Hva kan du trygt lime inn i KI-verktøy?

KI-verktøy kan spare tid, men tekstfeltet er ikke et nøytralt rom. Her er en praktisk guide til hva du kan lime inn, hva du bør anonymisere, og hva som bør holdes utenfor.

June 26, 2026 | Svein Tore | Tech | No Comments

KI-verktøy har gjort det lett å få hjelp med e-post, sammendrag, ideer, regneark, kundesvar, rapporter og rutiner. For mange små virksomheter er det nettopp derfor verktøyene blir tatt i bruk før det finnes klare regler.

Det starter ofte uskyldig: noen limer inn en e-post for å få den omskrevet. En annen laster opp et notat for å få et sammendrag. En tredje ber om hjelp til å svare en kunde. Arbeidet går raskere, men virksomheten har kanskje ikke vurdert hva som faktisk ble delt.

Den viktigste regelen er enkel: ikke behandle KI-chatten som en privat notatbok. Behandle den som et eksternt verktøy dere må styre bevisst.

En prompt er også datadeling

Når du limer tekst inn i et KI-verktøy, deler du informasjon med en tjeneste. Det kan være helt greit. Det kan også være et problem, avhengig av hva teksten inneholder, hvilken konto du bruker, hvilke avtaler som gjelder, og hvordan tjenesten behandler data.

Det holder ikke å spørre om verktøyet er trygt i generell forstand. Spør heller:

Hvilke data legger vi inn?
Hvilken konto brukes?
Hvem er leverandøren?
Hvilke vilkår gjelder for lagring, logging og bruk av data?
Kan innholdet inneholde personopplysninger, kundedata eller forretningshemmeligheter?
Har vi lov og grunnlag til å bruke opplysningene på denne måten?

For små virksomheter er det ofte dette som mangler: ikke viljen til å være forsiktig, men en enkel sortering av hva som er grønt, gult og rødt.

Grønt: dette er som regel greit

Noe innhold er normalt uproblematisk å bruke i KI-verktøy, særlig hvis det allerede er offentlig eller ikke kan knyttes til en person, kunde eller intern sak.

Typiske grønne eksempler:

generelle idéutkast
offentlig produktinformasjon
tekst som allerede ligger på nettsiden
fiktive eksempler
generelle rutiner uten kundenavn eller sensitive detaljer
åpne spørsmål om grammatikk, struktur eller tone
maler der alle konkrete opplysninger er fjernet

Eksempel:

Skriv om denne generelle teksten slik at den blir enklere å forstå for en kunde. Ikke legg til nye fakta.

Hvis teksten ikke inneholder personopplysninger, interne priser, kundedata, passord, tekniske detaljer eller sensitiv informasjon, er risikoen ofte lavere.

Gult: dette må vurderes og anonymiseres

Mye arbeidsinnhold ligger i gul sone. Det kan brukes, men bare hvis det ryddes først.

Gul sone kan være:

interne møtenotater
kundespørsmål skrevet om til generell problemstilling
supportnotater uten navn, domener, IP-adresser eller saksnumre
økonomiske vurderinger uten konkrete beløp eller kundeidentitet
utkast til svar der mottaker, kunde og sak er fjernet
dokumenter som beskriver interne arbeidsmåter
skjemaer eller sjekklister som ikke inneholder ekte data

Her er målet å gjøre saken generell nok til at ingen kan kjenne den igjen.

Dårlig anonymisering er å fjerne bare navnet. God anonymisering er å fjerne eller endre alle detaljer som samlet kan peke tilbake på personen, kunden, systemet eller hendelsen.

Et bedre prompt-eksempel:

Vi er en liten norsk virksomhet som skal svare en kunde om et generelt e-postproblem. Kundenavn, domene, feilmelding og tekniske detaljer er fjernet. Lag et kort og vennlig svar som forklarer at vi først tester webmail, deretter lokal e-postklient.

Da får du hjelp med formuleringen uten å dele selve saken.

Rødt: dette bør ikke inn i KI-chatten

Noen opplysninger bør ikke legges inn i åpne eller uklart konfigurerte KI-verktøy.

Rød sone:

passord, API-nøkler, lisensnøkler og tilgangskoder
kundelister og kontaktlister
personnummer, helseopplysninger og andre sensitive personopplysninger
private e-poster fra kunder eller ansatte
interne konflikter, personalsaker eller juridiske vurderinger
konkrete sikkerhetshendelser før de er håndtert
logger som inneholder IP-adresser, brukernavn, domener eller systemnavn
økonomiske tall som ikke er offentlige
kildekode med hemmelige nøkler eller interne endepunkter
dokumenter dere ikke selv har rett til å dele med en ekstern part

Hvis du ville vært ukomfortabel med å sende innholdet til en tilfeldig ekstern konsulent, bør du heller ikke lime det rett inn i en KI-chat uten avtale og kontroll.

Personopplysninger er mer enn navn

En vanlig misforståelse er at teksten er anonymisert så lenge navnet er fjernet. Det stemmer ikke alltid.

Datatilsynet forklarer at personopplysninger også kan være opplysninger som indirekte kan knyttes til en person. Det kan for eksempel være e-postadresse, brukernavn, telefonnummer, ansattnummer, IP-adresse eller kombinasjoner av detaljer som gjør at personen kan identifiseres.

Det betyr at dette kan være problematisk:

en ansatt i en liten bedrift i bygda vår
kunden med tre ansatte og én bestemt type fagsystem
feilmeldingen fra akkurat dette domenet
en logg der brukernavn og tidspunkt står igjen

Hver detalj kan virke liten. Samlet kan de bli nok til å kjenne igjen saken.

Bruk riktig konto og riktig verktøy

Det er stor forskjell på å bruke en privat gratisbruker og et bedriftsverktøy med avtaler, administrasjon og databeskyttelse.

Noen bedriftsløsninger gir bedre kontroll med logging, databehandling, tilgangsstyring og om data brukes til modelltrening. Microsoft beskriver for eksempel at Microsoft 365 Copilot Chat med enterprise data protection gir egne beskyttelser for jobb- og skolekontoer, men også at konkrete kontroller varierer etter abonnement og oppsett.

Poenget er ikke at alle må bruke samme verktøy. Poenget er at virksomheten må vite hvilket verktøy som er godkjent til hva.

En praktisk minimumsregel:

Privat KI-konto: bare offentlig eller helt ufarlig innhold.
Bedriftskonto uten avklart databehandling: bare grønn sone.
Godkjent bedriftsverktøy med vurderte vilkår: grønn sone og kontrollert gul sone.
Rød sone: ikke inn uten særskilt vurdering, avtale og behov.

Lag en enkel KI-kjøreregel for ansatte

Små virksomheter trenger ikke en tung policy for å komme i gang. En side med klare kjøreregler er ofte nok.

Den bør svare på:

Hvilke KI-verktøy er godkjent?
Hvilke kontoer skal brukes?
Hva er grønn, gul og rød informasjon hos oss?
Hvem kan godkjenne bruk av gul sone?
Hva skal aldri legges inn?
Hvordan skal kundeeksempler anonymiseres?
Hvem spør vi hvis vi er usikre?

Kjøreregelen bør skrives for de som faktisk skal bruke verktøyet, ikke bare for ledelsen. Hvis den er for lang, blir den ikke brukt.

Trenger dere en mer formell struktur, kan denne nøytrale fordypningen være nyttig: AI-datapolicy for småbedrifter: hva må stå i den?

Sjekkliste før du limer inn tekst

Bruk denne raske kontrollen:

Inneholder teksten navn, e-post, telefonnummer, brukernavn eller IP-adresser?
Kan en kunde, ansatt eller leverandør identifiseres?
Inneholder teksten passord, nøkler, interne lenker eller tekniske detaljer?
Inneholder teksten private, sensitive eller økonomiske opplysninger?
Er teksten hentet fra en sak, e-post eller logg som egentlig ikke bør deles?
Vet du hvilket KI-verktøy og hvilken konto du bruker?
Har virksomheten sagt at denne typen bruk er grei?

Hvis du svarer ja eller vet ikke på flere av punktene, bør teksten ryddes før bruk, eller ikke brukes i KI-verktøyet.

Hva gjør du hvis noe allerede er delt?

Feil skjer. Da er det viktigere å rydde enn å late som ingenting.

Gjør dette:

Stopp videre deling.
Noter hva som ble delt, i hvilket verktøy og når.
Slett chatten eller filen hvis tjenesten gir mulighet for det.
Varsle ansvarlig leder eller personvernansvarlig.
Vurder om det er personopplysninger eller sikkerhetsinformasjon involvert.
Endre passord eller nøkler hvis slike verdier ble delt.
Bruk hendelsen til å forbedre kjørereglene.

Hvis personopplysninger kan være på avveie, må virksomheten vurdere personvernregelverket og eventuell videre håndtering. Datatilsynet har også veiledning om informasjonssikkerhet og internkontroll.

Den beste regelen er å skrive om før du spør

KI-verktøy er nyttige når de brukes riktig. De kan hjelpe med struktur, språk, ideer, sjekklister og forklaringer. Men de bør ikke få mer informasjon enn de trenger.

En god arbeidsmåte er derfor:

Fjern alt som identifiserer person, kunde, system og konkret sak.
Skriv problemet om til en generell situasjon.
Be KI-verktøyet hjelpe med struktur, tone eller kontrollpunkter.
Sjekk svaret selv før det brukes.
Legg aldri til fakta du ikke kan stå inne for.

Da får virksomheten nytten av KI uten å gjøre tekstfeltet til et ukontrollert datalager.

Kort oppsummert

Det viktigste spørsmålet er ikke om KI er farlig eller ufarlig. Spørsmålet er hva du legger inn.

Offentlig og generell informasjon er ofte greit. Interne saker må anonymiseres skikkelig. Passord, kundedata, sensitive opplysninger og konkrete sikkerhetshendelser bør holdes utenfor.

For små virksomheter er en enkel kjøreregel bedre enn taus usikkerhet. Den trenger ikke være perfekt. Den må bare gjøre det lettere for ansatte å stoppe opp før feil informasjon havner i feil tekstfelt.