Målfrid

Innkjøp

Rettslig grunnlag for bruk av KI-assistent: kort oppsummering

Sist oppdatert

Opnar utskriftsdialogen. Vel «Lagre som PDF» som skrivar.

Dette dokumentet finst berre på bokmål. Alt rundt, som menyar og oversikter, er på nynorsk.

Versjon 1.1, 5. november 2026.

Oppsummeringen er for personvernombud, jurister og innkjøpere som skal vurdere om kommunen kan ta Målfrid i bruk. Den viser hvilke regler som gjelder, og hvor hver av dem er behandlet. Den er ikke juridisk rådgivning, og kommunen må gjøre sin egen vurdering for hvert fagområde.

1. Hvem har hvilken rolle

PartRolleHva rollen innebærer
Kommunen eller fylkeskommunenBehandlingsansvarlig (GDPR) og idriftsetter (KI-forordningen)Bestemmer formål og midler, eier DPIA-en, inngår databehandleravtalen, sørger for menneskelig kontroll og for opplæring av ansatte
Schoolhub ASDatabehandler (GDPR) og leverandør (KI-forordningen)Behandler opplysninger bare etter avtalen og kommunens innstillinger
Modellleverandører og driftsleverandørUnderdatabehandlereStår i registeret over underdatabehandlere

2. Behandlingsgrunnlag

Kommunen fastsetter behandlingsgrunnlaget, og det kan være ulikt fra bruksområde til bruksområde. DPIA-underlaget, kapittel 2.9, tar utgangspunkt i dette:

BruksområdeGrunnlag å vurdere
Brukeradministrasjon, sikkerhet og loggArt. 6 nr. 1 bokstav e (oppgave i allmennhetens interesse eller utøvelse av offentlig myndighet), jf. personopplysningsloven § 8 og kommuneloven. Art. 6 nr. 1 bokstav c for sikkerhetskravene i art. 32
Saksbehandling med støtte fra KIArt. 6 nr. 1 bokstav e, med supplerende rettsgrunnlag i særloven for fagområdet. Kommunen vurderer hvert fagområde for seg, for eksempel helse, barnevern og skole
Møteopptak og referatArt. 6 nr. 1 bokstav e. Deltakerne informeres før opptaket starter. Samtykke er normalt ikke egnet i et arbeidsforhold

Målfrid ber ikke om særlige kategorier av personopplysninger, men brukerne kan skrive dem inn. Kommunen må derfor vurdere om et unntak i art. 9 nr. 2 gjelder for bruksområder der slike opplysninger kan forekomme. Kommunen kan også stenge slike bruksområder ved å begrense dataklassene og leverandørene som er tillatt.

3. Regler som gjelder

RegelverkHva det betyr for brukenHvor det er behandlet
GDPR art. 28Databehandleravtale mellom kommunen og SchoolhubDatabehandleravtale
AvtaleneLeveranseavtalen og databehandleravtalen går foran vilkårene for bruk, som gjelder for brukerneVilkår
GDPR art. 35Kommunen gjør en DPIA før bruk og søker råd hos personvernombudetDPIA, ROS
GDPR art. 22Ingen avgjørelser bygger utelukkende på automatisert behandling. Svar i Målfrid er forslag som et menneske vurdererDPIA
GDPR kapittel VOverføring til tredjeland krever et grunnlag. Data lagres i EU/EØS, og med standardvalgene skjer all behandling der, hos GreenPT og Mistral AI. Microsoft Azure OpenAI (amerikansk morselskap, EU Data Zone) brukes bare hvis kommunen slår det påOverføringsvurdering
GDPR art. 33 og 34Varsling om brudd. Schoolhub varsler kommunen uten ugrunnet opphold og senest innen 24 timer. Kommunen melder til Datatilsynet innen 72 timerAvvikshåndtering
Forvaltningsloven § 13Taushetsplikt. Taushetsbelagt innhold hører til en dataklasse kommunen har satt opp for detDPIA
OffentleglovaSamtaler og det som lages i Målfrid, kan være dokumenter som må vurderes for innsyn. Målfrid støtter søk, skjerming med hjemmel og utlevering, og et menneske avgjørRegistrertes rettigheter
Arkivlova (LOV-2025-06-20-96)Journalføringspliktige samtaler slettes ikke før arkivet har bekreftet mottak. Eksport som Noark 5-pakkeSletting og lagringstid
KI-forordningen (EU 2024/1689)Art. 4 om KI-kompetanse, art. 26 om pliktene til idriftsetter og art. 50 om åpenhet og merking. Målfrid er et system med begrenset risikoKI-forordningen
Arbeidsmiljøloven kapittel 9Loggen og bruksstatistikken skal ikke brukes til å overvåke enkeltansatte. Kommunen drøfter bruken med de tillitsvalgteROS, R27
MållovaBokmål og nynorsk er likestilt i tjenestenProduktbeskrivelsen
Likestillings- og diskrimineringslovenKrav til universell utforming av IKTTilgjengelighetserklæring
AnskaffelsesregelverketProsedyren avhenger av verdi og kontraktsperiode. Innkjøpsrådgiveren i kommunen avgjørKravspesifikasjon

4. Det kommunen må gjøre selv

  1. Gjøre ferdig sin egen DPIA sammen med personvernombudet, med underlaget fra Schoolhub.
  2. Velge i innstillingene hvilke dataklasser som skal brukes (startmalen, malen med én klasse eller egne klasser), hvilke leverandører og modeller som kan behandle hver dataklasse, og hvor lenge innhold skal beholdes. En overordnet enhet kan låse valgene for enhetene under.
  3. Signere databehandleravtalen.
  4. Informere ansatte og tillitsvalgte før bruk, og la de ansatte ta kurset i KI-kompetanse.
  5. Vurdere behandlingsgrunnlag og taushetsplikt for hvert fagområde som skal bruke tjenesten.
  6. Oppdatere kommunens egen behandlingsprotokoll (art. 30).

Kilder