Målfrid

Innkjøp

Rettslig grunnlag for bruk av KI-assistent: kort oppsummering

Sist oppdatert

Åpner utskriftsdialogen. Velg «Lagre som PDF» som skriver.

Versjon 1.0, 21. oktober 2026. Oppsummeringen er til personvernombud, jurist og innkjøper som skal vurdere om kommunen kan ta Målfrid i bruk. Den peker på hvilke regler som er aktuelle og hvor de er behandlet. Den er ikke juridisk rådgivning, og kommunen må gjøre sin egen vurdering for hvert fagområde.

1. Hvem har hvilken rolle

PartRolleHva det innebærer
Kommunen eller fylkeskommunenBehandlingsansvarlig (GDPR) og idriftsetter (KI-forordningen)Bestemmer formål og midler, eier DPIA-en, inngår databehandleravtalen, sørger for menneskelig kontroll og opplæring av ansatte
Schoolhub ASDatabehandler (GDPR) og leverandør (KI-forordningen)Behandler opplysninger bare etter avtalen og kommunens innstillinger
Modellleverandører og hostingUnderdatabehandlereStår i registeret over underdatabehandlere

2. Behandlingsgrunnlag

Behandlingsgrunnlaget er kommunens ansvar, og det kan være ulikt fra bruksområde til bruksområde. Utgangspunktet i DPIA-underlaget, kapittel 2.9, er:

BruksområdeGrunnlag å vurdere
Brukeradministrasjon, sikkerhet og loggArt. 6 nr. 1 bokstav e (oppgave i allmennhetens interesse eller offentlig myndighet), jf. personopplysningsloven § 8 og kommuneloven. Art. 6 nr. 1 bokstav c for sikkerhetskravene i art. 32
Saksbehandling med KI-støtteArt. 6 nr. 1 bokstav e, med det supplerende rettsgrunnlaget i den aktuelle særloven. Kommunen vurderer fagområde for fagområde, for eksempel helse, barnevern og skole
Møteopptak og referatArt. 6 nr. 1 bokstav e. Deltakerne informeres før opptak. Samtykke er normalt ikke egnet i arbeidsforhold

Målfrid krever ikke særlige kategorier av personopplysninger, men kan ikke utelukke at brukerne skriver dem inn. Kommunen må derfor vurdere om det finnes et unntak i art. 9 nr. 2 for de bruksområdene der slike opplysninger kan forekomme, og kan stenge tjenesten for dem ved å velge strengere dataklasser og leverandører.

3. Regler som er aktuelle

RegelverkHva det betyr for brukenHvor det er behandlet
GDPR art. 28Databehandleravtale mellom kommunen og SchoolhubDatabehandleravtale
GDPR art. 35Kommunen gjør en DPIA før bruk, og søker råd hos personvernombudetDPIA, ROS
GDPR art. 22Ingen avgjørelser som utelukkende bygger på automatisert behandling. Svar i Målfrid er utkast som et menneske vurdererDPIA
GDPR kapittel VOverføring til tredjeland krever grunnlag. Hosting og standard modellleverandører er i EU/EØS. Microsoft Azure OpenAI er valgfritt og vurdert for segTIA
GDPR art. 33 og 34Varsling om brudd. Schoolhub varsler kommunen med mål om innen 24 timer, og kommunen melder til Datatilsynet innen 72 timerAvvikshåndtering
Forvaltningsloven § 13Taushetsplikt. Taushetsbelagt innhold hører til dataklassen Konfidensiell eller PersonopplysningerDPIA
OffentleglovaSamtaler og utkast kan være dokumenter som må vurderes for innsyn. Innsynsmodulen støtter søk, skjerming med hjemmel og utlevering. Et menneske avgjørRegistrertes rettigheter
Arkivlova (LOV-2025-06-20-96)Journalføringspliktige samtaler slettes ikke før arkivet har bekreftet mottak. Eksport som Noark 5-pakkeSletting og lagringstid
KI-forordningen (EU 2024/1689)Art. 4 om KI-kompetanse, art. 26 om idriftsetters plikter og art. 50 om åpenhet og merking. Målfrid er et system med begrenset risikoKI-forordningen
Arbeidsmiljøloven kapittel 9Loggen og bruksstatistikken må ikke brukes til å overvåke enkeltansatte. Kommunen drøfter bruken med tillitsvalgteROS, R27
MållovaBokmål og nynorsk likestilt i tjenestenProduktbeskrivelsen
Likestillings- og diskrimineringslovenKrav til universell utforming av IKTTilgjengelighet
AnskaffelsesregelverketHvilken prosedyre som gjelder, avhenger av verdi og kontraktsperiode. Kommunens innkjøpsrådgiver avgjørKravspesifikasjon

4. Det kommunen må gjøre selv

  1. Gjøre ferdig sin egen DPIA, sammen med personvernombudet, med underlaget fra Schoolhub.
  2. Velge dataklasser, leverandører og slettefrister i innstillingene, og eventuelt låse dem for enheter under.
  3. Signere databehandleravtalen og krysse av hvilke modellleverandører som skal være slått på.
  4. Informere ansatte og tillitsvalgte før bruk, og la ansatte ta kurset i KI-kompetanse.
  5. Vurdere behandlingsgrunnlag og taushetsplikt for hvert fagområde som skal bruke tjenesten.
  6. Oppdatere kommunens egen behandlingsprotokoll (art. 30).

Kilder