Spørsmål

Stian Storbukås (FrP): Statsråden pålegger 100 prosent KI-bruk i offentlig sektor innen 2030, men plasserer samtidig hele det juridiske GDPR-ansvaret hos den enkelte underliggende virksomhet og kommune.
Vil statsråden bekrefte om staten sentralt vil dekke eventuelle overtredelsesgebyr fra Datatilsynet som følge av at etater følger regjeringens KI-pålegg med hensyn til Microsoft Copilot, og hvis nei hvordan forsvarer statsråden å påføre norske kommuner en uforsikret økonomisk og juridisk risiko?

Begrunnelse

Det vises til spørsmål og svar i Dokument nr. 15:2978 (2025-2026).
Her understrekes et ganske ambisiøst mål om 100 prosent bruk av KI i offentlig forvaltning allerede innen 2030. Sentralt i mitt forrige spørsmål var vern av sensitive data, enten de er av privat eller offentlig karakter.
På utfordringene knyttet til CLOUD Act / FISA 702 viser ministeren til at «Overføring av personopplysninger til USA er regulert gjennom Personvernrammeavtalen (Data Privacy Framework), som EU-kommisjonen har fastslått gir tilstrekkelig beskyttelse, og som Norge har sluttet seg til.»
Det er imidlertid helt på det rene at både CLOUD Act og FISA 702 bygger på at jurisdiksjon følger selskapet, ikke hvor data er lagret. Amerikanske myndigheter kan dermed kreve utlevering fra amerikanske selskaper (Microsoft, Google, Amazon osv.)
eller utenlandske datterselskaper under amerikansk kontroll.
Konsekvensen er kort og godt at det som faktisk kan hindre datatilgang, er at data ligger hos en aktør som ikke er underlagt amerikansk jurisdiksjon (f.eks. et rent europeisk selskap uten amerikansk kontroll eller tilstedeværelse). Representanten har ingen grunnlag for å hevde at dette er status, tvert imot jevnfør ovennevnte selskaper.
Det er 357 kommuner og 15 fylkeskommuner i Norge. Ministerens tro på at en veileder skal gjøre bruk av KI problemfri er i beste fall naiv. Langt mer alvorlig er at det at statsråden ikke synes å være klar over rekkevidden av FISA 702. Representanten setter pris på om ministeren i sitt svar er konkret på hvilke lover, regler eller avtaler som eventuelt kan stoppe datautlevering.

Svar

Karianne O. Tung: Regjeringens mål om at alle statlige virksomheter skal bruke KI innen 2030 er ikke et pålegg om å bruke spesifikke verktøy eller leverandører uten vurdering, det er et tjenestemål. KI skal brukes der det frigjør tid og kapasitet, gir bedre tjenester for innbyggerne og styrker ansattes mulighet til å løse samfunnsoppdraget sitt, ansvarlig og innenfor gjeldende regelverk, i tråd med regjeringens plan for Norge om å fornye, forbedre og forsterke offentlig sektor.

Regjeringen støtter virksomhetene i dette arbeidet blant annet gjennom etableringen av KI Norge, veiledning fra Datatilsynet og Nkom, og de kommende handlingsplanene for KI i offentlig sektor og kompetanse på digital omstilling som lanseres høsten 2026. Det er slik vi griper mulighetene i KI i trygge rammer.
Representanten reiser to konkrete spørsmål: om staten vil dekke eventuelle overtredelsesgebyr fra Datatilsynet, og om statsråden er klar over rekkevidden av FISA 702.

Staten vil ikke dekke overtredelsesgebyr som virksomheter eventuelt blir ilagt av Datatilsynet. Det følger av ansvarsprinsippet i personvernforordningen at det er den virksomheten som behandler personopplysninger som er ansvarlig for å følge regelverket, uavhengig av hvilken teknologi som brukes. Dette er ikke ansvarspulverisering — det er rettslig ansvarsdeling slik den er utformet i EUs personvernforordning og gjennomført i norsk rett. En ordning der staten sentralt dekket overtredelsesgebyr ville undergravd hele det systemet personvernet hviler på.

Den enkelte offentlige virksomhet skal derfor forsikre seg om at KI-bruken er i samsvar med personvernregelverket og øvrige relevante krav, herunder krav til informasjonssikkerhet, før løsninger tas i bruk, som jeg tidligere svarte på representantens skriftlige spørsmål nr. 2978.

Jeg mener det er fullt mulig for norske virksomheter i offentlig og privat sektor å ta i bruk KI på en trygg og lovlig måte, uten risiko for å bryte personvernregelverket og følgelig uten risiko for å bli ilagt overtredelsesgebyr.

For det første må den enkelte virksomheten, både offentlige og private, selv vurdere hvilke opplysninger de bruker kunstig intelligens til å behandle. Det er ikke bare personvernregelverket som setter grenser, men også for eksempel forvaltningslovens taushetsbestemmelser. KI kan for eksempel brukes til å sammenfatte rapporter, som er offentlige og som ikke inneholder personopplysninger. I slike tilfeller trenger virksomheten ikke forholde seg til personvernregelverket. Jeg mener derfor det finnes en rekke oppgaver offentlig sektor kan være tjent med å bruke KI på uten at dette utgjør en personvernrisiko.

For det andre kan virksomhetene velge å bruke andre KI-verktøy enn amerikanske. Riktignok er mange av de store og kjente KI-verktøyene amerikanske, men det finnes alternativer. Det sveitsiske KI-verktøyet Lumi er for eksempel, etter grundige risikovurderinger, tatt i bruk av Datatilsynet.

For det tredje har regjeringen allerede iverksatt en rekke konkrete tiltak for å styrke Norges digitale handlingsrom og redusere avhengigheten av enkeltleverandører. Vi reviderer blant annet nasjonal skypolitikk, videreutvikler en politikk for åpen kildekode og åpne standarder i offentlig sektor. Dette skjer i tett samarbeid med Norden og EU.
Representanten spør videre om jeg er klar over rekkevidden av FISA 702. Det er jeg. Problemstillingen er reell og kjent, og det er nettopp derfor EU-kommisjonen har gjennomført grundige vurderinger og fremforhandlet Personvernrammeavtalen med amerikanske myndigheter som eksplisitt adresserer disse spørsmålene.

Jeg viser til at EU-kommisjonen har inngått Personvernrammeavtalen med amerikanske myndigheter. Etter grundige vurderinger har Kommisjonen kommet til at de fremforhandlede avtalevilkårene gir et tilfredsstillende beskyttelsesnivå. Personvernrammeavtalen er innlemmet i EØS-avtalen. Personopplysninger kan derfor overføres fra hele EØS-området til amerikanske selskaper som har selvsertifisert seg etter denne avtalen.

Personvernrammeavtalen gjelder som overføringsgrunnlag. Dersom EU-domstolen skulle oppheve den, vil det utløse en ny rettslig situasjon som Norge vil måtte forholde seg til på samme måte som alle EØS-land.

 
Jeg vil avslutningsvis understreke at den enkelte virksomheten står fritt til å velge å bruke andre gyldige overføringsgrunnlag ved overføring av personopplysninger til virksomheter i USA, dersom de vurderer det som tryggere, eller velge europeiske leverandører som ikke er underlagt amerikansk jurisdiksjon.