Kan statsråden forsikre at innrullingen og bruken av KI i offentlig sektor og på Stortinget praktiseres slik at selskaper, fremmede makter under US CLOUD Act og FISA 702, og andre utenforstående ikke …

Kan statsråden forsikre at innrullingen og bruken av KI i offentlig sektor og på Stortinget praktiseres slik at selskaper, fremmede makter under US CLOUD Act og FISA 702, og andre utenforstående ikke får tilgang til, eller kan bruke til KI-trening, hele eller deler av informasjon som er sensitiv, hemmelig eller unntatt offentlighet?

Utviklingen av kunstig intelligens (KI) er eksponentiell, og har blitt en egen revolusjon innad i IT-revolusjonen. Dette byr på banebrytende muligheter for samfunnet som helhet, men bruk av KI som våpen og vern av data byr på store og sterkt voksende trusler.
​Representanten er kjent med at det er gjort forsøksordninger i flere departementer med bruk av KI, inkludert Microsoft Copilot som er gjort til standard for stortingsrepresentantene. I denne løsningen prosesseres og routes data som brukeren mater inn i chatten. Hva da om dette er helseopplysninger, informasjon unntatt offentligheten, eller sågar statshemmeligheter? Innmating av slik data må gjøres etter hjemmel i GDPR.
​Datatilsynet er klare på at etter personvernregelverket har virksomhetene plikt til å vurdere personvernkonsekvensene i ulike løsninger de tar i bruk (Data Protection Impact Assessment - DPIA). Dersom dette ikke er ivaretatt i tråd med Schrems II-dommen, er bruken ulovlig. Det er en farlig illusjon at dataene er trygge bare fordi serverne fysisk står i Norge eller EU.
​Både US CLOUD Act og etterretningsloven FISA 702 tilsier at data kontrollert av et amerikansk eierselskap de facto kan kreves utlevert eller overvåkes av amerikanske myndigheter, fullstendig uavhengig av hvor dataen fysisk er lagret. Dette overstyrer alle lokale, sivile kontrakter. Nettopp derfor har tunge samfunnsaktører som NAV, Skatteetaten og Politiet sagt nei til bruk av MS Copilot.
​I et offisielt brev fra Karianne Tungs eget departement, datert 6. mars 2026, sies det:

​"Den enkelte offentlige myndighet er selv ansvarlig for å gjøre nødvendige vurderinger før de tar i bruk KI, herunder eventuell vurdering av konsekvenser for personvernet..."

​Dette er klassisk ansvarspulverisering, og avslører et digert potensial for sikkerhetsbrudd og data på avveie. Samtidig vet vi at ESA nå retter søkelyset mot dette feltet. Hvis jeg som stortingsrepresentant ber MS Copilot lage et sammendrag av et dokument unntatt offentlighet, risikerer jeg å bryte loven, utfordre Grunnloven § 102 om privatlivets fred, og gjøre dataen tilgjengelig for USA. Dette mangler sidestykke!

Som statsråd for både digitalisering og personvern er jeg glad for at representanten Storbukås setter søkelys på hvordan offentlig sektor kan bruke KI på en måte som ivaretar personvernet og opplysninger som er beskyttet etter annet regelverk.
I tråd med regjeringens helhetlige KI-politikk skal vi gripe mulighetene i kunstig intelligens i trygge rammer – for å øke produktiviteten, styrke konkurransekraften og ivareta nasjonal sikkerhet.
Jeg mener det er viktig at offentlig sektor tar i bruk KI i arbeidet der det gir merverdi. KI er sentralt for å oppfylle målsettingen i regjeringens plan for Norge om å fornye, forsterke og forbedre offentlig sektor. KI skal effektivisere arbeidsprosessene, trygt og ansvarlig, slik at innbyggerne møter en bedre, enklere og mer sammenhengende forvaltning. Derfor har regjeringen satt et mål om at 100 % av offentlige virksomheter skal bruke KI innen 2030. For å akselerere KI-bruken og hente ut gevinstene av KI tryggere og raskere, har vi fremmet dataforvaltningsloven for Stortinget, nå etablerer vi KI Norge, og i høst legger jeg fram både handlingsplanen for bruk av KI i offentlig sektor og handlingsplanen for kompetanse på digital omstilling.
Det følger av ansvarsprinsippet i personvernforordningen at den virksomheten som behandler personopplysninger er ansvarlig for å følge regelverket. Dette gjelder fullt ut også ved bruk av KI. Den enkelte offentlige virksomhet skal derfor forsikre seg om at KI-bruken er i samsvar med personvernregelverket og øvrige relevante krav, herunder krav til informasjonssikkerhet, før løsninger tas i bruk.
Når det er sagt, er jeg også opptatt av at offentlige virksomheter skal få hjelp til å ta i bruk KI på en god og lovlig måte. Veiledning er viktig. Derfor har Digitaliseringsdirektoratet utgitt en generell veileder om KI i offentlig sektor, og derfor etablerer regjeringen nå KI Norge som en del av Digitaliseringsdirektoratet. KI Norge skal blant annet bidra med styrket veiledning i bruk av KI.
For at Norge skal kunne realisere gevinstene i blant annet generativ kunstig intelligens, lanserte jeg i fjor en praktisk guide om bruk av KI-assistenter i arbeidslivet. I guiden kan både private og offentlige virksomheter lære om hvordan de kan følge personvernforordningen, KI-forordningen og annet regelverk. En av kjørereglene i guiden for bruk av KI-assistenter i arbeidslivet er at virksomheter ikke skal legge inn personopplysninger, fortrolig forretningsinformasjon eller andre beskyttede opplysninger i åpne eller usikrede KI-tjenester.
Jeg vil også trekke fram annen nyttig veiledning fra underliggende tilsyn: Hva offentlige virksomheter må tenke på før de tar i bruk MS Copilot, er for eksempel belyst i ett av Datatilsynets sandkasseprosjekter om generativ KI.
KI-assistenter kan likevel brukes til å behandle sensitive opplysninger, for eksempel innen helse. Helsetjenesten må ta i bruk ny teknologi og kunstig intelligens for at Norge skal kunne få mer helse igjen for innsatsen. Dersom et sykehus bruker lukkede løsninger, der pasientens opplysninger ikke blir bruke til å trene den åpne KI-modellen, kan KI-modellen for eksempel brukes til å skrive pasientjournaler.
Representanten spør spesifikt om US CLOUD Act og FISA 702. Overføring av personopplysninger til USA er regulert gjennom Personvernrammeavtalen (Data Privacy Framework), som EU-kommisjonen har fastslått gir tilstrekkelig beskyttelse, og som Norge har sluttet seg til. Virksomheter som overfører personopplysninger til amerikanske selskaper, skal forsikre seg om at det foreligger et gyldig overføringsgrunnlag etter personvernforordningen. Det finnes også andre gyldige overføringsgrunnlag.
Datatilsynet veileder virksomheter om dette.