Arkivloven og GDPR: Hva ledere må vite før saksbehandlere bruker KI.
Når saksbehandlere ber en språkmodell om å oppsummere et saksnotat eller utforme et svarbrev, oppstår det umiddelbart spørsmål: Hva skal journalføres? Hvilke opplysninger kan mates inn i modellen? Og hvordan sikres etterprøvbarheten?
En navngitt saksbehandler må alltid stå som ansvarlig for at innholdet i et vedtak eller svarbrev er korrekt, fullstendig og i overensstemmelse med gjeldende rett. En KI-modell kan aldri ha delegert vedtaksmyndighet.
1. Prinsippet om «Human-in-the-loop»
I henhold til forvaltningsrettslige prinsipper kan en generativ språkmodell aldri felle et selvstendig vedtak i en enkeltsak. Modellen skal utelukkende fungere som en administrativ assistent som produserer utkast og forslag basert på dokumentert kildemateriale.
2. Hva skal journalføres etter Arkivloven?
En vanlig misforståelse er at hver eneste chat-forespørsel til en språkmodell må journalføres som et selvstendig saksdokument. Det er ikke tilfelle etter arkivforskriften:
Interne spørsmål
Tilsvarer interne forberedelser og kladder, og faller normalt utenfor journalføringsplikten.
Endelig saksdokument
Det godkjente brevet eller vedtaksnotatet journalføres i sak- og arkivsystemet (Noark-5) på ordinær måte.
Kildelogg
God forvaltningsskikk tilsier at systemet logger hvilke SharePoint-kilder modellen baserte utkastet på.
3. Personvern og sensitive opplysninger (GDPR art. 9)
Taushetsbelagte opplysninger og helsedata skal aldri sendes til åpne, kommersielle KI-tjenester. Når Copilot Studio kjører i kommunens eget tenant under eksisterende databehandleravtale med Microsoft, anbefaler vi likevel følgende tre sikkerhetstiltak:
- Begrenset kildetilgang: Start utelukkende med ikke-sensitive kilder (arealplaner, vedtekter, reglementer, offentlige veiledere).
- Automatisert fødselsnummer-skjerming: Etabler filtrering via Power Automate som fanger opp 11-sifrede fødselsnumre før teksten sendes til modellen.
- Forenklet DPIA: Gjennomfør en risikovurdering sammen med kommunens personvernombud (PVO) før utrulling til saksbehandlerne.
Trenger dere en trygg arkiv- og GDPR-gjennomgang?
Vi hjelper kommuner med å avklare regulatoriske rammer og sikkerhet før pilotering, slik at prosjektene står støtt overfor både Datatilsynet og Riksarkivet.