Andreas MoenMillioner av nordmenn bruker daglig gratis oversettelsesapper som Google Translate, DeepL og Microsoft Translator — for alt fra turistvennlige menyoversettelser til kontrakter, medisinske journaler og ansettelsesavtaler. Men i 2026 skjerpes håndhevingen av personvernregelverket betraktelig: EU AI Act er nå i ferd med å inkorporeres i norsk lov, og Datatilsynet kan ilegge norske bedrifter bøter på opptil 4 prosent av global omsetning for brudd på personopplysningsloven. Spørsmålet mange ikke har stilt seg er dette: hva skjer egentlig med teksten du limer inn i oversettelsesfeltet?
Hva skjer med teksten du oversetter?
Gratis oversettelsestjenester er ikke gratis i ordets egentlige forstand — du betaler med dataene dine. Når du limer tekst inn i Google Translate eller DeepL (gratisversjonen), sendes innholdet til selskapenes servere, som oftest lokalisert i USA eller andre land utenfor EU/EØS. Der kan den bli lagret, analysert og potensielt brukt til å trene fremtidige AI-modeller.
Google Translate i gratisversjonen for forbrukere tilbyr ikke en Data Processing Agreement (DPA) — en bindende databehandleravtale — noe GDPR krever når en virksomhet overfører personopplysninger til en tredjepart. Uten en slik avtale er enhver overføring av persondata til Googles servere et potensielt brudd på personopplysningsloven.
Det er ikke hypotetisk risiko. I 2017 oppdaget Statoil-ansatte (nå Equinor) at sensitive bedriftsdokumenter de hadde lagt inn i den nettbaserte tjenesten Translate.com, dukket opp som søkeresultater i Google — synlig for hvem som helst med internettilgang. Hendelsen skapte store overskrifter i norsk næringsliv og er i dag et lærebokeksempel på hva som kan gå galt når ansatte bruker ukontrollerte oversettelsesverktøy i jobbsammenheng.
Hvorfor er dette ekstra aktuelt nå — i 2026?
To regelverksendringer gjør 2026 til et vendepunkt for norske bedrifter og privatpersoner som bruker digitale oversettelsesverktøy.
EU AI Act trådte i kraft for høyrisiko AI-systemer i august 2026 og er i ferd med å inkorporeres i norsk lov. Loven setter strenge krav til transparens og datasikkerhet for AI-verktøy som behandler personopplysninger — inkludert avanserte oversettelsesverktøy med store språkmodeller i bunn. Overtredelser kan medføre bøter på opptil 35 millioner euro eller 7 prosent av global omsetning for alvorligste brudd. Norske virksomheter bør allerede nå sikre at AI-verktøy de bruker oppfyller disse kravene — les mer om hva EU AI Act betyr for norske arbeidstakere i vår tidligere sak om emnet.
Datatilsynets skjerpede fokus på AI-basert databehandling betyr at kontroll og sanksjoner er blitt mer systematiske. Ifølge personopplysningsloven, som implementerer GDPR i Norge, kan Datatilsynet ilegge bøter på inntil 20 millioner euro eller 4 prosent av global årsomsetning — avhengig av hva som er størst. Det norske tilsynsorganet har de siste to årene økt sin aktivitet på nettopp AI-relatert personvernhåndheving.
Sett i sammenheng er risikoen for norske virksomheter som bruker uhåndterte oversettelsesapper mer konkret enn noensinne.
Advokatenes advarsel: disse dokumentene bør du aldri oversette med gratis apper
Advokater og personvernrådgivere er samstemte: visse dokumenttyper bør aldri legges inn i gratis, skybaserte oversettelsestjenester. Det gjelder spesielt:
- Personalhåndtering: ansettelseskontrakter, advarsler, lønnsslipp og sykemeldinger inneholder sensitive personopplysninger underlagt strengere vern etter GDPR artikkel 9
- Juridiske dokumenter: saksdokumenter, vitneutsagn og korrespondanse underlagt taushetsplikt
- Medisinske opplysninger: journalnotater, henvisninger og prøvesvar
- Forretningsmessig konfidensielt: strategidokumenter, aksjonæravtaler og NDA-er
For disse kategoriene er ikke spørsmålet om du kan bruke Google Translate teknisk sett — spørsmålet er om du lovlig kan overføre den aktuelle personinformasjonen til en utenlandsk server uten gyldig avtale. Svaret er som regel nei.
En advokat med ekspertise innen personvernrett kan hjelpe din virksomhet med å kartlegge hvilke prosesser som utgjør reell risiko, og hva som kreves av databehandleravtaler for å gjøre verktøybruken lovlig og forsvarlig.
Hva koster en feil oversettelsespraksis — et konkret eksempel
Ta følgende scenario, som er representativt for situasjonen til mange norske SMB-er:
Et norsk rekrutteringsbyrå med 18 ansatte og en årsomsetning på 15 millioner kroner bruker Google Translate daglig for å oversette CV-er fra engelskspråklige kandidater. CV-ene inneholder navn, bostedsadresse, arbeidshistorikk — og i noen tilfeller helseopplysninger om funksjonshemming eller fagforeningsmedlemskap, begge klassifisert som særlige kategorier etter GDPR artikkel 9.
Hva skjer hvis Datatilsynet griper inn?
Datatilsynet kan i slike saker ilegge administrative sanksjoner på to nivåer:
- Ordinære brudd (for eksempel manglende DPA): inntil 10 millioner euro eller 2 prosent av global omsetning — for dette byrået betyr det opptil 300 000 kroner
- Alvorlige brudd (ulovlig behandling av særlige kategorier etter artikkel 9): inntil 20 millioner euro eller 4 prosent av global omsetning — det vil si opptil 600 000 kroner for dette byrået
Til sammenligning koster et profesjonelt oversettelsesverktøy med GDPR-kompatibel DPA gjerne mellom 2 000 og 8 000 kroner per år for en virksomhet av denne størrelsen. Regnestykket er enkelt: kostnaden ved compliance er noen tusen kroner — kostnaden ved et brudd kan være hundretusenvis.
Og det stopper ikke ved bøtene: Datatilsynet kan også pålegge virksomheten å slette ulovlig behandlede personopplysninger umiddelbart, noe som i praksis kan bety at hele rekrutteringsprosesser må rulles tilbake og startes på nytt. For et rekrutteringsbyrå som jobber mot kontrakter med strenge tidsfrister, er det en kostnad som fort overgår selve boten.
Hva sier [Datatilsynet](https://www.datatilsynet.no/regelverk-og-verktoy/lover-og-regler/gdpr/) om dette?
Datatilsynet er den norske tilsynsmyndigheten for personvern og håndhever personopplysningsloven og GDPR. Regelverket krever at alle virksomheter som behandler personopplysninger har et lovlig grunnlag for behandlingen — og, dersom opplysningene overføres til en tredjepart, en gyldig databehandleravtale.
Selv om "behandling" høres teknisk ut, er realiteten konkret: å lime inn en ansatts CV i Google Translate er å overføre personopplysningene til Google LLC, et tredjepartsselskap med infrastruktur i USA. For denne overføringen må det foreligge en gyldig overføringsmekanisme — for eksempel Standard Contractual Clauses — og Googles gratisprodukt for forbrukere tilbyr ikke dette.
Bedrifter som bruker Google Workspace i betalt versjon har tilgang til en DPA med Google, og der er situasjonen mer avklart. Men ansatte som bruker gratis-apper på egenhånd, eller som konfigurerer slike verktøy uten at IT-avdelingen er involvert, befinner seg i en juridisk gråsone — og det er nettopp der risikoen er høyest.
Et viktig poeng: Google kunngjorde i 2023 at brukerinnhold fra gratisversjonen av Translate kan brukes til å forbedre Googles tjenester og modeller. Denne praksisen er ikke forenlig med lovpålagt konfidensialitet i norsk helse- og justissektor.
Hva bør du gjøre nå?
Tre konkrete tiltak du kan iverksette umiddelbart:
1. Kartlegg bruken i din virksomhet. Gjennomgå hvilke oversettelsesverktøy som faktisk brukes — av hvem, til hva, og med hvilken type informasjon. Shadow IT (ansatte som bruker uautoriserte verktøy) er en vanlig kilde til utilsiktet personvernbrudd.
2. Sjekk DPA-status. Undersøk om verktøyet tilbyr en databehandleravtale som tilfredsstiller GDPR-kravene. Har du en betalt bedriftsversjon med DPA inngått? Da er du bedre stilt. Bruker du gratistjenester uten formell avtale? Da bør du handle nå.
3. Vurder GDPR-kompatible alternativer. Offline-verktøy som oversetter lokalt på enheten eliminerer overføringsrisikoen fullstendig. Sertifiserte bedriftsversjonene av DeepL Pro og Microsoft Azure Translator tilbyr GDPR-kompatible DPA-er og EU-basert datalagring.
Er du usikker på om din virksomhet har kontroll på disse rutinene, eller hva som faktisk er lovkravene i din bransje? En advokat med spesialisering innen personvernrett og GDPR kan gjennomgå dine digitale verktøy og rutiner, identifisere risikoeksponering og hjelpe deg med å sikre at oversettelsespraksis er i tråd med gjeldende norsk og europeisk personvernrett — før Datatilsynet tar kontakt.
Merk: Denne artikkelen er informativ og utgjør ikke juridisk rådgivning. For en vurdering av din konkrete situasjon, kontakt en kvalifisert advokat.
