KI-retningslinjer for foreningen: tre spørsmål mot skygge-KI og åtte punkter styret kan vedta

Skygge-KI er KI-verktøy og automatiseringer som brukes i en organisasjon uten at noen har oversikt over dem. Datatilsynet kaller automatiseringer som fortsetter å kjøre etter at personen som laget dem har sluttet, for «digitale spøkelser». I en forening der frivillige kommer og går, er risikoen reell. Styret kan møte den med Datatilsynets tre kartleggingsspørsmål og en retningslinje på åtte punkter, vedtatt på ett møte.

I mai anbefalte vi at foreninger skriver en kort retningslinje for ansvarlig KI-bruk. Her er den. Utgangspunktet er en sak Datatilsynet publiserte 28. oktober 2026 om KI-agenter. Den er skrevet for «virksomheter» og «ansatte» – overføringen til foreningshverdagen er vår egen.

Nøkkelfakta per november 2026

• Datatilsynet anbefaler å kartlegge tre ting: hvilke KI-verktøy som finnes, hva agentene kan gjøre, og hvem som har ansvaret (28. oktober 2026).
• Ifølge Datatilsynet er en forening behandlingsansvarlig for opplysningene om medlemmene sine – ikke den frivillige som satte opp verktøyet.
• EUs KI-forordning er ikke norsk lov per november 2026. KI-omnibusen er på høring med frist 11. desember 2026.
• 2. desember 2026 er en frist for leverandører av generative KI-verktøy, ikke en ny merkeplikt for foreninger.
• Ingen lov krever at styret vedtar en KI-retningslinje. Det er god praksis, ikke en plikt.

Hva er skygge-KI og «digitale spøkelser» ifølge Datatilsynet?

Gjennom KI-agenter kan språkmodellene «hente informasjon, oppdatere fagsystemer og utføre rutineoppgaver på egen hånd», skriver tilsynet i saken «Gode rutiner hindrer at KI blir en usynlig trussel».

Skygge-KI handler om bruk som ingen har oversikt over. Datatilsynet peker på at slik skygge-KI kan «også etablere seg på innsiden av applikasjoner som allerede er godkjent og tatt i bruk», fordi KI i økende grad bakes inn i vanlig programvare.

«Digitale spøkelser» er Datatilsynets betegnelse på autonome prosesser som lever videre etter at personen som laget dem har gått. Tilsynet beskriver en ansatt som bygger en automatisert arbeidsflyt med KI-agenter mot et fagsystem og så slutter: «Automatiseringen kan fortsette å kjøre i bakgrunnen, gjøre oppslag i fagsystemet og behandle personopplysninger.» Resultatet er ifølge Datatilsynet at det blir «uklart hvem som eier prosessen, hvilke data som behandles og hvordan den administreres».

Hvorfor er digitale spøkelser en særlig risiko i en forening?

En bedrift har gjerne sluttrutiner. En forening har ofte et styre som skiftes på årsmøtet, frivillige som bruker egne kontoer, og ingen som eier helheten. Tenk deg en kasserer som har koblet en KI-assistent til medlemslisten for å sende purringer automatisk – og som så trer ut av styret.

Ansvaret blir ikke med kassereren ut døren. Datatilsynets veileder «Hva er en behandlingsansvarlig?» (sist endret 17. juli 2019) bruker nettopp dette eksempelet: «en forening er behandlingsansvarlig for opplysningene om sine medlemmer». Det gjelder også når ledelsen har delegert oppgaven til enkeltpersoner.

Hvilke tre spørsmål bør styret stille først?

Datatilsynet anbefaler en systematisk kartlegging i tre steg. Slik ser de ut oversatt til et styremøte:

1. Hva finnes? Tilsynet ber om oversikt over «hvilke KI-verktøy, assistenter og automatiseringer som er i bruk». Spør hver frivillig med tilganger: Bruker du KI til foreningsarbeid, og har du satt opp noe som kjører av seg selv?
2. Hva kan agentene gjøre? Definer hvilke systemer de skal ha tilgang til, og hvilke handlinger de får utføre. Kan verktøyet bare lese, eller kan det også sende e-post og endre medlemsregisteret?
3. Hvem har ansvaret? Avklar hvem som overvåker, eier prosessen og har myndighet til å slå den av. I en forening bør det være en rolle i styret, ikke en person som kan forsvinne.

Datatilsynet oppsummerer det slik: «En KI-aktør trenger en definert identitet, tydelige rammer for tilgang og et klart ansvarsforhold.» Tilsynet understreker samtidig: «Målet er ikke å forby bruken av kunstig intelligens, men å legge til rette for at den skjer på en trygg og gjennomtenkt måte.»

Hva bør en KI-retningslinje for en forening inneholde?

En KI-retningslinje er et kort styrevedtak som sier hvilke KI-verktøy foreningen bruker, til hva, og hvem som har ansvaret. Disse åtte punktene kan vedtas som de står eller tilpasses på ett møte:

1. Tillatte verktøy. Foreningen bruker bare verktøy på en godkjent liste, med foreningens egne kontoer. Listen sier også hvilke innebygde KI-funksjoner i eksisterende programmer som er slått på.
2. Forbudte data. Medlemsopplysninger og andre personopplysninger legges bare inn i verktøy der foreningen har databehandleravtale. Sensitive opplysninger som helse og livssyn legges ikke inn uten særskilt vurdering i styret, og passord aldri.
3. Merking og åpenhet. En chatbot sier tydelig fra at den er KI. KI-genererte bilder, lyd og video merkes.
4. Menneskelig kontroll. En navngitt person godkjenner alt som publiseres eller sendes ut i foreningens navn. KI tar aldri alene beslutninger om enkeltpersoner, for eksempel om opptak, støtte eller eksklusjon.
5. Logg. Én side i styremappa viser hvert verktøy og hver automatisering: hva den har tilgang til, hva den kan gjøre, hvem som eier den og hvem som kan slå den av.
6. Opplæring. Alle som bruker KI på foreningens vegne får en kort innføring, for eksempel gjennom de gratis kursene i Gründerskolen.
7. Leverandørkrav. Før personopplysninger går inn i et verktøy, skal databehandleravtalen være på plass. Hvilke spørsmål leverandøren bør svare på, gikk vi gjennom i leverandørsjekken for foreninger.
8. Årlig revisjon og avgang. Listen gjennomgås ved konstitueringen etter årsmøtet. Når en frivillig med tilganger slutter, overføres eierskapet eller automatiseringen skrus av samme uke.

Punkt 8 er det som faktisk hindrer digitale spøkelser. Digitaliseringsdirektoratets veileder «Orden i eget hus», som Datatilsynet lenker til i saken sin og kaller «en viktig grunnmur», sier det samme med andre ord: «Etabler gode rutiner for vedlikehold av dataoversikten.» Veilederen er skrevet for offentlig sektor, men prinsippet passer i en idrettsklubb.

Må foreningen merke KI-generert innhold fra 2. desember 2026?

Nei, ikke etter norsk lov per november 2026. Datoen 2. desember 2026 står i KI-forordningens artikkel 111 nr. 4, og den gjelder leverandører: verktøy som lager syntetisk tekst, bilde, lyd eller video og kom på markedet før 2. august 2026, må da merke innholdet maskinlesbart. Plikten ligger hos selskapene bak verktøyene, ikke hos foreningen som bruker dem.

Brukernes plikter står i artikkel 50 nr. 4, og i EU gjelder de fra 2. august 2026. Den som publiserer deepfakes, skal opplyse om det. KI-generert tekst om saker av allmenn interesse skal merkes – unntatt når et menneske har gått gjennom teksten og noen har redaksjonelt ansvar. Det unntaket forutsetter punkt 4 i retningslinjen.

I Norge gjelder dette først når KI-loven er vedtatt. Vi anbefaler likevel å merke frivillig allerede nå. Hele tidslinjen skrev vi om i saken KI-loven er utsatt til 2027.

Hva betyr KI-omnibus-høringen for foreningen?

Digitaliserings- og forvaltningsdepartementet sendte 30. oktober 2026 EUs KI-omnibus på høring, med frist 11. desember 2026. Ifølge høringssiden på regjeringen.no kan alle avgi høringsuttalelse, men uttalelsene blir offentlige.

For foreninger er særlig kravet om KI-kompetanse interessant. Ifølge høringsnotatet myker omnibusen opp plikten: aktørene skal ha tiltak for å støtte KI-kompetanse hos «ansatte og andre personer som på deres vegne håndterer drift og bruk av KI-systemer», men trenger ikke garantere et bestemt nivå. Vår lesning er at frivillige som bruker KI for foreningen, faller naturlig inn her når regelen kommer til Norge.

Vil styret lære mer før vedtaket, har AI-fagdagen for ideelle organisasjoner fredag 20. november to relevante bolker: «Trygg AI: EU AI Act, personvern og sikkerhet» kl. 10.35 og «De første 90 dagene med AI» kl. 14.40. Fagdagen er gratis og arrangeres av InfoDesk AS og Skjld Labs – selskaper der OpenInfos styreleder Håkon Berntsen har lederroller – og OpenInfo bidrar med teknologi.

Ofte stilte spørsmål

Hvem har ansvaret når en frivillig har satt opp en KI-agent og så slutter?

Foreningen. Ifølge Datatilsynet er det den juridiske personen som er behandlingsansvarlig, ikke enkeltpersonene internt. Derfor bør retningslinjen kreve at eierskapet overføres eller automatiseringen skrus av når noen går ut.

Trenger vi databehandleravtale for å bruke ChatGPT eller Copilot med medlemsdata?

Ja, når verktøyet behandler medlemsopplysninger på foreningens vegne, krever personvernforordningen artikkel 28 en skriftlig avtale. I praksis betyr det et organisasjons- eller bedriftsabonnement med leverandørens standardavtale, ikke en privat gratiskonto.

Må alle frivillige ha KI-opplæring?

Ikke etter norsk lov per november 2026. Omnibusen gjør dessuten EU-kravet mildere, men en kort innføring er det enkleste tiltaket mot skygge-KI.

Gjelder EUs KI-forordning for norske foreninger nå?

Nei. Forordningen skal tas inn i norsk rett gjennom KI-loven, som fortsatt er under arbeid. Til da er EU-reglene en god rettesnor for hva som kommer.

Er det lovpålagt å ha en KI-retningslinje?

Nei. Datatilsynets tre spørsmål er en anbefaling, og retningslinjen er god praksis. Den gjør det lettere å vise at foreningen tar medlemsdataene på alvor.