Kameraovervåking og kunstig intelligens – hva er lov?

Sist oppdatert 24. juni 2026, av advokat Kjell Steffner

Spørsmålet de fleste virksomheter stiller feiler «hva kan kameraet gjøre?». Det riktige spørsmålet er «hva har vi lov til å gjøre med det kameraet kan?». Kameraovervåking og kunstig intelligens har gjort det teknologiske mulighetsrommet langt større enn det rettslige handlingsrommet. Denne artikkelen kartlegger hva AI-kameraer faktisk kan oppdage i dag, og hvor den rettslige grensen går.

Hva menes med kameraovervåking og kunstig intelligens?

Med kameraovervåking menes etter kameraforskriften og personopplysningsloven § 31 vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fastmontert, fjernbetjent eller automatisk virkende kamera — med eller uten opptak. Når kameraet fanger identifiserbare personer, er det behandling av personopplysninger, og hele personvernregelverket gjelder.

«Kunstig intelligens» i denne sammenhengen er den analysen som skjer på toppen av videostrømmen: programvare som tolker bildet og trekker ut informasjon. I praksis snakker vi om tre lag. Det første er objektdeteksjon og klassifisering på selve kameraet (edge). Det andre er egenskapsuttrekk og søk i et videostyringssystem (VMS). Det tredje er spesialiserte analyser fra tredjeparter som legger seg oppå kameraene. Et viktig poeng allerede her er at «kameraovervåking og kunstig intelligens» sjelden er ett produkt, men et samspill mellom både kamera, programvare og lagring.

Hva kan AI-kameraer faktisk oppdage i dag?

Grunnfunksjonen i moderne systemer er å skille hva som beveger seg — typisk menneske fra kjøretøy — og bare reagere på det relevante. Edge-baserte analyser som AXIS Object Analytics kan detektere objekt i et område, linjekryssing, opphold over tid (loitering), telling og beleggsgrad, og kjøre flere slike scenarioer samtidig. Bare metadata — ikke nødvendigvis video — forlater kameraet.

Over dette ligger egenskapsuttrekk, altså at systemet beskriver objektene med attributter som farge på klær, kjøretøytype, estimert kjønn og alder. Det mest inngripende steget er re-identifikasjon (Re-ID): kameraet trekker ut en «egenskapsvektor» som beskriver en persons visuelle kjennetegn, slik at samme person kan gjenkjennes og spores på tvers av kameraer som ikke overlapper. Leverandørenes eget eksempel er å rekonstruere en persons fulle bevegelsesbane fra port, via parkeringsplass, til utgang. Enkelte systemer tilbyr i tillegg ansiktsgjenkjenning, skiltgjenkjenning (ANPR) og lydklassifisering av kritiske lyder som skudd, glassknusing og skrik.

Et utbredt misforståelsespunkt fortjener en korreksjon, nemlig at analysen skjer lokalt på kameraet og at «bare metadata forlater enheten», reduserer enkelte risikoer (overføring til sky), men det endrer ikke at det skjer behandling av personopplysninger som trenger et lovlig behandlingsgrunnlag. Edge-AI løser derfor ikke de rettslige utfordringene.

Kan et kamera oppdage fall, ulykker og drukning?

Ja, for visse, veldefinerte hendelser, men nesten alltid gjennom spesialiserte systemer og med betydelige forbehold om pålitelighet. For fall og «person nede» (man down) bruker systemene positur- og bevegelsesanalyse til å oppdage at en person har falt og blir liggende ubevegelig, og skiller dette fra normal aktivitet som å sette seg eller bøye seg. Typiske bruksområder er enearbeid, lager, produksjon og avsidesliggende anlegg der en kollaps ellers kunne forbli uoppdaget.

For drukning er feltet mest modent. Spesialiserte leverandører bruker undervanns- og overvåkingskameraer med sanntids modellering av bassenget til å oppdage tegn på nød — langvarig stillstand, unormale bevegelsesmønstre eller for lang neddykking — og varsler badevakter innen sekunder. Det finnes nå egne standarder for datasyn-basert drukningsdeteksjon (blant annet ASTM F3698-24 og ISO 20380).

Det avgjørende forbeholdet er at disse systemene reduserer responstid, men ikke er ufeilbarlige. Falske positiver (en person som hviler) og falske negativer (et uvanlig fallmønster) er den sentrale begrensningen. Leverandørene posisjonerer systemene som støtte til bemanning, ikke som erstatning — og det bør også den rettslige vurderingen legge til grunn. I et badeanlegg behandler man dessuten opplysninger i et særlig sensitivt miljø, med barn og helseforhold i bildet.

Hva er det rettslige utgangspunktet for AI-kameraovervåking?

Det finnes ikke noe generelt forbud mot kameraovervåking i norsk rett, men flere lag av regler gjelder samtidig. Etter personopplysningsloven og personvernforordningen er behandlingsgrunnlaget i praksis nesten alltid berettiget interesse, jf. art. 6 nr. 1 bokstav f. Som Datatilsynet (gjengitt i Lov & data) har lagt til grunn, må tre kumulative vilkår være oppfylt: overvåkingen må forfølge en berettiget interesse, den må være nødvendig (ingen mindre inngripende tiltak strekker til), og interesseavveiingen må falle ut i virksomhetens favør.

Overvåker man et område der ansatte eller en begrenset krets ferdes jevnlig, kommer kameraforskriften § 3 i tillegg er slik overvåking er bare tillatt dersom det er behov for å forebygge farlige situasjoner og ivareta sikkerheten, eller det ellers er et særskilt behov. Gjelder det ansatte, er kameraovervåking et kontrolltiltak etter arbeidsmiljøloven kapittel 9, med krav om saklig grunn, forholdsmessighet og forutgående drøfting med tillitsvalgte. Jeg har forøvrig skrevet egne artikler om hva en begrenset krets av personer er og når det skal drøftes med representanter for de ansatte. Datatilsynets praksis er at overvåking på arbeidsplassen som hovedregel bare er tillatt når det er nødvendig for å forebygge eller avdekke straffbare forhold eller verne liv og helse.

Kameraovervåking av område i virksomheten hvor en begrenset krets av personer ferdes jevnlig, er bare tillatt dersom det ut fra virksomheten er behov for å forebygge at farlige situasjoner oppstår og ivareta hensynet til ansattes eller andres sikkerhet eller det for øvrig er et særskilt behov for overvåkingen. (kameraforskriften § 3)

Kan systemet overvåke uten å lagre alt?

Ja, og det er ofte det mest personvernvennlige valget. Moderne systemer kan settes opp slik at kameraet følger med kontinuerlig, men bare lagrer eller varsler når en regel brytes — for eksempel at noen krysser en linje inn på et avgrenset område etter stengetid. Opptaksmodus kan begrenses til «ved bevegelse» eller «ved smart-deteksjon» (bare når AI klassifiserer person eller kjøretøy), og hendelsesmotorer kan kombinere flere vilkår før en handling utløses. Resultatet er at parkeringsplassen overvåkes, men bare relevante hendelser arkiveres.

Rettslig er dette mer enn en teknisk detalj. Prinsippet om dataminimering (personvernforordningen art. 5 nr. 1 bokstav c) tilsier at man ikke skal samle inn mer enn nødvendig, og hendelsesstyrte opptak er nettopp et tiltak som reduserer mengden lagrede personopplysninger. Det styrker forholdsmessigheten og bør være utgangspunktet der formålet er å fange enkelthendelser, ikke å overvåke kontinuerlig.

Når blir AI-analysen for inngripende?

Den rettslige grensen følger graden av personverninngrep, ikke teknologien. Et kamera som teller biler på en parkeringsplass er noe annet enn et kamera som identifiserer enkeltpersoner og rekonstruerer bevegelsesmønstre. Jo mer analysen nærmer seg identifikasjon, profilering og sammenstilling over tid, jo tyngre må formålet være, og jo mer sannsynlig er det at mindre inngripende tiltak ville vært tilstrekkelig. Tabellen under viser hvordan vanlige AI-funksjoner forholder seg til den rettslige terskelen.

De mest inngripende funksjonene behandles i egen artikkel om ansiktsgjenkjenning og biometrisk kameraovervåking. Maskering som virkemiddel for å gjøre overvåkingen mindre inngripende er tema i artikkelen om sladding og maskering i kameraovervåking.

Hva bør virksomheten gjøre?

Fremgangsmåten er den samme uansett hvor avansert kameraet er. Start med formålet, ikke med teknologien. Definer konkret hva overvåkingen skal oppnå, og vurder om mindre inngripende tiltak strekker til. Fastsett behandlingsgrunnlaget (som regel berettiget interesse) og dokumenter interesseavveiingen. Gjelder det ansatte, drøft tiltaket med tillitsvalgte før det iverksettes, og informer alle berørte. Vurder om en personvernkonsekvensvurdering (DPIA) er påkrevd — for ny teknologi med systematisk overvåking er den ofte det.

Husk dernest gjennomføringen: skilting er obligatorisk, skjult overvåking er som hovedregel forbudt, og opptak skal etter kameraforskriften slettes senest én uke etter opptak — inntil 30 dager dersom det er sannsynlig at opptaket utleveres til politiet ved etterforskning av straffbare handlinger eller ulykker, og inntil tre måneder for utsalgssteder med betalingsinstrument og for post-/banklokaler. Begrens tilgangen til opptakene til dem som har et tjenstlig behov, og logg bruken. Aktiver bare de AI-funksjonene formålet faktisk krever — og slå av resten.

Denne artikkelen er en del av Nordia Laws serie om kameraovervåking i virksomhet. Se også artiklene om sladding og maskering og om ansiktsgjenkjenning og biometrisk kameraovervåking.

Kilder: Kameraforskriften (FOR-2018-07-02-1107); personopplysningsloven; arbeidsmiljøloven kapittel 9; Datatilsynet om kameraovervåking på arbeidsplassen; Lovdata: fire avgjørelser om kameraovervåking; Arbeidstilsynet om kontroll og overvåking.