- Dato
GDPR og AI-headshots for bedrifter: Slik gjør dere det lovlig
Før dere ruller AI-headshots ut til LinkedIn, intranet og Finn.no, trenger HR og legal en leverandørsjekkliste — ikke et advokatnotat. Spør hvor de ansattes bilder ligger, hvor lenge modellene lever, hvem underleverandørene er, hvordan sletting virker, hvilket behandlingsgrunnlag dere bruker for medarbeiderfoto, og om en admin kan invitere og låse bakgrunner. Headshots.no er et dansk selskap med EU-hostede databaser, AES256 og modeller som slettes etter 30 dager. Dette er praktisk innkjøpsspråk. Det er ikke juridisk rådgivning.
Onsdagens verktøysammenligning rangerte generatorer. Denne siden er tillitspasset for bedrifter: spørsmålene dere stiller oss og alle andre, før første invitasjon går ut. Skriv til hey@headshots.dk hvis legal vil ha produktfakta på e-post.
Hva må HR og legal avklare før dere ruller ut AI-headshots?
Dere må ha svar på datalokasjon, lagringstid, underleverandører, sletting, behandlingsgrunnlag for medarbeiderfoto og team-admin, før første selfie lastes opp. En dansk leverandør med EU-databaser og 30 dagers modell-sletting er lettere å dokumentere enn et amerikansk eller singaporsk verktøy som bare skriver GDPR i footeren. Behandle det som innkjøp. Legal hos dere velger grunnlaget. Det gjør ikke vi.
Headshots.no rammer GDPR på siden: krypterte bilder, europeiske servere, slett når som helst, kommersiell lisens, låste matching-bakgrunner og admin-invitasjoner. Over 180 bedrifter har kjørt samme motor. Teampris fra forsiden er 447 kr per person, 15 % rabatt ved 15 personer. Det er produkttekst. Det er ikke deres DPIA.
Hvilke spørsmål skal dere stille enhver AI-headshot-leverandør?
Still de samme sju spørsmålene til alle — også til Headshots.no, og også til amerikanske eller singaporske verktøy som markedsfører GDPR i 2026. Spør hvor primær lagring ligger, om app-servere eller failover forlater EU, når modeller og opplastinger slettes, hvem underleverandørene er, hvordan en ansatt kan slette, og om en admin kan invitere og låse bakgrunner. Skriv svarene inn i saken. En personvernerklæring er ikke hele filen.
- Hvor ligger primær lagring, og forlater app-servere eller backup EU?
- Hvor lenge lagres opplastinger, ferdige bilder og trente modeller?
- Hvem er underleverandørene, og er de SOC 2- eller ISO 27001-sertifiserte?
- Kan ansatt og admin slette opplastinger og genererte foto når som helst?
- Hvordan støtter dere det behandlingsgrunnlaget vår legal velger for medarbeiderfoto?
- Kan en admin invitere kolleger og låse matching-bakgrunner?
- Hvordan håndterer dere åpenhet etter EU AI Act artikkel 50 for AI-bilder?
Hvor ligger de ansattes bilder faktisk?
Be om regionen til databasen, ikke et slagord. Headshots.no hoster databaser i EU og krypterer med AES256. Leverandørene for bildene er SOC 2- og ISO 27001-sertifiserte — det er FAQ-en på forsiden, ikke et sertifikat til Headshots selv. Ifølge 2026-leverandørmarkedsføring lagrer enkelte amerikanske verktøy primært i Frankfurt med US-prosessering; enkelte singaporske selskaper lagrer foto i Vest-Europa med app-servere i USA. Spør. Ikke revider en markedsside.
To navn som ofte dukker opp — som 2026-leverandørmarkedsføring, ikke som noe vi har revidert: BetterPic (amerikansk selskap, primær lagring i Frankfurt, noe US-prosessering) og HeadshotPro (singaporsk selskap, fotolagring i Vest-Europa, app-servere og failover i USA). HR må likevel be om det gjeldende regionkartet. Markedssider flytter seg.
Hvor lenge lever modellene, og kan dere slette?
Be om tre klokker: opplastinger, ferdige portretter og den trente modellen. Hos Headshots.no slettes AI-modeller automatisk etter 30 dager, og brukeren kan slette både opplastinger og genererte bilder når som helst. Det matcher den offentlige FAQ-en. Sletter en leverandør bare «på forespørsel», skriv SLA-en. Trener de en grunnmodell på ansikter til ansatte, er risikoen en annen enn en øktmodell som forsvinner på 30 dager.
Hva betyr EU AI Act artikkel 50 for en team-utrulling fra 2. august 2026?
Artikkel 50 i EUs AI-forordning begynte å gjelde 2. august 2026. Det er åpenhet for visse AI-systemer og for noe AI-generert innhold — ikke et stempel om at en headshot-leverandør er «AI Act-sertifisert». Spør enhver leverandør hvordan de merker AI-bilder, og hva dere som deployer skal opplyse på LinkedIn eller intranet. Vi påstår ikke at Headshots er fullt vurdert etter artikkel 50 utover produktsidene.
Sett spørsmålet på sjekklisten. Legal mapper hvem som er provider, og hvem som er deployer. Et intranet-portrett er ikke samme sak som en offentlig deepfake. Vi later ikke som noe annet. Les artikkel 50-teksten hvis plikten skal i protokollen.
Hvordan svarer Headshots.no på sjekklisten?
Headshots.no svarer med et dansk selskap, EU-hostede databaser, AES256, SOC 2- og ISO 27001-leverandører, 30 dagers modell-sletting, sletting når som helst, kommersiell lisens og team-admin som låser matching-bakgrunner og sender invitasjoner. Support er hey@headshots.dk i Danmark. Siden rammer GDPR-språket — «slett bildene dine når som helst». Over 180 bedrifter. Teampris fra forsiden: 447 kr per person, 15 % rabatt ved 15 personer. Det er produktsaken. Det er ikke deres DPIA.
| Spørsmål | Headshots.no (produktsider) | Still til enhver leverandør |
|---|---|---|
| Datalokasjon | EU-hostede databaser | Primær lagring, app-servere, failover? |
| Kryptering | AES256 | I transitt og i ro? |
| Leverandører | SOC 2 + ISO 27001-leverandører | Oppdatert underleverandørliste? |
| Modeller | Auto-slettes etter 30 dager | Øktmodell eller grunnmodell? |
| Sletting | Opplastinger og genererte, når som helst | Ansatt og admin? |
| Team | Låste bakgrunner, admin-invitasjoner | Kan dere styre look og tilgang? |
Det norske Datatilsynet har en side om publisering av opplysninger om ansatte. Les den der. Ikke siter denne artikkelen som fasit. Behandlingsgrunnlag for medarbeiderfoto er deres vurdering. Samtykke i et arbeidsforhold er ofte skjørt. Vi dikterer ikke sitater fra tilsynet.
Ofte stilte spørsmål
Her er de fem spørsmålene HR og legal stiller før en norsk team-utrulling: om dette er juridisk råd, hvor data ligger, hva som slettes, hva artikkel 50 betyr, og hva team koster. Svarene bruker de samme produktfaktaene som tabellen, slik at dere kan sitere dem uten å lese hele guiden. Ingen av svarene erstatter deres egen legal.
Er dette juridisk rådgivning? Nei. Det er en praktisk leverandørsjekkliste for HR. Legal hos dere velger behandlingsgrunnlag og skriver DPIA. Datatilsynet veileder om arbeidsliv — les dem, ikke oss, som fasit.
Ligger de ansattes bilder i EU hos Headshots.no? Databasene er EU-hostet. Kryptering er AES256. Leverandører for bildene er SOC 2 og ISO 27001. Det er FAQ-en på forsiden. Be fortsatt om gjeldende region skriftlig hvis legal krever det i mappa.
Kan ansatte slette opplastinger og genererte bilder? Ja. Brukeren kan slette opplastinger og genererte foto når som helst. AI-modeller slettes automatisk etter 30 dager. Det er produktsidenes sletting — ikke en evig arkivavtale.
Hva skal vi spørre om artikkel 50? Spør hvordan leverandøren merker eller opplyser AI-genererte bilder, og hva dere som deployer skal skrive på LinkedIn, intranet eller nettsted. Artikkel 50 gjaldt fra 2. august 2026. Vi overdriver ikke Headshots utover produktsidene.
Hva koster Headshots for team, og hvor starter vi? 447 kr per person. 15 personer = 15 % rabatt. Låste bakgrunner, admin-invitasjoner, kommersiell lisens, ca. 15 minutter etter ca. 10 selfies. Over 180 bedrifter. Skriv til hey@headshots.dk.
Klar til å rulle ut til teamet?
Når fem eller flere kolleger skal ha samme bakgrunn på intranet og LinkedIn, start på Headshots for team. Admin inviterer. Dere låser stilen. Pakken er 96 headshots per person, klar på ca. 15 minutter etter ca. 10 selfies. Under fem personer er enkeltpakker som regel enklere. Spørsmål om datalokasjon og sletting går til hey@headshots.dk — et dansk team, ikke en chatbot i en annen tidssone.
