjenner. Se på bruk av data, lagringstid, lagringssted, sikkerhet og modellbytter.
3. Test utkastet på ekte brukere fra salg, HR, utvikling og økonomi, og skriv om alt som misforstås.
4. Drøft med tillitsvalgte. Etter arbeidsmiljøloven kapittel 9 skal kontrolltiltak overfor arbeidstakere drøftes med tillitsvalgte så tidlig som mulig. Logging og overvåking av KI-bruk kan være et slikt tiltak, og innføring av nye verktøy som endrer arbeidet, er også et tema etter hovedavtalene. Avklar med HR og arbeidsrettsjurist tidlig.
5. Lanser med opplæring, ikke bare en e-post. En halvtime med virkelige eksempler gir mer enn en PDF på intranettet.
6. Støtt opp med tekniske kontroller: SSO, sperring av tjenester som ikke er godkjent der det er forholdsmessig, og logging.
7. Følg opp etter plan, minst årlig og når nye verktøy eller regler kommer.

Ofte stilte spørsmål

Hva er KI-retningslinjer?

KI-retningslinjer, ofte kalt KI-policy, er et internt styringsdokument som forteller ansatte og innleide hvordan de kan og ikke kan bruke KI-verktøy i jobben. De inneholder normalt godkjente verktøy, informasjon som aldri skal legges inn, regler for kontroll av svar, forbudt bruk, krav til åpenhet, sikkerhetsregler og hvordan avvik meldes.

Er KI-retningslinjer påkrevd?

Ikke uttrykkelig. KI-forordningen krever tiltak for KI-kompetanse, at forbudt praksis ikke brukes, og åpenhet ved enkelte typer KI-bruk. Retningslinjer sammen med opplæring er for de fleste den mest praktiske måten å vise at slike tiltak finnes. I Norge gjelder pliktene når KI-loven trer i kraft, men GDPR gjelder for KI-bruk allerede nå.

Finnes det gode eksempler på KI-retningslinjer?

Eksempeltekstene over dekker de avsnittene som er vanskeligst: virkeområde, godkjente verktøy, informasjonsklasser, kontroll av svar, åpenhet og skygge-KI. Tilpass dem til egne verktøy og informasjonsklasser. Ikke kopier en annen virksomhets retningslinjer direkte, for de speiler deres verktøy, avtaler og risikovilje.

Bør vi forby ChatGPT?

Totalforbud fungerer sjelden. Ansatte går over til private kontoer og mobilen, og da får dere skygge-KI helt uten kontroll. Det er bedre å godkjenne bedriftsversjoner med gode avtalevilkår, sette tydelige regler for informasjon og bare sperre verktøy som ikke kan gjøres trygge.

Må KI-retningslinjene drøftes med tillitsvalgte?

Ofte, ja. Hvis KI-bruken logges eller brukes til å følge med på de ansatte, kan det være et kontrolltiltak som skal drøftes etter arbeidsmiljøloven kapittel 9. Endringer i arbeidsverktøy og arbeidsmåter er også tema for medvirkning etter hovedavtalene. Ta det opp tidlig.

Få KI-retningslinjene skrevet for dere

Oversikten over er nok til å skrive retningslinjene selv. Vil dere heller starte fra et utkast som allerede speiler verktøyene, informasjonen og risikovurderingen deres, kan dere bruke Opsios gratis mal for KI-policy og retningslinjer for bruk av KI: fjorten steg med spørsmål på norsk, rundt 40 minutter, og så snart dere sender inn, får dere fire styringsdokumenter skrevet ut fra svarene – retningslinjer for bruk av KI, rammeverk for KI-styring, sjekkliste for KI-leverandører og mal for risikovurdering – pluss et modenhetsbilde over ti områder. Dokumentene leveres på engelsk som redigerbare Word-filer og er deres. Gratis og uten forpliktelser.

Denne artikkelen er generell informasjon og ikke juridisk rådgivning. Kontroller den konsoliderte teksten til forordning (EU) 2024/1689 slik den er endret ved forordning (EU) 2026/1744, og følg med på regjeringen.no for status for KI-loven og EØS-innlemmelsen. Opplysningene gjelder per oktober 2026.