I 2018 var GDPR overalt. Virksomheter kartla, dokumenterte, ryddet og hentet inn ekstern hjelp. Så gikk fristen. Prosjektene ble avsluttet, dokumentene arkivert og oppmerksomheten flyttet videre.

Det var forståelig. Men det skapte også en behagelig forestilling om at GDPR var noe vi hadde gjort.

Nå er KI i ferd med å avsløre problemet med den tankegangen. Når en agent får tilgang til SharePoint, CRM eller kundeservice, blir gamle valg om formål, tilgang og lagring plutselig en del av en ny arbeidsflyt. Personvern er ikke et vedlegg til KI-prosjektet. Det er en egenskap ved løsningen vi bygger.

Konsulentbølgen gjorde jobben sin – og etterlot et problem

GDPR-bølgen fikk virksomheter til å handle. Den løftet personvern opp på lederagendaen og tvang frem bedre oversikt over data, leverandører og ansvar. Det var nødvendig.

Men prosjektformen hadde en bakside. Når arbeidet ble organisert med en startdato, en prosjektleder og en leveranseliste, ble det også lett å tro at jobben hadde en sluttdato. Mange fikk dokumentasjonen på plass uten at personvern ble en naturlig del av produktutvikling, anskaffelser og endring av arbeidsprosesser.

Min mening er at tiden for det frittstående GDPR-prosjektet er over. Godt personvern kan ikke outsources som en bunke dokumenter. Det må eies av dem som bestemmer hvordan arbeidet faktisk skal gjøres.

Konsulenten kan hjelpe med retning og krevende vurderinger. Virksomheten må eie hverdagen.

AI Act dekker ikke alt

AI Act ble generelt gjeldende fra 2. august 2026, med viktige unntak og senere frister for deler av reglene om høyrisikosystemer. Det nye regelverket fortjener oppmerksomhet. Det gir en risikobasert struktur for bestemte KI-systemer, stiller krav til blant annet transparens og fordeler ansvar mellom tilbydere og dem som tar systemene i bruk.

Men AI Act er ikke en ny personvernforordning.

European Data Protection Board er tydelig på at AI Act og EUs personvernregler skal forstås som komplementære og gjensidig forsterkende. GDPR gjelder fortsatt fullt ut når personopplysninger behandles gjennom livsløpet til et KI-system.

Jeg kommer tilbake til AI Act i en egen gjennomgang. Det fortjener et eget kart, ikke en fotnote i en GDPR-artikkel.

KI flytter GDPR inn i arbeidsflyten

Generativ KI påvirker personvern på en annen måte enn mange tradisjonelle systemanskaffelser. Teknologien kommer ikke bare inn som ett nytt register. Den legges oppå eksisterende arbeidsflater og brukes til å søke, oppsummere, vurdere, skrive og foreslå handlinger.

Det gir verdi, men endrer også behandlingen av personopplysninger:

• Møter: En transkripsjon blir til en oppsummering med oppgaver og vurderinger.
• Kunder: En kundehistorikk blir grunnlag for et forslag til neste handling.
• HR: Dokumenter blir søkbare gjennom et samtalegrensesnitt.
• Agenter: Opplysninger fra flere systemer kombineres og sendes videre.
• Tilgang: Et gammelt dokument får et nytt publikum fordi det er lettere å finne.

Ingen av disse eksemplene er nødvendigvis ulovlige. Men de viser hvorfor «vi har allerede tilgang» ikke er en tilstrekkelig vurdering. Tilgang, formål og nødvendighet må vurderes i den nye arbeidsflyten, ikke bare i systemet der opplysningene opprinnelig ble lagret.

Tre spørsmål ledelsen bør stille

Før virksomheten skalerer en KI-løsning, ville jeg begynt med tre spørsmål:

Fra data til ansvar

Vurder hele arbeidsflyten

Hva kommer inn?

Kartlegg kilder, kategorier, tilgang og om løsningen kan trekke inn mer enn brukeren forventer.

Hva er det nye formålet?

Oppsummering kan være innenfor det opprinnelige formålet. Profilering, rangering eller ny beslutningsstøtte kan kreve en annen vurdering.

Hva skjer med resultatet?

Avklar kontroll, lagring, deling, sletting og hvem som har ansvar når KI-svaret brukes videre.

Dette er ikke spørsmål som bør ligge hos juristen alene. De må besvares av ledere, prosjekteiere, fagpersoner, sikkerhetsmiljø og dem som kjenner arbeidsprosessen.

Tilgang, formål og nødvendighet må vurderes i den nye arbeidsflyten – ikke bare i systemet der opplysningene ble lagret.

En oppfrisking bør være obligatorisk

Jeg tror alle som bruker KI med virksomhetsdata, bør få en kort oppfrisking i GDPR. Ikke et nytt heldagsseminar med paragrafer, men et praktisk minimum: Hva er en personopplysning, hva betyr formålsbegrensning og dataminimering, og når skal jeg stoppe og be om hjelp?

De som leder innføring eller utvikling, trenger mer. De må forstå personvernrisiko, DPIA, innebygd personvern, datakartlegging, behandlingsgrunnlag og hvordan valgene dokumenteres og følges opp gjennom prosjektløpet.

Det er bakgrunnen for at jeg har hentet frem og relansert to tidligere GDPR-kurs. Begge er oppdatert, gratis og tilgjengelige uten registrering eller innlogging:

Noen bør ta begge. Grunnkurset gir et felles språk. Fordypningen viser hvordan prinsippene bygges inn i løsningene og arbeidsprosessene.

GDPR er viktig igjen – fordi arbeidet endrer seg

Det mest interessante med dagens KI-bølge er ikke bare hva teknologien kan gjøre. Det er hvordan den flytter grenser mellom systemer, roller og beslutninger. Opplysninger blir lettere å finne, kombinere og bruke på nye måter. Arbeidsprosesser som tidligere var manuelle, kan bli delvis automatiserte.

Da holder det ikke å peke på en personvernerklæring eller anta at AI Act tar seg av resten. Virksomheten må forstå hva som faktisk skjer med dataene i den konkrete arbeidsflyten.

GDPR trenger ikke en ny konsulentboom. Det trenger en ny plass i samtalen – nærmere ledelsen, prosjektene og hverdagsvalgene. Oppfriskingen er et lite sted å begynne. Det viktige er at personvern blir en del av måten vi bygger bedre arbeid på.