Kan bedriften bruke ChatGPT med kundeopplysninger?

Av Remco Haes, Narvik · Faktasjekket 14. november 2026

Mange begynner med KI (AI) ved å lime en kundehenvendelse inn i ChatGPT og be om et svarutkast. Det sparer tid, og det er lett å glemme at henvendelsen inneholder opplysninger om en person.

Hva regnes som kundeopplysninger?

Alt som kan knyttes til en bestemt person, er en personopplysning: navn, telefonnummer, e-postadresse, adresse, bilder fra noens hjem eller detaljer i en klage. En helt vanlig henvendelse til en rørlegger, som «Det drypper under vasken hjemme hos oss på Fagernes, her er et bilde», inneholder flere av dem.

KI Norge, den nasjonale KI-arenaen i Digitaliseringsdirektoratet, skriver at «en chatbot som svarer på kundespørsmål behandler som regel personopplysninger». Det samme gjelder når du selv limer inn en e-post og ber ChatGPT om et svar.

Hvem har ansvaret, ChatGPT eller bedriften?

Bedriften. KI Norge skriver det rett ut:

Personvernreglene skiller mellom to roller:

• Behandlingsansvarlig er bedriften som bestemmer hva opplysningene brukes til. Det er dere.
• Databehandler er leverandøren som behandler opplysningene på deres vegne og etter deres instruks, for eksempel OpenAI eller Microsoft når dere har en bedriftsavtale, eller en konsulent som drifter løsningen for dere. Med en privat gratis- eller Plus-konto gjelder OpenAIs egne vilkår, og da er OpenAI ikke databehandler for dere.

Forholdet mellom dere og leverandøren skal stå i en databehandleravtale. Datatilsynet skriver at avtalen må være bindende og skriftlig, og at den kan være elektronisk. Hos de store leverandørene er det ofte en standardavtale dere godtar eller ber om på nett. Ha den på plass før leverandøren får se de første kundeopplysningene, og ta vare på en kopi.

Hva er forskjellen på gratisversjonen og bedriftsversjonen av ChatGPT?

Bedriftsversjonen gir dere en databehandleravtale med OpenAI, og samtalene brukes ikke til å trene modellene som standard. Gratisversjonen og Plus er privatkontoer uten databehandleravtale, og samtalene brukes til trening hvis ingen har skrudd det av.

API betyr at ChatGPT er koblet inn i et annet program, for eksempel en KI-agent. Vilkårene endrer seg, så sjekk hva som gjelder for akkurat den versjonen dere bruker. Det samme gjelder andre verktøy, som Copilot.

Bruker de ansatte gratisversjonen på egen telefon til jobb-e-post, har bedriften liten oversikt over hvor kundeopplysningene havner.

Er det et problem at OpenAI er et amerikansk selskap?

Det går an, så lenge det finnes et lovlig grunnlag for å sende opplysningene ut av EØS. Datatilsynet skriver at all overføring av personopplysninger ut av EØS krever et særskilt grunnlag. For USA kan det være at selskapet er sertifisert under Data Privacy Framework, ordningen mellom EU og USA, eller at avtalen bygger på EUs standardavtaler. Sjekk hva som står i databehandleravtalen.

At dataene lagres i Europa, er ikke nok alene. Datatilsynet peker på at support og annen tilgang fra land utenfor EØS også kan regnes som overføring, og at ingen i leverandørkjeden skal overføre opplysningene ulovlig. Spør derfor leverandøren hvem som kan se opplysningene, og fra hvilket land.

Må vi gjøre en vurdering av personvernkonsekvenser (DPIA)?

Bare når behandlingen sannsynligvis gir høy risiko for kundene. Da kreves en full vurdering av personvernkonsekvenser (DPIA). En enklere risikovurdering skal alle gjøre: KI Norge skriver at alle som behandler personopplysninger, har plikt til å vurdere risikoen. Er risikoen høy og dere ikke klarer å redusere den, skal Datatilsynet involveres før dere starter.

For en bedrift som lar et verktøy lese vanlige henvendelser om tilbud og befaring, starter det som regel med en enkel, skriftlig risikovurdering. Kommer dere fram til at en full DPIA ikke trengs, bør dere skrive ned hvorfor. Inneholder henvendelsene ofte helseopplysninger eller andre sensitive opplysninger, kan en full DPIA være påkrevd: Datatilsynets liste over behandlinger som alltid krever DPIA, omfatter innovativ teknologi kombinert med for eksempel helseopplysninger. Da er det lurt å gå gjennom det med en rådgiver.

Gjelder KI-loven i Norge ennå?

Nei. KI-loven er ikke vedtatt i Norge, og det er ikke fastsatt når den skal gjelde. Personvernreglene og annet regelverk gjelder allerede for bruk av KI.

KI Norge skriver at chatboter i kundeservice vil få krav om åpenhet, slik at kundene ser at de snakker med et KI-system. Svarer et verktøy kundene deres direkte, er det lurt å fortelle dem det fra første dag.

Sjekkliste før kundeopplysninger går inn i et KI-verktøy

Slik gjør jeg det når jeg setter opp en KI-agent (AI-agent)

Når jeg setter opp en KI-agent for en bedrift, går vi gjennom dette før agenten får se den første e-posten:

1. Vi skriver ned hvilke opplysninger agenten trenger, og lar resten være. Ofte holder det med en egen postkasse for henvendelser.
2. Dere velger hvor språkmodellen, selve KI-en, kjører: hos en leverandør med databehandleravtale eller på en maskin på kontoret deres. En maskin på kontoret er tregere, men da blir teksten hos dere.
3. Før oppstart er databehandleravtalene på plass, også med meg hvis jeg drifter agenten, og en kort risikovurdering er skrevet ned.
4. Agenten lager utkast, og ingenting går til en kunde før noen hos dere har sagt ja.
5. Alt agenten gjør, blir skrevet ned i en logg, og agenten kan stoppes når som helst.
6. Har dere en IT-leverandør, snakker jeg med dem før vi starter.

Hvem passer dette for, og hvem bør vente?

Å la KI lese kundehenvendelser passer godt for bedrifter som får mange henvendelser av samme slag på e-post, for eksempel forespørsler om tilbud, bestillinger og spørsmål om status.

Vent litt, eller gå grundigere til verks, hvis henvendelsene ofte inneholder helseopplysninger, eller hvis dere ikke vet hvor kundeopplysningene ligger i dag. Da lønner det seg å rydde først.

Andre spørsmål

Kan de ansatte bruke ChatGPT på egen telefon i jobben?
Ja, men ikke med kundeopplysninger i private kontoer. Lag en enkel regel for det. Trenger dere verktøyet i jobben, bør dere bruke en bedriftsversjon med databehandleravtale.

Vi har allerede limt inn kundeopplysninger i gratisversjonen. Hva nå?
Skru av «Forbedre modellen for alle» under Innstillinger og Datakontroller, og slett samtalene. Det stopper trening på samtalene fra nå av, men opplysningene er allerede delt med OpenAI, og det kan regnes som et avvik. Skriv kort ned hva som skjedde og hvilke kunder det gjelder. Datatilsynet skal ha melding innen 72 timer, med mindre dere er tilnærmet sikre på at det ikke gir noen risiko for kundene. Innfør regelen over fra nå av, og spør en rådgiver hvis du er usikker.

Hjelper det å fjerne navnet før jeg limer inn en e-post?
Det hjelper, men adresse, bilder og detaljer kan fortsatt peke på en bestemt person. Da er det like fullt en personopplysning.

Kilder

• KI Norge: Personvern og KI, publisert 4. juni 2026
• KI Norge: KI-loven: Dette bør du vite, publisert 7. juni 2026
• Datatilsynet: Behandlingsansvarlig og databehandler
• Datatilsynet: Når må man inngå databehandleravtale?, sist endret 27. juli 2023
• Datatilsynet: Vurdering av personvernkonsekvenser (DPIA), sist endret 27. juli 2023
• Datatilsynet: Overføring av personopplysninger ut av EØS, sist endret 29. januar 2026
• Datatilsynet: Opplysninger behandlet i EØS, inkludert skytjenester i EØS, sist endret 29. januar 2026
• Datatilsynet: Områder med tilstrekkelig beskyttelsesnivå
• Datatilsynet: Hvilke brudd skal meldes til Datatilsynet?
• OpenAI: Business data privacy, security, and compliance
• OpenAI: Datakontroller i ChatGPT

Dette er en oversikt, ikke juridisk rådgivning. Regler og vilkår endrer seg, og artikkelen ble sist kontrollert 14. november 2026.

Om forfatteren: Remco Haes setter opp KI-agenter for bedrifter i Narvik og omegn. I sin egen bedrift har han fire agenter som jobber hver arbeidsdag, og alt de skriver til andre, blir liggende som utkast til han har lest det.