Målfrid

Innkjøp

Kravspesifikasjon: KI-assistent for kommuner (mal til Doffin)

Sist oppdatert

Åpner utskriftsdialogen. Velg «Lagre som PDF» som skriver.

Versjon 1.0, 21. oktober 2026. Malen er laget for at en kommune eller et IKT-samarbeid skal kunne kopiere kravene inn i et konkurransegrunnlag på Doffin. Kravene er leverandørnøytrale. Kolonnen «Slik svarer Målfrid» viser hva Målfrid dekker i dag, og tas bort før utlysing.

Malen er ikke juridisk rådgivning. Innkjøpsrådgiveren i kommunen avgjør hvilken del av anskaffelsesregelverket som gjelder, og hvilken prosedyre som skal brukes.

1. Slik bruker du malen

  1. Fyll ut feltene i hakeparentes, for eksempel [Kommunen fyller ut].
  2. Velg hvilke krav som er skal-krav (S) og hvilke som er ønsker (Ø). Skal-krav som ikke er oppfylt, gir avvisning. Ønsker gir poeng i evalueringen.
  3. Legg ved databehandleravtalen og la tilbyderen krysse av for avvik. Kommunens egen DPIA gjøres ferdig før kontrakt, med underlag fra tilbyder (DPIA-underlag).
  4. Fjern kolonnen «Slik svarer Målfrid» før dokumentet publiseres.

2. Bakgrunn og formål

[Kommunen fyller ut: hvem dere er, hvilke enheter som skal bruke tjenesten, og hva dere vil oppnå.]

Anskaffelsen gjelder en KI-assistent for ansatte i kommunen: en tjeneste som svarer ut fra kommunens egne dokumenter og lovverk, viser kildene, og logger bruken slik at arkivet kan svare på innsynskrav. Tjenesten skal ikke fatte vedtak, og den er ikke rettet mot innbyggerne.

3. Omfang

PunktBeskrivelse
Brukere[antall ansatte og enheter]
MålformBokmål og nynorsk likestilt: [Kommunen fyller ut standard målform]
DataklasserÅpen, Intern, Konfidensiell og Personopplysninger. Kommunen avgjør hvilke som skal brukes
Kontraktsperiode[Kommunen fyller ut, for eksempel pilot i 3 til 4 måneder og opsjon på videre bruk]
IntegrasjonerInnlogging med Microsoft Entra ID. Arkiv: [Kommunen fyller ut: Noark 5-system, for eksempel WebSak, Public 360 eller ePhorte]

4. Krav

Forklaring: S er skal-krav, Ø er ønske. «Dokumentasjon» er det tilbyder må legge ved tilbudet. Kolonnen «Slik svarer Målfrid» bruker disse verdiene: Dekket (finnes i dag), Bygges (utvikles sammen med pilotkommuner) og Avtales (settes av kommunen og Målfrid i kontrakten).

4.1 Funksjon

IDKravTypeDokumentasjonSlik svarer Målfrid
F1Hvert svar skal ha nummererte kilder som brukeren kan åpne og kontrollereSBeskrivelse og demoDekket
F2Tjenesten skal kunne søke i kommunens egne dokumenter (reglement, rutiner, planer, møtebøker), og hver kunnskapsbase skal ha en eier og en delingsgrenseSBeskrivelseDekket
F3Grensesnitt, maler og generert tekst skal følge valgt målform, bokmål eller nynorsk, uten oversettelse i etterkantSDemo på begge målformerDekket
F4Kommunen skal kunne lage og tilpasse egne assistenter fra maler, med godkjenning før publiseringSBeskrivelseDekket
F5Svar skal presenteres som utkast. Tjenesten skal ikke fatte eller sende vedtakSBeskrivelseDekket
F6Tjenesten bør kunne skrive om tekst til klarspråk, på bokmål og nynorskØDemoDekket
F7Tjenesten bør kunne lage referat fra lydopptak av møterØDemo og opplysninger om hvor lyden behandlesDekket
F8Tjenesten bør kunne støtte høringsanalyse, sjekk av vedtaksbrev og sortering av innkommende post, uten at noe sendes eller journalføres automatiskØDemoDekket
F9Tjenesten bør inneholde opplæring som dokumenterer kravet til KI-kompetanse (KI-forordningen art. 4), med kursbevis og rapport per enhetØKursbeskrivelseDekket

4.2 Personvern og dataflyt

IDKravTypeDokumentasjonSlik svarer Målfrid
P1Tilbyder skal inngå databehandleravtale etter GDPR art. 28 som minst dekker kommunens mal. Avvik skal angisSDatabehandleravtaleDekket, se databehandleravtalen
P2All behandling av kommunens data, også kall til språkmodeller, skal skje i EU/EØS. Tilbyder skal oppgi sted for hver underdatabehandlerSRegister over underdatabehandlereDekket, se registeret
P3Ny eller utskiftet underdatabehandler skal kreve kommunens skriftlige forhåndsgodkjenning, med varsel minst 30 dager før endringenSAvtaletekstDekket
P4Kommunens data og samtaler skal ikke brukes til å trene modeller, verken hos tilbyder eller hos underdatabehandlereSAvtaletekst og leverandørkravDekket som avtalekrav
P5Tjenesten skal ha dataklasser som styrer hvilke modeller som kan brukes, hvordan innhold lagres og hvor lenge det beholdesSBeskrivelseDekket
P6Brukeren skal hindres i å sende personopplysninger i en samtale som er merket åpenØBeskrivelseDekket
P7Konfidensielt innhold og personopplysninger skal være kryptert felt for felt, utover kryptering av lagring og trafikkSBeskrivelse og databehandleravtalens bilag 4Dekket
P8Kommunen skal selv kunne stramme inn hvilke modeller og leverandører som brukes, og en overordnet enhet skal kunne låse valgetØBeskrivelseDekket
P9Tilbyder skal levere underlag til kommunens DPIA og en risikovurdering (ROS)SDPIA-underlag og ROSDekket, se DPIA og ROS
P10Tilbyder skal bistå kommunen når en registrert vil bruke rettighetene sine, og videresende henvendelser uten ugrunnet oppholdSRutineDekket, se registrertes rettigheter
P11Tilbyder skal varsle kommunen om brudd på personopplysningssikkerheten uten ugrunnet opphold, med mål om innen 24 timerSRutine for avvikDekket som mål, se avvikshåndtering
P12Overføring til land utenfor EØS skal ikke skje uten skriftlig godkjenning fra kommunen og gyldig overføringsgrunnlagSOverføringsvurderingDekket, se TIA

4.3 Informasjonssikkerhet

IDKravTypeDokumentasjonSlik svarer Målfrid
S1Innlogging skal skje med kommunens egen identitetsløsning (Microsoft Entra ID), med flerfaktor. For konfidensielt innhold og personopplysninger skal det kreves sterkere innlogging (sikkerhetsnøkkel eller tilsvarende)SBeskrivelseDekket
S2Tilgang skal avgjøres på tjenersiden, med roller som arves nedover i organisasjonenSBeskrivelseDekket
S3Kommunens data skal være teknisk skilt fra andre kunders data, og isolasjonen skal testesSBeskrivelse og testdokumentasjonDekket. Testes automatisk ved hver endring
S4Tilbyder skal bruke NSMs grunnprinsipper for IKT-sikkerhet som utgangspunktSEgenvurderingDekket som sjekkliste. Ikke en sertifisering
S5Tilbyder skal ha rutiner for sikkerhetskopi og gjenoppretting, med oppgitte mål for gjenopprettingstidSBeskrivelseDekket. Mål: 4 timer ved sonefeil og 8 timer ved regionfeil
S6Utrulling av nye versjoner skal skje uten nedetidØBeskrivelseDekket
S7Opplastede filer skal skannes for skadevareSBeskrivelseDekket

4.4 Logg, innsyn og arkiv

IDKravTypeDokumentasjonSlik svarer Målfrid
L1Alle meldinger og svar skal loggføres med hvem, når, dataklasse, modell, leverandør og region. Loggen skal ikke inneholde samtaleinnholdetSEksempel på loggeksportDekket
L2Loggen skal kunne utvides, men ikke endres eller slettes av tjenesten selv, og det skal finnes kontrollsummer som viser om den er endret i ettertidSBeskrivelseDekket
L3Kommunens revisor eller arkivadministrator skal kunne eksportere loggen i åpent formatSDemoDekket (JSONL og CSV)
L4Tjenesten skal støtte innsynskrav: søk på tvers av samtaler i egen kommune, forslag til skjerming med lovhjemmel som et menneske godkjenner, og utleveringspakke med kontrollsumSDemoDekket
L5Samtaler og utkast skal kunne eksporteres som Noark 5-pakke og som PDFSEksempelpakkeDekket (pakkeeksport finnes)
L6Journalførte samtaler skal ikke slettes før arkivet har bekreftet mottakSBeskrivelseDekket
L7Tjenesten bør kunne kobles direkte mot kommunens sak- og arkivsystemØBeskrivelseBygges. Arkivkobling mot Noark 5 (pakkeeksport finnes) og WebSak bygges sammen med pilotkommuner
L8Oppbevaringstid per dataklasse skal kunne stilles inn av kommunen, og sletting skal skje automatisk og loggføresSBeskrivelseDekket

4.5 KI-forordningen

IDKravTypeDokumentasjonSlik svarer Målfrid
K1Brukeren skal få beskjed om at hen snakker med KI, og generert innhold skal merkes i grensesnittet og i eksportSBeskrivelseDekket
K2Tilbyder skal ha register over assistenter med formål, risikoklasse, eier og godkjenner, og registeret skal kunne eksporteresSBeskrivelseDekket, se KI-forordningen
K3Tjenesten skal ikke ha funksjoner som er forbudt etter KI-forordningen art. 5SEgenerklæringDekket
K4Tilbyder skal oppgi hvilke modeller som brukes og levere dokumentasjon fra modellleverandøreneSModelloversiktDekket som avtalekrav til modellleverandørene

4.6 Tilgjengelighet og språk

IDKravTypeDokumentasjonSlik svarer Målfrid
U1Løsningen skal følge WCAG 2.1 nivå AA, og tilbyder skal ha en tilgjengelighetserklæringSErklæringDekket. Løsningen er bygd mot nivå AA og testes automatisk. Se tilgjengelighet
U2Brukerstøtte og dokumentasjon bør finnes på norskØBeskrivelseAvtales

4.7 Drift, avtale og avvikling

IDKravTypeDokumentasjonSlik svarer Målfrid
D1Tilbyder skal oppgi mål for tilgjengelighet og hvordan avvik følges oppSBeskrivelseMål for pilotperioden er 99,5 %. Endelig nivå avtales
D2Ved opphør skal tilbyder levere alle data i åpent format innen 30 dager, deretter slette alt, også sikkerhetskopier, og bekrefte skriftligSAvtaletekstDekket, se databehandleravtalen punkt 14
D3Tilbyder skal oppgi pris og hva som er inkludertSPrisskjemaAvtales
D4Tilbyder bør kunne sette opp tjenesten sammen med kommunen: innlogging, enheter, regler og første assistenterØPlan for oppstartDekket. Veiviser for pilotstart finnes

5. Forslag til tildelingskriterier

Vekting og kriterier avgjøres av kommunen. Forslaget under kan brukes som utgangspunkt.

KriteriumHva som vurderesForslag til vekt
PrisSamlet kostnad over kontraktsperioden[Kommunen fyller ut]
Personvern og sikkerhetSvar på kravene i 4.2 og 4.3, og dokumentasjon[Kommunen fyller ut]
Funksjon og brukbarhetDemo med kommunens egne eksempler, kildehenvisning, nynorsk[Kommunen fyller ut]
Innsyn, logg og arkivSvar på kravene i 4.4[Kommunen fyller ut]
Oppstart og opplæringPlan, ressurser og kompetanse[Kommunen fyller ut]

6. Dokumenter tilbyder skal legge ved

  1. Databehandleravtale med eventuelle avvik fra kommunens mal.
  2. Register over underdatabehandlere.
  3. Underlag til DPIA og ROS-analyse.
  4. Eksempel på loggeksport (anonymisert).
  5. Tilgjengelighetserklæring.
  6. Plan for oppstart og opplæring.

Kilder