Bruker du KI i anbudsarbeidet? Dette bør du vite om dataene dine

Kunstig intelligens har blitt en naturlig del av anbudsarbeidet for mange. Men når du laster opp en tidligere besvarelse med priskalkyler og forretningssensitive prosessbeskrivelser, er det rimelig å spørre: hvor blir det egentlig av dataene? Her svarer vi rolig på det, viser hvilke regler som faktisk gjelder akkurat nå, og hva du bør sjekke før du stoler på et verktøy.

Hva du faktisk deler

Det er verdt å skille mellom to slags dokumenter. Konkurransegrunnlaget fra oppdragsgiver er offentlig, og det er sjelden noe problem å legge det inn i et verktøy.

Ditt eget materiale er en annen sak. Priskalkyler og marginer, metodikk og prosessbeskrivelser du har brukt år på å bygge, interne vurderinger av egen kapasitet, og som regel også personopplysninger: navn, stillinger og CV-er på folkene du tilbyr.

Bruker du et KI-verktøy, sender du denne informasjonen ut av huset. Det trenger ikke være farlig. Men det er verdt å vite hvor den havner, hvor lenge den blir liggende, og hva leverandøren har lov til å gjøre med den.

To regelverk, ikke ett

Her er det lett å blande sammen to ting som henger sammen, men som ikke gjelder likt.

Personvernreglene (GDPR) gjelder allerede, i hele EØS. Behandler verktøyet personopplysninger, gjelder de fullt ut, i Norge gjennom personopplysningsloven. Det gjør vurderingen enklere for deg som selger i flere land: du kan stille de samme spørsmålene til en leverandør uansett om du leverer tilbud i Norge, Sverige eller Nederland.

KI-forordningen er en annen sak. EUs regelverk for kunstig intelligens begynte å bli håndhevet i EU 2. august 2026, samtidig som nye åpenhetsregler trådte i kraft. De handler blant annet om at brukere skal få vite når de snakker med en KI og ikke et menneske, og at KI-generert innhold skal merkes. De tyngste kravene til såkalte høyrisikosystemer er utsatt til 2. desember 2027 og 2. august 2028.

Og her kommer poenget for norske lesere: KI-forordningen gjelder ikke i Norge ennå. Den er ikke innlemmet i EØS-avtalen, og den norske KI-loven er ikke vedtatt. Regjeringen sendte i august 2026 ut beskjed om at loven går på ny høring i høst, med ambisjon om å legges fram for Stortinget våren 2027.

Det betyr ikke at det er fritt fram. Som Digitaliserings- og forvaltningsdepartementet selv påpeker, gjelder personvernregelverket, straffeloven og åndsverkloven uansett. Og leverer du inn i et EU-land, eller bruker et verktøy fra en leverandør som selger inn i EU, er du uansett i nærheten av regelverket.

Spørsmålene du bør stille leverandøren

Før du tar i bruk et verktøy, still noen enkle spørsmål. De er ikke tekniske, og du trenger ikke være ekspert for å vurdere svarene.

• Hvor lagres og behandles dataene? Innenfor EØS, eller andre steder? Lagring utenfor EØS er ikke ulovlig i seg selv, men det krever et eget rettslig grunnlag. Be leverandøren si hvilket.
• Brukes dataene til å trene modellen? Eller holdes de adskilt og brukes bare for deg? Dette skal stå i avtalen, ikke bare i en markedsføringstekst.
• Hvem har tilgang, og hvor lenge blir dataene liggende? Spør konkret om sletting og om underleverandører.
• Finnes det en databehandleravtale? Behandler leverandøren personopplysninger på dine vegne, er en skriftlig avtale et krav etter personvernforordningen artikkel 28 nr. 3. Det er ikke en formalitet du kan hoppe over.
• Kan de dokumentere sikkerhetsarbeidet? For eksempel gjennom en sertifisering som ISO 27001, eller en åpen oversikt over underleverandører og sikkerhetstiltak.

Gode leverandører svarer tydelig på dette, og har svarene liggende klare. Er svarene vage eller vanskelige å få tak i, er det i seg selv et signal.

Litt om lagring utenfor EØS

Mange KI-verktøy er amerikanske. Overføring av personopplysninger til USA skjer i dag i hovedsak under EUs såkalte adekvansbeslutning, EU-US Data Privacy Framework. Den er fortsatt gyldig. EUs underrett avviste et søksmål mot den i september 2025, men avgjørelsen er anket, og Personvernrådet i EU ba i juli 2026 EU-kommisjonen om å vurdere på nytt om grunnlaget holder.

Vår vurdering er at dette ikke er noe du trenger å miste nattesøvnen av. Men det er en god grunn til å vite hvor leverandøren din står, og til å spørre hva planen er dersom rammene endrer seg.

Slik ser innkjøperen på det

Dette er ikke bare din problemstilling. Offentlige innkjøpere får nå ganske detaljert veiledning om det samme.

DFØ skriver i sin veiledning om sikkerhet og informasjonsbehandling ved bruk av KI at virksomheter må klassifisere informasjon før den sendes inn i en KI-tjeneste. Åpen og intern informasjon kan i mange tilfeller behandles i kommersielle skytjenester, sensitiv informasjon krever særskilt vurdering, og gradert informasjon skal ikke legges inn i kommersielle KI-tjenester i det hele tatt. Opplysninger underlagt taushetsplikt hører til samme kategori. Veiledningen sier også at data som utgangspunkt skal behandles innenfor EØS, og at virksomheten aktivt må sjekke at tjenesten faktisk er satt opp slik.

Slik vi leser dette, er det verdt å merke seg for deg som leverandør. Kunden på den andre siden av bordet blir bedt om å tenke gjennom nøyaktig de samme spørsmålene som du bør stille din egen leverandør. Da kan det være en fordel å ha svarene klare før noen spør.

Hva du bør gjøre

• Lag en enkel intern kjøreregel. Hva kan legges inn i hvilke verktøy? Det er urimelig å be den enkelte tilbudsskriveren ta den vurderingen alene hver gang.
• Sjekk om det finnes en databehandleravtale for verktøyene dere allerede bruker. Ofte er svaret nei, rett og slett fordi ingen har spurt.
• Ha dokumentasjonen samlet. Sertifiseringer, rutiner og avtaler bør ligge ett sted, klare til å hentes fram.
• Spør leverandøren direkte. Du har krav på et forståelig svar, og du trenger ikke godta et som ikke er det.

Avslutningsvis

Du trenger ikke å være ekspert på datasikkerhet for å ta gode valg i offentlige anskaffelser. Det holder å vite hvilke regler som faktisk gjelder, stille de riktige spørsmålene, og velge verktøy som svarer tydelig på dem.

I Cobrief har vi lagt vår egen dokumentasjon åpent ut i et Trust Center, slik at du kan sjekke oss på de samme punktene vi ber deg sjekke andre på. Ta gjerne en prat med oss om hvordan du kan bruke KI i anbudsarbeidet med god samvittighet.