AI compliance from idea to exit

KI-etterlevelse fra idé til avvikling

Use the stage that matches your next decision. A funding round is a planning milestone. Duties can start earlier, including when the first real record enters a pilot.

Begynn med neste beslutning. En finansieringsrunde er en planleggingsmilepæl. Plikter kan oppstå tidligere, også når den første reelle opplysningen går inn i en pilot.

Den engelske teksten vises hele tiden. Velg et annet lesespråk i tillegg.

Which records need extra care?

Hvilke opplysninger trenger ekstra vern?

A photograph and a face template used to identify someone are different. Record the Article 6 basis and, for special-category processing, the Article 9 condition. Consider health inferences, children, dependence on a carer, an unsafe address and client secrets separately. Restrict input and access, offer a human alternative and complete a required DPIA before using live records.

Skill mellom et bilde og en ansiktsmal som brukes til entydig identifisering. Dokumenter behandlingsgrunnlaget etter artikkel 6 og vilkåret etter artikkel 9 for særlige kategorier. Vurder helseslutninger, barn, avhengighet av omsorgspersoner, beskyttet adresse og kundens forretningshemmeligheter hver for seg. Begrens opplysninger og tilgang, tilby menneskelig hjelp og gjennomfør påkrevd personvernkonsekvensvurdering før bruk av reelle data.

12 detailed data decisions (EN) · ICO-SPECIAL · EU-GDPR

If a breach happens

Ved brudd på personopplysningssikkerheten

Stop the disclosure, preserve restricted evidence and record awareness time. A processor tells the controller without undue delay. A controller notifies the competent authority without undue delay and, where feasible, within 72 hours of awareness unless risk to people’s rights and freedoms is unlikely. If high risk is likely, tell people without undue delay, subject to Article 34 exceptions. Record every personal data breach and the reasons for each decision.

Begrens skaden, sikre bevis og noter når bruddet ble kjent. Databehandleren varsler den behandlingsansvarlige uten ugrunnet opphold. Den behandlingsansvarlige melder til tilsynet uten ugrunnet opphold og om mulig innen 72 timer, med mindre det er lite sannsynlig at bruddet medfører risiko for rettigheter og friheter. Ved sannsynlig høy risiko varsles de berørte uten ugrunnet opphold, med forbehold om artikkel 34. Dokumenter alle brudd og beslutninger.

Full incident playbook and messages (EN) · ICO-REPORT · EDPB-DOORS

01 · Pre-seed · Define the use

Før såkornfasen · Bestem bruken

A useful idea can hide an unacceptable use. The founder names the decision, affected people and forbidden uses. Hold a live trial until a possible prohibition has been resolved.

En god idé kan skjule uakseptabel bruk. Gründeren beskriver beslutningen, hvem som berøres og forbudte bruksområder. Utsett reelle forsøk til et mulig forbud er avklart.

Dokumentasjon eller svar

One-page use case and manual alternative

Kort bruksbeskrivelse og manuelt alternativ

Kildemerknader / practical checks

Walk through a single item from input to output. Which person can be affected, what could they lose, and who can change the outcome?

Følg én opplysning fra den legges inn til resultatet foreligger. Hvem kan bli berørt, hva kan personen miste, og hvem kan endre utfallet?

EU AI Act: do we build or market the system under our name, deploy it for work, or change its purpose? Check territorial scope, including where an output is used. Keep the reason for each role.

EUs KI-forordning: Bygger eller markedsfører vi systemet under eget navn, bruker vi det i arbeid eller endrer vi formålet? Sjekk geografisk virkeområde, også hvor resultatet brukes. Begrunn hver rolle.

Screen prohibited practices before testing with people. For example, workplace emotion inference has a narrow medical or safety exception. Escalate any possible prohibition before further use.

Sjekk forbudte praksiser før testing med mennesker. For eksempel gjelder et snevert medisinsk eller sikkerhetsmessig unntak for slutninger om følelser på arbeidsplassen. Få mulige forbud avklart før videre bruk.

EU-SCOPE · EU-PROHIB

02 · Formation and seed funding

Stiftelse og såkornkapital

The company may not control code, data or designs made before incorporation. Trace each contribution and secure suitable rights before promising ownership to investors.

Selskapet har ikke nødvendigvis rett til kode, data eller design fra før stiftelsen. Spor hvert bidrag og sikre rettighetene før investorer loves eierskap.

Dokumentasjon eller svar

Contributor and rights schedule with signed evidence

Bidrags- og rettighetsoversikt med signert bevis

Kildemerknader / practical checks

Working alone? Wear several hats and record which one you used. Get a qualified second view for unfamiliar or serious decisions. With 2–10 people, separate the maker from the checker. With 11–50, name leads and deputies. These are suggested working arrangements.

Jobber du alene, kan du ha flere roller. Noter hvilken rolle du opptrer i. Be en fagkyndig om en ekstra vurdering ved ukjente eller alvorlige valg. Med 2–10 personer kan én utføre arbeidet og en annen kontrollere det. Med 11–50 kan dere utpeke fagansvarlige og stedfortredere. Dette er forslag til arbeidsdeling.

Compare doing nothing, a manual process and an AI-assisted process. Estimate time saved after checking, cost of errors, supplier fees and exit costs.

Sammenlign uendret praksis, manuell behandling og en KI-assistert prosess. Anslå tidsbesparelse etter kontroll, kostnad ved feil, leverandørgebyrer og kostnad ved utfasing.

UK-IP · UK-NSI

03 · Source data and suppliers

Skaff data og leverandører

Permission to view material may not cover training, retrieval or customer resale. Match each use to a right and check vendor reuse, subcontractors, costs and exit before uploading real records.

Tilgang til å se materiale dekker ikke nødvendigvis trening, gjenfinning eller videresalg. Avklar hver bruk, leverandørens gjenbruk, underleverandører, kostnader og avslutning før reelle data lastes opp.

Dokumentasjon eller svar

Permission matrix and signed supplier decision

Tillatelsesmatrise og signert leverandørbeslutning

Kildemerknader / practical checks

Trace one data item through collection, prompts, retrieval, model, output, logs, support and deletion. Name source, people, country, recipients, retention, backups and someone who can test deletion.

Følg én opplysning gjennom innsamling, instrukser, gjenfinning, modell, resultat, logger, brukerstøtte og sletting. Oppgi kilde, personer, land, mottakere, lagringstid, sikkerhetskopier og hvem som kan teste sletting.

Supplier check: identify processors and subprocessors, training or reuse terms, support access, contract, incidents, return or deletion, change notice and exit. Save the dated terms and unresolved questions.

Leverandørsjekk: Identifiser databehandlere og underdatabehandlere, vilkår for trening eller gjenbruk, støttetilgang, avtale, hendelser, tilbakelevering eller sletting, endringsvarsel og avslutning. Ta vare på daterte vilkår og åpne spørsmål.

Locate each restricted transfer. Record the applicable adequacy decision or safeguard, assessment and extra protections. Check EU SCCs and UK IDTA or Addendum separately. Revisit overseas support and onward transfers.

Finn hver overføring som er underlagt overføringsreglene. Dokumenter relevant adekvansbeslutning eller garanti, vurderingen og tilleggstiltak. Sjekk EUs standardavtaler (SCC) og britisk IDTA eller tillegg hver for seg. Vurder utenlandsk brukerstøtte og videreoverføring.

ICO-CONTRACT · EU-TRANSFER · ICO-TRANSFER · EDPB-MODEL

04 · Build and prototype

Bygging og prototype

A model can leak another customer’s records or turn a document instruction into an action. Use synthetic test cases, separate tenants, limit permissions and test a manual override before connecting live systems.

Modellen kan lekke en annen kundes opplysninger eller følge en instruks i et dokument. Bruk syntetiske tester, skill kunder, begrens tilgang og prøv manuell overstyring før tilkobling til reelle systemer.

Dokumentasjon eller svar

Versioned test results, access map and rollback test

Versjonerte testresultater, tilgangskart og tilbakestillingstest

Kildemerknader / practical checks

Engineering and data: freeze model, prompt, dataset and settings. Test typical, unusual and misleading inputs against an agreed baseline. Keep reproducible results and known limits.

Teknologi og data: Lås modell, instruks, datasett og innstillinger til bestemte versjoner. Test vanlige, uvanlige og villedende inndata mot avtalt sammenligningsgrunnlag. Behold reproduserbare resultater og kjente begrensninger.

Predeclare the test: purpose, dataset origin, expected answers, baseline, sample size, thresholds, critical failures, reviewer and retest date. Include language, disability and real operating conditions where relevant.

Avtal på forhånd formål, dataopphav, forventede svar, referanse, utvalgsstørrelse, terskler, kritiske feil, kontrollør og ny testdato. Inkluder språk, funksjonsnedsettelse og faktiske driftsforhold der relevant.

Security drill: send a harmless hostile instruction in a fictional attachment. Test a blocked export, denied permission, wrong recipient and unavailable supplier. Record what happened at each boundary.

Sikkerhetsøvelse: Legg en ufarlig simulert fiendtlig instruks i et fiktivt vedlegg. Test sperret eksport, nektet tilgang, feil mottaker og leverandørutfall. Dokumenter resultatet ved hver grense.

NCSC · EU-GDPR

05 · Pilot with real users

Pilot med reelle brukere

A free or closed pilot can still harm a person. Screen before real data, set limits and enable meaningful review. Hold high-risk processing if a required impact assessment or prior consultation is incomplete.

Også en gratis lukket pilot kan skade. Vurder risiko før reelle data, sett grenser og sørg for reell menneskelig kontroll. Vent med høyrisikobehandling hvis påkrevd konsekvensvurdering eller forhåndsdrøfting mangler.

Dokumentasjon eller svar

Pilot protocol, DPIA decision and stop criteria

Pilotplan, DPIA-beslutning og stoppkriterier

Kildemerknader / practical checks

A DPIA examines how processing personal data could harm people and how to reduce that harm. The controller must do it before likely high-risk processing begins, including a pilot using real personal data.

En DPIA undersøker hvordan behandling av personopplysninger kan skade mennesker og hvordan skaden kan reduseres. Den behandlingsansvarlige må gjøre vurderingen før sannsynlig høyrisikobehandling starter, også før pilot med ekte personopplysninger.

Seek the data protection officer’s advice where designated. Where appropriate seek affected people’s views. Record objections, accessibility needs, decisions and reasons for any justified departure.

Innhent råd fra personvernombudet dersom et ombud er utpekt. Innhent der det passer synspunkter fra berørte personer. Dokumenter innsigelser, tilgjengelighetsbehov, beslutninger og begrunnede avvik.

Decide whether high risk remains despite practical measures. If so, consult the competent authority before starting the processing under Article 36. Record correspondence and response. A founder’s signature cannot replace consultation.

Avgjør om høy risiko består etter praktiske tiltak. I så fall skal ansvarlig tilsynsmyndighet konsulteres før behandlingen starter etter artikkel 36. Registrer korrespondanse og svar. Gründerens signatur erstatter ikke forhåndsdrøftingen.

Check human oversight: can the reviewer see the evidence, disagree, correct the result and stop the next action in time? Save one override trace. A second click alone proves little.

Test menneskelig kontroll: Kan kontrolløren se grunnlaget, være uenig, korrigere utfallet og stanse neste handling i tide? Ta vare på dokumentasjon av én overstyring. Et ekstra klikk sier lite alene.

ICO-DPIA · EU-GDPR · UK-GDPR

06 · Pre-launch · Decide whether to ship

Før lansering · Beslutt oppstart

A polished demo can outrun the evidence. Test the exact public claim, check applicable disclosures and sector approvals, and name the person who can withhold release.

En god demonstrasjon kan love mer enn bevisene holder til. Test den faktiske påstanden, kontroller opplysningskrav og sektorvedtak, og utpek en som kan stoppe lanseringen.

Dokumentasjon eller svar

Claims-to-evidence table and dated release decision

Påstander med bevis og datert beslutning

Kildemerknader / practical checks

Check Article 50 by actor and output. Telling people they interact with AI, machine-readable marking and disclosing a deepfake are different duties with exceptions. Record which applies and the release-date evidence.

Vurder artikkel 50 etter aktør og resultat. Å opplyse om samhandling med KI, merke innhold maskinlesbart og opplyse om dypforfalskninger er forskjellige plikter med unntak. Oppgi hvilken som gjelder og hva som dokumenterer det ved lansering.

Marketing, design and sales: substantiate claims, clear assets and check required disclosures. Save approved wording and versions. Escalate promises of exclusivity, ownership or guaranteed accuracy.

Markedsføring, design og salg: Underbygg påstander, klarer rettigheter til materialet og sjekk obligatoriske opplysninger. Lagre godkjente formuleringer og versjoner. Løft løfter om enerett, eierskap eller garantert nøyaktighet til faglig vurdering.

Release options: approve within stated limits, approve with controls already in force, hold pending evidence, or stop. Name unresolved issues, lawful scope, approver, effective date, expiry and rollback owner.

Beslutningsvalg: Godkjenn innenfor grensene, godkjenn med tiltak som allerede virker, avvent belegg eller stans. Noter åpne spørsmål, lovlig omfang, godkjenner, virkningsdato, utløp og ansvarlig for tilbakeføring.

UK-ADS · EU-MARK · EU-AIA

07 · Launch and operate

Lansering og drift

Complaints and changes in performance can reveal harm missed in testing. Give users a human route, test it, monitor errors by type and contain incidents promptly.

Klager og endret ytelse kan avdekke oversett skade. Gi tilgang til et menneske og test den, følg feil etter type og begrens hendelser straks.

Dokumentasjon eller svar

Monitoring log, incident owner and response record

Overvåkingslogg, hendelsesansvarlig og respons

Kildemerknader / practical checks

After release: name an owner for errors, complaints, overrides, drift, security and costs. Specify sample, frequency, stop threshold and who can disable the workflow. Log changes and reapprove material ones.

Etter oppstart: Utpek ansvarlig for feil, klager, overstyringer, gradvise ytelsesendringer, sikkerhet og kostnader. Angi utvalg, hyppighet, stoppterskel og hvem som kan deaktivere prosessen. Loggfør endringer og godkjenn vesentlige endringer på nytt.

Incident: stop unsafe actions, preserve restricted evidence, assess people affected, activate the manual route and record notification decisions. Test a clean restore and correction before reopening.

Ved hendelser: Stans utrygge handlinger, beskytt dokumentasjonen, vurder hvem som rammes, ta i bruk manuell rutine og noter varslingsbeslutninger. Test gjenoppretting fra ren kopi og feilretting før gjenåpning.

For UK/EU personal-data breaches, controllers notify the regulator unless risk to people’s rights is unlikely. Notify without undue delay and where feasible within 72 hours of awareness. If high risk is likely, tell people without undue delay, subject to Article 34 exceptions. Processors notify controllers without undue delay.

Ved personvernbrudd i Storbritannia/EU varsler behandlingsansvarlig tilsynet, med mindre risiko for folks rettigheter er usannsynlig. Varsle uten ugrunnet opphold og om mulig innen 72 timer etter at bruddet ble kjent. Ved sannsynlig høy risiko underrettes de berørte uten ugrunnet opphold, med forbehold for unntakene i artikkel 34. Databehandlere varsler behandlingsansvarlig uten ugrunnet opphold.

Intake: keep a secure reference to the original words. Record first receipt, controller, jurisdiction, each right, owner, safe reply channel and accessibility or representative needs.

Mottak: Oppbevar en sikker henvisning til originalteksten. Registrer første mottak, behandlingsansvarlig, jurisdiksjon, hver rettighet, saksansvarlig, sikker svarkanal og behov for tilrettelegging eller representasjon.

ICO-BGUIDE · EDPB-BREACH

08 · Scale or change the product

Vekst eller produktendring

A new market, model, customer group or automated action can change the risk and legal role. Reassess the changed scope before switching it on.

Nytt marked, modell, kundegruppe eller automatisk handling kan endre risiko og juridisk rolle. Vurder omfanget på nytt før aktivering.

Dokumentasjon eller svar

Market and change register with fresh approval

Markeds- og endringsregister med ny godkjenning

Kildemerknader / practical checks

Check the intended purpose against Annexes I and III. Recruitment screening is a listed example. Document any claimed Article 6(3) exception and its conditions. Profiling people rules out that exception.

Sammenhold tiltenkt formål med vedlegg I og III. Vurdering av jobbsøkere er et eksempel på listen. Dokumenter vilkårene for et eventuelt unntak etter artikkel 6 nr. 3. Profilering av fysiske personer utelukker dette unntaket.

The revised dates for Chapter III sections 1–3, except Article 6(5), are 2 December 2027 for Annex III systems and 2 August 2028 for Annex I systems. Other provisions have their own dates.

For kapittel III avsnitt 1–3, med unntak av artikkel 6 nr. 5, er de reviderte datoene 2. desember 2027 for systemer etter vedlegg III og 2. august 2028 for systemer etter vedlegg I. Andre bestemmelser har egne datoer.

UK significant solely automated decisions require an Articles 22A–22D review, including restrictions on special-category data and the recognised legitimate interests basis. In the EU start with Article 22 and its specific exceptions. Test real human power to reconsider.

I Storbritannia må betydelige utelukkende automatiserte avgjørelser vurderes etter artiklene 22A–22D, blant annet begrensningene for særlige kategorier og grunnlaget anerkjente berettigede interesser. I EU starter vurderingen med artikkel 22 og de spesifikke unntakene. Test at et menneske faktisk kan omgjøre avgjørelsen.

EU-ROLE · EU-HIGH · UK-RIGHTS · EU-AIA

09 · Fundraise again, sell or merge

Ny kapital, salg eller fusjon

A buyer may acquire fewer rights than the pitch suggests. Separate deal-room disclosure, change of control and asset transfer. Resolve material consents and any required clearance before completion.

Kjøperen kan få færre rettigheter enn presentert. Skill innsyn i datarom, kontrollskifte og overføring av eiendeler. Avklar vesentlige samtykker og påkrevd godkjenning før gjennomføring.

Dokumentasjon eller svar

Diligence index, exceptions, consents and closing conditions

Diligenceoversikt, avvik, samtykker og gjennomføringsvilkår

Kildemerknader / practical checks

List the accountable organisation for each purpose. Who chooses why and how personal data are used? Who acts on instructions? Map each supplier’s own uses separately.

Oppgi ansvarlig virksomhet for hvert formål. Hvem bestemmer hvorfor og hvordan personopplysningene brukes? Hvem følger instrukser? Kartlegg hver leverandørs egne formål separat.

For each risk write cause → event → harm to a person. Record likelihood, impact, affected group and evidence before controls. Name the control, tester, due date and risk remaining afterwards.

Skriv årsak → hendelse → skade for en person. Noter sannsynlighet, konsekvens, berørt gruppe og belegg før tiltak. Oppgi tiltak, tester, frist og gjenværende risiko.

Your decision record: workflow and version, permitted and excluded uses, evidence IDs, decision and reasons, dissent, restrictions, owner, reviewer, review date, signature and time. Keep the previous version.

Beslutningslogg: prosess og versjon, tillatt og utelukket bruk, bevis-ID-er, beslutning og begrunnelse, uenighet, begrensninger, ansvarlig, kontrollør, kontrolldato, signatur og klokkeslett. Behold forrige versjon.

ICO-DEAL · UK-IP · UK-NSI

10 · Retire or close the business

Utfasing eller nedleggelse

Data, keys and obligations outlive a website. Assign a custodian, return or erase data as applicable, document lawful holds, revoke access and test that restored backups do not reactivate deleted records.

Data, nøkler og plikter lever videre etter nettsiden. Utpek forvalter, returner eller slett som påkrevd, dokumenter lovlig oppbevaring, trekk tilganger og test at sikkerhetskopier ikke reaktiverer slettede poster.

Dokumentasjon eller svar

Decommissioning record, supplier evidence and remaining contact

Avviklingslogg, leverandørbevis og videre kontakt

Kildemerknader / practical checks

Trace one data item through collection, prompts, retrieval, model, output, logs, support and deletion. Name source, people, country, recipients, retention, backups and someone who can test deletion.

Other rights: examine correction, erasure, restriction, portability, objection and human review separately. Record applicable conditions, exceptions, recipients to notify, and any lawful retention or dispute hold.

Andre rettigheter: Vurder retting, sletting, begrensning, portabilitet, innsigelse og menneskelig vurdering hver for seg. Registrer vilkår, unntak, mottakere som skal varsles og enhver lovlig oppbevaring eller sikring ved tvist.

Private filing: store completed forms, evidence and signatures with restricted access. Keep the public folder blank. Back up a versioned copy, keep an independently protected copy and test a restore. Set a retention period for each record.

Intern arkivering: Oppbevar utfylte skjemaer, dokumentasjon og signaturer med begrenset tilgang. La de offentlige skjemaene være tomme. Sikkerhetskopier en versjon, oppbevar en uavhengig beskyttet kopi og test gjenoppretting. Fastsett lagringstid for hver oppføring.

ICO-ERASE · ICO-CONTRACT

Read the full UK and EU founder’s guide (EN)

Redigerbar arbeidsbok · Full English handbook (Word)

Toto-Rex can make mistakes. Everything here is general information, not legal advice: check the primary source, and take advice from a qualified professional before you act.