Shadow AI: sådan finder I skjult AI og bygger et AI-register
Shadow AI (skygge-AI) er AI-værktøjer, som medarbejderne bruger i arbejdet uden IT's eller ledelsens godkendelse, fx private ChatGPT-konti, mødebots og browserudvidelser. I finder dem gennem indkøbsdata, SSO- og netværkslogs, udvidelser, leverandørprodukter og en kort rundspørge. Resultatet samles i et AI-register med ejer, formål, data, risikoniveau og rolle for hvert system.
Det vigtigste kort fortalt
- Shadow AI er sjældent ond vilje. Det er medarbejdere, der vil løse deres opgaver hurtigere, og som ikke har fået et godkendt alternativ.
- Risikoen er konkret: kundedata og forretningshemmeligheder i tjenester uden databehandleraftale, ingen logning og ingen kontrol med, hvad leverandøren træner på.
- AI-forordningen nævner ikke et »AI-register« for idriftsættere, men I kan ikke opfylde pligterne om AI-færdigheder, forbud, gennemsigtighed og højrisiko uden at vide, hvilken AI I bruger.
- Et godt register har 15–20 felter pr. system, ikke 80. Ejer, formål, data, risikoniveau og rolle er de vigtigste.
- Registeret skal være levende: koblet til indkøb, godkendelse af nye værktøjer og en fast gennemgang.
Hvad er shadow AI?
Begrebet kommer fra »shadow IT«: teknologi, der bruges uden for de officielle kanaler. Med generativ AI er fænomenet vokset hurtigt, fordi værktøjerne er gratis, kører i browseren og giver en øjeblikkelig gevinst. Typiske eksempler i danske virksomheder:
- En medarbejder i økonomi kopierer en leverandørkontrakt ind i en gratis chatbot for at få et resumé.
- En sælger bruger en AI-udvidelse i browseren, der skriver e-mails ud fra indholdet i CRM-systemet.
- En projektleder inviterer en AI-mødebot med til Teams-møder med kunder, som transskriberer og gemmer samtalen i udlandet.
- En udvikler indsætter kode med API-nøgler i en kodeassistent med privat konto.
- HR afprøver et gratis værktøj, der rangerer ansøgninger, »bare for at se, hvad det kan«.
Hertil kommer den skjulte AI, som ingen har bedt om: nye AI-funktioner, som leverandører slår til i software, I allerede bruger. Det er ikke shadow AI i streng forstand, men den skal i registeret af samme grund.
Har I brug for eksperthjælp med shadow ai: sådan finder i skjult ai og bygger et ai-register?
Vores cloud-arkitekter hjælper jer med shadow ai: sådan finder i skjult ai og bygger et ai-register — fra strategi til implementering. Book en gratis 30-minutters rådgivningssamtale uden forpligtelse.
Hvorfor er shadow AI et problem?
Fordi I ikke kan styre det, I ikke kender. Konkret giver shadow AI fire typer risiko:
| Risiko | Hvad der kan ske | Hvilke regler |
|---|---|---|
| Databeskyttelse | Personoplysninger behandles uden behandlingsgrundlag, databehandleraftale eller styr på overførsel til tredjelande | GDPR; brud kan skulle anmeldes til Datatilsynet inden 72 timer |
| Fortrolighed | Forretningshemmeligheder og kundedata ender hos en leverandør, der må træne på dem | Kontrakter, fortrolighedsaftaler, tavshedspligt |
| AI-forordningen | Ingen ved, om et værktøj er forbudt, højrisiko eller kræver oplysning; ingen oplæring i værktøjet | Artikel 4, 5, 26 og 50 |
| Sikkerhed | Udvidelser og plugins med adgang til alt i browseren; ingen logning; ingen mulighed for at lukke adgangen | Informationssikkerhed, fx ISO 27001 og NIS2 |
GDPR-siden er ikke ny: Hvis et AI-værktøj behandler personoplysninger, skal behandlingen stå i jeres fortegnelse, og Datatilsynets vejledninger om databehandlere og overførsler gælder fuldt ud. Det er også et ledelsesproblem. Spørger en stor kunde i et udbud, hvilke AI-værktøjer I bruger på deres data, eller spørger en myndighed, hvordan I fremmer AI-færdigheder, skal svaret bygge på fakta. Den overordnede ramme finder I i vores guide til AI-forordningen.
AI-register eller AI-oversigt: hvad er forskellen?
En oversigt over AI-anvendelser beskriver, hvad I bruger AI til: »opsummering af kundehenvendelser«, »forslag til produkttekster«. Et AI-register beskriver de konkrete systemer med leverandør, version, ejer, data og risikoniveau. I praksis har I brug for begge: Den samme Copilot-licens kan dække ti anvendelser med meget forskellig risiko. Den enkleste løsning er et register med en linje pr. system og en underliggende liste over anvendelser.
AI-forordningen kræver ikke et internt register af idriftsættere. Udbydere af højrisiko-AI og visse idriftsættere i den offentlige sektor skal registrere systemer i EU-databasen, men det er noget andet. Alligevel er registeret fundamentet for alt andet: Uden det kan I hverken lave en gap-analyse efter AI-forordningen eller målrette jeres oplæring. Vil I hurtigt have et udgangspunkt, kan I tage Opsios gratis AI governance-vurdering, hvor de AI-leverandører og anvendelser, I angiver, bliver forudfyldt i dokumenternes bilag.
Syv steder at finde shadow AI
1. Indkøb og økonomi
Gennemgå kreditkortposteringer, udlæg og leverandørfakturaer for kendte AI-tjenester og abonnementer på ord som »AI«, »GPT«, »copilot« og »assistant«. Små månedlige beløb på personlige kort afslører ofte de første værktøjer.
2. SSO-, SaaS- og netværkslogs
Kig i jeres identitetsplatform efter apps, medarbejderne har givet adgang via »log ind med Microsoft« eller Google, og i proxy-, DNS- eller firewalllogs efter trafik til AI-tjenester. Mange sikkerhedsværktøjer har allerede en kategori for generativ AI.
3. Browserudvidelser og desktopapps
Brug jeres enhedsstyring til at liste installerede udvidelser og programmer. AI-udvidelser, der kan læse alle sider, er blandt de mest risikable, fordi de ser alt, inklusive interne systemer.
4. Konti til ChatGPT, Copilot og lignende
Hvem har virksomhedslicenser, og hvem bruger private konti til arbejde? Spørg direkte, og gør det uden at true med sanktioner. Målet er at finde behovet, ikke at finde syndere.
5. AI i jeres eksisterende leverandørprodukter
CRM, HR-system, ERP, servicedesk og marketingværktøjer har fået AI-funktioner, ofte slået til som standard. Gennemgå leverandørernes produktnyheder, og spørg dem, hvilke AI-funktioner der er aktive i jeres opsætning, og hvilke data de bruger.
6. Udviklings- og datateams
Spørg efter API-nøgler til modeludbydere, open source-modeller i jeres cloudkonti, notebooks og interne prototyper. Det er her, I kan blive udbyder af et AI-system uden at have besluttet det. Hvad det betyder, når systemet bygger på en stor sprogmodel, forklarer vi i artiklen om GPAI og AI-modeller til almen brug.
7. En kort rundspørge til afdelingerne
Fem spørgsmål til hver afdelingsleder: Hvilke AI-værktøjer bruger I? Til hvad? Med hvilke data? Hvem bestemmer over dem? Hvad ville I gerne bruge, hvis det var godkendt? Det sidste spørgsmål er guld værd, for det viser jer, hvilke godkendte alternativer der mangler.
Felterne i et AI-register
Hold det enkelt. Disse felter dækker AI-forordningen, GDPR og sikkerhed uden at blive et projekt i sig selv:
| Felt | Hvad I noterer | Hvorfor |
|---|---|---|
| Systemnavn og ID | Produkt og modul, version eller model, hvis den kendes | Entydig reference ved audits og hændelser |
| Forretningsejer | En navngiven person, ikke en afdeling | Ansvar for brug og gennemgang |
| Leverandør | Leverandør, underliggende modeludbyder, kontraktreference | Leverandørkontrol og brugsanvisning |
| Formål | Hvad systemet gør, og hvilke beslutninger det påvirker | Afgør risikoklassificeringen |
| Brugere | Hvilke teams eller roller, og hvor mange | Oplæring og adgangsstyring |
| Berørte personer | Kunder, ansøgere, medarbejdere, borgere | Oplysningspligt og konsekvensanalyse |
| Datatyper | Input og output, klassificeringsniveau | Sikkerhed og fortrolighed |
| Personoplysninger | Ja/nej, særlige kategorier markeret, henvisning til fortegnelsen | Behandlingsgrundlag, DPIA, overførsler |
| Risikoniveau | Forbudt, højrisiko, gennemsigtighed eller minimal, med begrundelse | Afgør hvilke pligter der gælder og hvornår |
| Rolle | Udbyder, idriftsætter, importør eller distributør | Afgør hvis pligter I bærer |
| Artikel 50 | Chatbot, deepfake, genereret tekst, følelsesgenkendelse: ja/nej og om oplysning er på plads | Gennemsigtighed, der gælder siden 2. august 2026 |
| Menneskeligt tilsyn | Navngivne personer og deres beføjelser | Artikel 26, stk. 2, for højrisiko |
| Logning og opbevaring | Hvor logs ligger, og hvor længe | Mindst seks måneder for idriftsættere af højrisiko-AI |
| Status | Pilot, i drift, under udfasning, afvist | Viser, hvad der faktisk bruges |
| Seneste gennemgang | Dato og næste gennemgang | Holder registeret aktuelt |
Tilføj gerne et felt for, hvilke medarbejdergrupper der har fået oplæring i systemet. Så kan registeret også bruges som dokumentation for AI-færdigheder efter artikel 4.
Fra fund til beslutning
Når I har fundet shadow AI, har I tre muligheder for hvert værktøj:
- Godkend det, eventuelt i en virksomhedsudgave med bedre vilkår, og før det ind i registeret og på listen over godkendte værktøjer.
- Erstat det med et godkendt alternativ, der løser det samme behov.
- Afvis det med en begrundelse, og bloker det, hvis risikoen er høj.
Kommunikér beslutningen. Medarbejdere, der får at vide, hvorfor et værktøj er afvist, og hvad de kan bruge i stedet, holder op med at lede efter omveje. Reglerne skrives ind i jeres AI-politik. Se hvad en AI-politik skal indeholde, inklusive eksempler på regler om private konti og udvidelser.
Hold registeret levende
- Kobl det til indkøb. Intet nyt AI-værktøj købes, uden at det registreres og vurderes.
- Kobl det til godkendelse. Anmodninger om nye værktøjer går gennem én kanal, som opdaterer registeret.
- Fast gennemgang. Systemejerne bekræfter deres linjer hvert halve år.
- Udløsende hændelser. Nye funktioner fra leverandøren, et modelskift, en hændelse eller nye regler udløser en ny vurdering.
- Gentag søgningen. Kør loganalyse og rundspørge igen en gang om året. Shadow AI kommer tilbage, hvis behovet ikke er dækket.
Regneark eller GRC-værktøj?
De fleste starter i et delt regneark, og det er fint til de første 30–50 systemer. Når registeret skal kobles til godkendelsesflow, risikovurderinger og påmindelser, giver et GRC-værktøj eller en liste i jeres eksisterende servicedesk mening. Vælg ikke værktøjet først. Det vigtigste er felterne, ejerskabet og rutinen. Vil I have hjælp til drift og overvågning af AI-løsningerne bagefter, kan I læse om administreret AI-support.
Ofte stillede spørgsmål om shadow AI og AI-register
Hvad betyder shadow AI?
Shadow AI, på dansk ofte skygge-AI, er AI-værktøjer, som medarbejdere bruger i arbejdet uden godkendelse fra IT eller ledelse. Det kan være private konti i ChatGPT, AI-udvidelser i browseren eller mødebots. Problemet er ikke AI i sig selv, men at organisationen ikke ved, hvilke data der sendes hvorhen, og ikke kan opfylde sine pligter.
Kræver AI-forordningen et AI-register?
Ikke et internt register for idriftsættere. Udbydere af højrisiko-AI og visse offentlige idriftsættere skal registrere i EU-databasen. Men pligterne om AI-færdigheder, forbud, gennemsigtighed og højrisiko forudsætter, at I ved, hvilke systemer I bruger. Et register er den enkleste måde at vise det på.
Hvordan finder man shadow AI i en organisation?
Kombinér data og dialog: indkøbs- og kortdata, SSO- og netværkslogs, lister over browserudvidelser og apps, leverandørernes AI-funktioner, udviklernes API-nøgler og en kort rundspørge til afdelingerne. Spørg også, hvad medarbejderne gerne ville bruge. Det viser, hvilke godkendte alternativer der mangler.
Hvor ofte skal AI-registeret opdateres?
Løbende ved hvert nyt værktøj og ved ændringer hos leverandøren, og med en samlet gennemgang mindst hvert halve år. En gang om året bør I gentage søgningen efter shadow AI, fordi nye værktøjer dukker op hele tiden, og fordi leverandører slår nye AI-funktioner til i eksisterende software.
Skal vi bare blokere alle AI-tjenester?
Nej. Totale blokeringer skubber brugen over på private telefoner, hvor I har endnu mindre kontrol. Godkend sikre virksomhedsudgaver, giv klare regler og oplæring, og bloker kun det, der ikke kan gøres sikkert. Så får medarbejderne en lovlig vej, og I får overblik og logning.
Få jeres AI-register i gang
Registeret er grundlaget for jeres AI-politik, oplæring og risikovurdering. Start med Opsios gratis vurdering af AI-politik og AI governance: 14 trin, cirka 40 minutters spørgsmål på dansk. Når I sender, får I fire Word-dokumenter skrevet ud fra jeres svar, på engelsk og til at redigere: en AI governance-ramme med et register over godkendte AI-værktøjer i bilaget, en AI-politik for medarbejdere, en tjekliste til vurdering af AI-leverandører og en skabelon til AI-risikovurdering. Dertil et modenhedsbillede på ti områder. Gratis og uden forpligtelser.
Denne artikel er generel information og ikke juridisk rådgivning. Kontrollér den konsoliderede tekst af forordning (EU) 2024/1689 som ændret ved forordning (EU) 2026/1744. Oplysningerne er pr. oktober 2026.
Om forfatteren
Innovationschef
Jacob leder innovation hos Opsio og specialiserer sig i digital transformation, AI, IoT og cloud-drevne løsninger, der omsætter kompleks teknologi til målbar forretningsværdi. Med næsten 15 års erfaring arbejder han tæt sammen med kunder om at designe skalerbare AI- og IoT-løsninger, strømline leveranceprocesser og skabe teknologistrategier, der driver bæredygtig vækst og langsigtet forretningsmæssig effekt.
Redaktionelle retningslinjer: Artiklen er skrevet af en certificeret fagperson og gennemgået af vores ingeniørteam. Vi opdaterer den, når den teknologi eller regulering, den handler om, ændrer sig; datoerne ovenfor viser den seneste opdatering. Opsio er redaktionelt uafhængig — vi anbefaler løsninger ud fra tekniske fordele, ikke kommercielle relationer.