Kan e-post, Slack og kildekode selges som treningsdata ved nedleggelse eller konkurs?

MIT Technology Review omtalte 13. oktober 2026 et voksende marked der meglere kjøper kildekode, e-post, Slack-historikk og kalendere fra nedlagte oppstartsselskaper og selger materialet videre til KI-selskaper som treningsdata (MIT Technology Review). Artikkelen beskriver amerikanske forhold, men de samme datasettene finnes i norske selskaper som avvikles eller går konkurs, og for styrer og bostyrere kan arbeidsdata framstå som en av få gjenværende eiendeler med salgsverdi.

Etter norsk rett må hver datakategori vurderes for seg. Personopplysninger i e-post og chat er regulert av personvernforordningen (GDPR), som gjelder i Norge gjennom personopplysningsloven. Ansattes e-postkasser er i tillegg regulert av en egen forskrift, kildekode av åndsverkloven, og opplysninger fra kunder og partnere av avtaler og forretningshemmelighetsloven. Artikkelen behandler disse reglene og spørsmålet om hvem som har ansvaret når selskapet er under avvikling eller konkurs. Flere artikler om behandlingsgrunnlag og behandlingsansvar finnes på pilarsiden om personvern.

Hvilke regler gjelder for de ulike datatypene?

Hindringene for salg varierer med datatypen. Tabellen gir en oversikt før de enkelte spørsmålene drøftes.

Kan selskapet selge e-post og Slack som treningsdata etter GDPR?

Et salg av e-post og chatlogger er en behandling av personopplysninger i form av utlevering, og selgeren må ha behandlingsgrunnlag for utleveringen etter GDPR art. 6 nr. 1. Opplysningene ble samlet inn for å drive virksomheten, og etter prinsippet om formålsbegrensning i GDPR art. 5 nr. 1 bokstav b kan de ikke viderebehandles på en måte som er uforenlig med dette formålet. Trening av KI-modeller hos en ukjent tredjepart er et nytt formål.

Forenligheten vurderes etter GDPR art. 6 nr. 4. Momentene er sammenhengen mellom formålene, konteksten opplysningene ble samlet inn i, særlig forholdet mellom de registrerte og den behandlingsansvarlige, opplysningenes art, mulige konsekvenser for de registrerte og om det finnes garantier som kryptering eller pseudonymisering. Etter vår vurdering vil salg av intern kommunikasjon til KI-trening sjelden være forenlig med det opprinnelige formålet. Ansatte, kunder og forretningsforbindelser har skrevet i en arbeidskontekst og har ingen rimelig forventning om at meldingene deres skal bli treningsmateriale for en ukjent kjøper.

Samtykke er i praksis ikke et realistisk grunnlag. Det må innhentes fra alle som opptrer i materialet, også eksterne avsendere, og samtykke fra arbeidstakere er normalt ikke frivillig på grunn av avhengighetsforholdet til arbeidsgiveren. Berettiget interesse etter GDPR art. 6 nr. 1 bokstav f gjenstår som det aktuelle grunnlaget. Kreditorenes interesse i dividende er en legitim interesse, men interesseavveiningen må ta hensyn til at materialet er omfattende, at det inneholder private opplysninger, og at de registrerte mister kontrollen over opplysningene for alltid når de er brukt til å trene en modell.

Hva med helseopplysninger og andre særlige kategorier?

E-post og chat inneholder nesten alltid særlige kategorier av personopplysninger etter GDPR art. 9 nr. 1, for eksempel sykemeldinger, opplysninger om graviditet, fagforeningsmedlemskap og helseforhold hos familiemedlemmer. Behandling av slike opplysninger er forbudt med mindre et av unntakene i GDPR art. 9 nr. 2 gjelder, og ingen av unntakene dekker salg til KI-trening. Selgeren må derfor filtrere bort slike opplysninger før et eventuelt salg, og det er vanskelig å gjøre pålitelig i fritekst.

Hvilken informasjonsplikt gjelder ved salg?

Selgeren skal informere de registrerte før opplysningene behandles for et nytt formål, jf. GDPR art. 13 nr. 3 og GDPR art. 14 nr. 4. Kjøperen får opplysningene fra en annen enn de registrerte og må gi informasjon etter GDPR art. 14 innen rimelig tid og senest innen én måned. Unntaket i GDPR art. 14 nr. 5 bokstav b for tilfeller der informasjon er umulig eller krever en uforholdsmessig innsats, kan ikke brukes som en generell fritakelse for store datasett. Hvor langt unntaket rekker ved kjøp av treningsdata, er ikke avklart i praksis fra EU-domstolen eller Personvernnemnda.

Er dataene reelt anonymisert før salget, gjelder ikke personvernforordningen for kjøperens bruk. Anonymiseringen er selv en behandling som krever grunnlag, og fritekst er vanskelig å anonymisere. Kravene er behandlet i artikkelen om anonymisering etter GDPR.

Endrer Rådets mandat for Digital Omnibus vurderingen av treningsdata?

Rådets faste representanter (Coreper) ble 21. oktober 2026 enige om Rådets forhandlingsmandat til Kommisjonens forslag til Digital Omnibus, COM(2025) 837. Mandatet er gjengitt i rådsdokument ST 14756/26 og viderefører en egen bestemmelse om KI i personvernforordningen, nå som GDPR art. 88 bis. Etter nr. 1 kan behandling av personopplysninger ved utvikling og drift av et KI-system eller en KI-modell skje for en berettiget interesse hos den behandlingsansvarlige eller en tredjepart etter GDPR art. 6 nr. 1 bokstav f. Rådet har samtidig tilføyd at bestemmelsen ikke påvirker plikten til å velge riktig behandlingsgrunnlag, og at tekniske og organisatoriske tiltak og retten til å protestere etter GDPR art. 21 gjelder uansett grunnlag. Unntaket for særlige kategorier i ny GDPR art. 9 nr. 2 bokstav k er i Rådets versjon begrenset til tilfeldig behandling av restdata som den behandlingsansvarlige ikke har tilsiktet. Etter ny GDPR art. 9 nr. 5 skal slike opplysninger slettes uten ugrunnet opphold når de oppdages.

Etter vår vurdering endrer mandatet ikke artikkelens hovedkonklusjon. Bestemmelsen i art. 88 bis bekrefter at berettiget interesse kan være grunnlag for kjøperens trening, slik artikkelen allerede legger til grunn, men interesseavveiningen etter GDPR art. 6 nr. 1 bokstav f må fortsatt gjennomføres. Det er dessuten usikkert om selgerens eller boets utlevering av et datasett er behandling ved utvikling av en KI-modell i bestemmelsens forstand, og forslaget berører verken kravet om forenlig formål, sletteplikten i e-postforskriften, databehandlerens manglende rådighet, opphavsretten eller taushetsplikten. Unntaket i art. 9 nr. 2 bokstav k vil heller ikke dekke kjøp av e-postarkiver der det er kjent at materialet inneholder helseopplysninger og andre særlige kategorier. Kravet om filtrering før salg står derfor fast, og etter Rådets art. 9 nr. 5 ville det bli en uttrykkelig plikt for kjøperen å hindre innsamling og slette slike opplysninger.

Mandatet er Rådets utgangspunkt for forhandlingene og ikke vedtatt regelverk. Europaparlamentet har ikke vedtatt sin posisjon (Legislative Observatory), og trilogforhandlingene starter først når det har skjedd. Kommisjonen har ikke merket forslaget som EØS-relevant, og det er ikke avklart om og når endringene blir innlemmet i EØS-avtalen. Gjeldende personvernforordning gjelder fullt ut i mellomtiden. Rådets øvrige endringer er omtalt i artikkelen om Digital Omnibus og GDPR.

Hva betyr e-postforskriften ved salg av ansattes e-post?

Forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale, gitt med hjemmel i aml. § 9-5, gjelder både nåværende og tidligere arbeidstakere etter e-postforskriften § 1 tredje ledd. Den omfatter e-postkassen og arbeidstakerens personlige områder i virksomhetens nettverk, også slettet materiale på sikkerhetskopier.

Den viktigste bestemmelsen ved nedleggelse er sletteplikten. Etter e-postforskriften § 4 skal e-postkassen avsluttes når arbeidsforholdet opphører, og opplysningene skal slettes innen rimelig tid.

«Opplysninger nevnt i § 1 første ledd bokstav a og b som ikke er nødvendig for den daglige driften av virksomheten, skal slettes innen rimelig tid etter arbeidsforholdets opphør.»

Når virksomheten er nedlagt, finnes det ingen daglig drift som gjør opplysningene nødvendige. Etter vår vurdering innebærer dette at ansattes e-postkasser som hovedregel skal slettes, og at en salgsverdi for kreditorene ikke er et behov forskriften anerkjenner. Opplysninger som er nødvendige for avviklingen, for eksempel dokumentasjon av lønnskrav, kan beholdes så lenge behovet varer. Selve gjennomgangen for å skille ut salgbart materiale er et innsyn som bare er tillatt på vilkårene i e-postforskriften § 2, og reglene kan ikke fravikes til ugunst for arbeidstakeren etter e-postforskriften § 5.

Det er uavklart om forskriften omfatter Slack-kanaler og andre samarbeidsverktøy. Direktemeldinger ligner en e-postkasse og bør etter vår vurdering behandles på samme måte, mens åpne kanaler i større grad er virksomhetens felles arbeidsmateriale. Personvernforordningen gjelder uansett for begge. Vilkårene for innsyn er nærmere omtalt i artikkelen om innsyn i ansattes e-post.

Hvem er behandlingsansvarlig ved avvikling og konkurs?

Ved frivillig avvikling forblir selskapet behandlingsansvarlig, og avviklingen hører under styret etter asl. § 16-2. Styret skal omgjøre eiendelene i penger så langt det trengs for å dekke forpliktelsene etter asl. § 16-8, men denne plikten gir ikke selvstendig grunnlag for å behandle personopplysninger. Styret har derfor ansvaret for at et eventuelt salg av data oppfyller personvernforordningen.

Ved konkurs mister skyldneren retten til å forføye over boets eiendeler etter konkursloven § 100, og kreditorene har etter dekningsloven § 2-2 rett til dekning i ethvert formuesgode som tilhører skyldneren og kan omgjøres i penger. Bostyreren representerer boet utad, skal sørge for at eiendelene blir solgt så fordelaktig som mulig etter konkursloven § 85, og skal realisere dem innenfor de grenser lovgivningen setter etter konkursloven § 117. Det er dermed boet som i praksis bestemmer over dataene, og etter det funksjonelle begrepet behandlingsansvarlig i GDPR art. 4 nr. 7 taler de beste grunner for at boet er behandlingsansvarlig for de personopplysningene det har rådighet over. Spørsmålet er likevel ikke uttrykkelig avklart i norsk rett eller i praksis fra EU-domstolen, og det er ikke gitt at personopplysninger kan selges som et ordinært formuesgode.

Datatilsynet har slått fast at det alltid må finnes en behandlingsansvarlig også etter en konkurs. I vedtaket mot Timegrip AS 16. januar 2026 hadde leverandøren av et timeregistreringssystem nektet både konkursboet og tidligere ansatte tilgang til timelister. Tilsynet la til grunn at leverandøren var blitt behandlingsansvarlig fordi den i realiteten bestemte over opplysningene, jf. GDPR art. 28 nr. 10, og ila et overtredelsesgebyr på 250 000 kroner for brudd på innsynsretten.

Den nærmeste avgjørelsen fra EU-retten gjelder tvangsfullbyrdelse. I sak C-693/22 la generaladvokat Pikamäe 22. februar 2024 til grunn at en database med personopplysninger under visse vilkår kan selges ved tvangsfullbyrdelse uten samtykke fra de registrerte, dersom salget er nødvendig og forholdsmessig for å inndrive et sivilrettslig krav. Generaladvokatens forslag binder ikke domstolen, og saken gjaldt salg ved en offentlig namsmann og ikke salg til KI-trening. Vi har ikke kunnet bekrefte om domstolen har avsagt dom i saken.

Kan kundedata som selskapet behandler som databehandler, selges?

Kundedata som et SaaS-selskap behandler på vegne av kundene, kan ikke selges. En databehandler kan bare behandle personopplysningene etter dokumenterte instrukser fra den behandlingsansvarlige etter GDPR art. 28 nr. 3 bokstav a, og ved opphør skal opplysningene slettes eller tilbakeleveres etter GDPR art. 28 nr. 3 bokstav g. En databehandler som selv fastsetter formålet med behandlingen, anses etter GDPR art. 28 nr. 10 som behandlingsansvarlig og er ansvarlig for overtredelsen.

Det samme gjelder for konkursboet, som ikke kan få større rett til kundedataene enn selskapet hadde. Boet bør i stedet tilby kundene tilbakelevering og deretter dokumentere sletting. Hvilke krav kundene bør stille til leverandørens plikter ved opphør, er omtalt i artiklene om databehandleravtale ved kjøp av SaaS og exit fra skytjenesten.

Hvem eier kildekoden som selges som treningsdata?

Opphavsretten til datamaskinprogrammer som en arbeidstaker har skapt under utførelsen av arbeidet, går over til arbeidsgiveren etter åndsverkloven § 71, med mindre annet er avtalt. Overgangen omfatter også retten til å endre koden og til å overdra den videre. Bestemmelsen gjelder bare arbeidstakere. Kode skrevet av konsulenter, frilansere og gründere uten ansettelsesavtale tilhører utvikleren med mindre rettighetene er overdratt ved avtale.

Rettigheter som selskapet har ervervet ved avtale, kan etter åndsverkloven § 68 annet ledd ikke overdras videre uten samtykke, med mindre de går inn i en forretning eller forretningsavdeling og overdras sammen med denne. Et salg av kode som datasett, løsrevet fra virksomheten, faller etter ordlyden utenfor dette unntaket. Selskapet bør derfor kontrollere konsulentavtalene før kode fra innleide utviklere tas med i et salg.

Tredjepartskode og åpen kildekode følger sine lisensvilkår. Kommersielle lisenser er ofte ikke overdragbare, og åpen kildekode kan bare brukes i samsvar med lisensen, også av kjøperen. Om trening av KI-modeller på kode med «copyleft»-lisenser utløser lisensens plikter, er ikke avklart. En database kan i tillegg ha eget vern for fremstilleren etter åndsverkloven § 24 når innsamlingen har krevd en vesentlig investering. Opphavsrett til innhold som KI-modeller produserer, er behandlet i artikkelen om opphavsrett og KI.

Kan forretningshemmeligheter og opplysninger under taushetsplikt selges?

Selskapets egne forretningshemmeligheter kan selges, men vernet etter forretningshemmelighetsloven § 2 forutsetter at opplysningene holdes hemmelige. Blir de brukt til å trene en modell som gjengir dem for andre brukere, kan vernet falle bort. Dette er i hovedsak selskapets egen risiko og drøftet i artikkelen om forretningshemmeligheter og KI.

Opplysninger som kunder, leverandører og samarbeidspartnere har gitt under en taushetserklæring (NDA), står i en annen stilling. Taushetsplikten opphører normalt ikke ved avvikling eller konkurs, og et salg til KI-trening vil som regel være et avtalebrudd. Etter forretningshemmelighetsloven § 3 annet ledd bokstav b er det et inngrep å urettmessig formidle en forretningshemmelighet som er mottatt i et forretningsforhold. Kjøperen gjør selv inngrep etter forretningshemmelighetsloven § 3 tredje ledd dersom den visste eller burde ha visst at opplysningene var formidlet urettmessig. Om en modell trent på slike opplysninger kan anses som en vare som utgjør inngrep etter forretningshemmelighetsloven § 4, er ikke avklart.

Hva bør styret og bostyrer gjøre før data selges?

Styret i et selskap under avvikling og bostyreren i et konkursbo bør gå gjennom datasettene før arbeidsdata tilbys for salg. Tiltakene nedenfor følger rekkefølgen i drøftelsen over.

1. Kartlegg datasettene etter type og rolle, og skill mellom opplysninger selskapet behandler som behandlingsansvarlig og opplysninger det behandler som databehandler for kunder.
2. Lever tilbake eller slett kundedata som er behandlet under databehandleravtale, og dokumenter slettingen.
3. Avslutt ansattes e-postkasser og slett innholdet etter e-postforskriften § 4, med unntak for det som er nødvendig for avviklingen.
4. Vurder behandlingsgrunnlag og forenlighet skriftlig for hvert datasett som fortsatt vurderes solgt, og filtrer bort særlige kategorier av personopplysninger.
5. Gjennomgå taushetserklæringer, kundeavtaler og konsulentavtaler for å fastslå hvilke opplysninger og hvilken kode selskapet faktisk har rett til å overdra.
6. Informer de registrerte før et salg, og avtal med kjøperen hvem som har ansvaret for informasjon, anonymisering og sletting.

Hva bør kjøper av treningsdata undersøke?

Kjøperen blir selv behandlingsansvarlig for personopplysningene og bærer risikoen dersom selgeren manglet grunnlag. Det europeiske personvernrådet (EDPB) har i uttalelse 28/2024 om KI-modeller lagt til grunn at ulovlig behandling ved utviklingen av en modell kan få betydning for lovligheten av den senere bruken, med mindre modellen er anonym.

Tilbydere av KI-modeller for allmenne formål skal etter KI-forordningen art. 53 nr. 1 bokstav c og d ha retningslinjer for å overholde opphavsretten og offentliggjøre et sammendrag av innholdet som er brukt til trening. KI-forordningen er ennå ikke gjennomført i norsk rett, men norske tilbydere som retter seg mot EU-markedet, må forholde seg til kravene allerede nå. Due diligence ved kjøp av datasett bør derfor omfatte selgerens dokumenterte rettigheter og behandlingsgrunnlag for hver datakategori, forenlighetsvurdering og informasjon til de registrerte, filtrering av særlige kategorier og dokumentert anonymiseringsmetode, oversikt over konsulentkode, tredjepartskode og lisenser, og en gjennomgang av taushetsforpliktelser i selgerens kundeavtaler. Garantier fra en selger i avvikling eller konkurs har begrenset verdi fordi selgeren opphører, og kjøperen bør derfor kreve at dokumentasjonen overleveres og legges til grunn i kjøpsavtalen før vederlaget betales.

Spørsmål og svar

Neste faglige kontroll: 1. desember 2026