Shadow AI: slik finner dere skygge-KI og bygger et KI-register

Hvorfor er skygge-KI et problem?

Personvern. Personopplysninger i et KI-verktøy uten databehandleravtale er et brudd på GDPR og personopplysningsloven. Data kan bli lagret utenfor EØS og brukt til å trene modeller. Datatilsynet fører tilsyn med dette allerede i dag, uavhengig av KI-loven.

Forretningshemmeligheter og taushetsplikt. Tilbudspriser, kildekode og kundeinformasjon kan lekke. I offentlig sektor kan opplysninger underlagt taushetsplikt havne hos en ekstern tjeneste.

Kvalitet og ansvar. Ingen kontrollerer svarene, og ingen vet hvilke beslutninger som bygger på KI.

Regeletterlevelse. Dere kan ikke vurdere om noe er forbudt eller høyrisiko etter KI-forordningen hvis dere ikke vet at det finnes. Et rekrutteringsverktøy som rangerer søkere, er høyrisiko uansett om det ble kjøpt sentralt eller tatt i bruk av en avdeling på egen hånd.

Hva sier KI-forordningen om KI-register?

For idriftsettere finnes det ikke en egen artikkel som krever et internt KI-register. Men pliktene forutsetter oversikt: Dere må vite hvilke systemer som berøres av forbudene i artikkel 5, hvem som bruker KI og trenger opplæring etter artikkel 4, hvilke chatboter som må opplyse om KI etter artikkel 50, og hvilke systemer som er høyrisiko med plikter etter artikkel 26. Leverandører av høyrisikosystemer, og enkelte offentlige idriftsettere, må i tillegg registrere systemene i EUs database (artikkel 49 og 71).

For norske virksomheter som bare opererer i Norge, gjelder pliktene etter forordningen når KI-loven trer i kraft. Se status for KI-loven og AI Act i Norge. Behandlingsprotokollen etter GDPR artikkel 30 gjelder derimot allerede, og et KI-register er en naturlig utvidelse av den. Hele regelverket er forklart i guiden til KI-forordningen.

Særlig for kommuner og offentlige virksomheter

I offentlig sektor er skygge-KI ekstra krevende. Saksbehandlere jobber med opplysninger underlagt taushetsplikt etter forvaltningsloven og særlover, og innbyggerne kan ikke velge bort tjenesten. Et svarbrev skrevet med en gratis chatbot kan inneholde feil som ender i et enkeltvedtak, og ingen kan i ettertid se hva som ble limt inn. Samtidig er behovet stort: mange kommuner har lange saksbehandlingskøer og få ansatte.

Løsningen er den samme som i privat sektor, men med strengere krav til dokumentasjon. Godkjente verktøy bør ha databehandleravtale, lagring i EØS og logging, og det bør være klart hvilke sakstyper KI kan brukes i. Når KI-forordningen blir norsk rett, vil vurdering av rett til offentlige ytelser være høyrisiko, og offentlige idriftsettere må i tillegg gjøre en vurdering av konsekvenser for grunnleggende rettigheter. Et oppdatert KI-register gjør den jobben mye lettere.

Slik finner dere skygge-KI

1. Spør de ansatte – og gi amnesti. En kort, anonym undersøkelse om hvilke KI-verktøy folk bruker og til hva, gir mer enn mange tekniske verktøy. Gjør det klart at målet er å finne gode løsninger, ikke å straffe.
2. Sjekk innkjøp og utlegg. Abonnementer på KI-tjenester betalt med firmakort eller utlegg er et tydelig signal.
3. Se på nettverk og identitet. Logger fra brannmur, proxy eller sikkerhetstjenester viser trafikk mot kjente KI-tjenester. Påloggingslogger viser hvilke tredjepartsapper ansatte har gitt tilgang til jobbkontoen.
4. Gå gjennom nettlesertillegg og programtillegg på administrerte maskiner.
5. Spør leverandørene. Be de viktigste programvareleverandørene om å bekrefte hvilke KI-funksjoner som finnes i løsningene dere bruker, og om de er slått på.
6. Intervju avdelingene som har mest å vinne på KI: kundeservice, HR, markedsføring, økonomi og utvikling.

Teknisk sporing er nyttig, men løser ikke problemet alene. Får de ansatte et godkjent alternativ som er like enkelt, forsvinner mye av skygge-KI-en av seg selv. Opsio kan hjelpe med tekniske sikkerhetskontroller rundt KI gjennom KI-sikkerhet og etterlevelse.

Hva skal stå i et KI-register?

Hold registeret enkelt nok til at det blir oppdatert. Feltene under er et godt utgangspunkt:

Risikonivået setter dere med hjelp av risikoklassifiseringen i KI-forordningen. Høyrisikosystemer bør ha egne felt for menneskelig tilsyn, logging og informasjon til ansatte.

Fra skygge-KI til godkjent KI: en enkel triage

Når kartleggingen er gjort, har dere en liste med verktøy i ulike kategorier. Del dem inn i tre:

Sørg for at triagen fører til endrede retningslinjer. Reglene for hvilke verktøy som er godkjent og hvilken informasjon som aldri skal legges inn, står i artikkelen om hva KI-retningslinjene bør inneholde.

Slik holder dere registeret oppdatert

• Koble det til innkjøp. Ingen nye verktøy eller funksjoner med KI kjøpes uten at de legges inn.
• Koble det til endringshåndtering. Når en leverandør slår på en ny KI-funksjon, skal det vurderes.
• Koble det til behandlingsprotokollen. Personvernombudet bør se de samme systemene.
• Gjennomgå kvartalsvis de første årene, deretter halvårlig.
• Bruk verktøy dere har. Et regneark eller en liste i SharePoint holder lenge. Et eget system kan komme senere.

Registeret er også grunnlaget for opplæringen: den viser hvem som bruker hva, og derfor hvem som trenger hvilket kurs. Se opplæringsplan for KI-kompetanse. Vil dere ha et raskt overblikk over hvordan registeret passer inn i resten av KI-styringen, viser Opsios gratis vurdering av KI-styring modenheten på ti områder, inkludert oversikt over KI-bruken.

Ofte stilte spørsmål

Hva er et KI-register?

Et KI-register er en oversikt over alle KI-systemer virksomheten utvikler, kjøper eller bruker, med eier, formål, brukere, data, rolle etter KI-forordningen, risikonivå og status. Det er grunnlaget for risikovurdering, opplæring, leverandørkontroll og dokumentasjon overfor tilsynsmyndigheter.

Er det lovpålagt å ha et KI-register?

Ikke som eget dokument for vanlige brukerorganisasjoner. Men pliktene i KI-forordningen forutsetter at dere vet hvilke systemer dere har, og leverandører av høyrisikosystemer må registrere dem i EUs database. Behandlingsprotokollen etter GDPR er lovpålagt allerede, og KI-registeret kan bygges som en utvidelse av den.

Hvordan stopper vi shadow AI?

Ikke bare ved å sperre. Kartlegg bruken med amnesti, godkjenn gode verktøy med jobbkonto og databehandleravtale, gi tydelige regler for hvilken informasjon som kan brukes, og sperr det som ikke kan gjøres trygt. Opplæring og et enkelt løp for å be om nye verktøy er det som varig reduserer skygge-KI.

Hvem bør eie KI-registeret?

En navngitt rolle med ansvar for KI-styring, ofte sikkerhetssjef, IT-sjef eller en egen KI-ansvarlig, i tett samarbeid med personvernombudet. Hvert system i registeret bør i tillegg ha en eier i fagavdelingen som bruker det.

Gjør skygge-KI om til styrt KI

Registeret er første steg. Neste steg er regler, leverandørkontroll og risikovurdering. Med gratis maler for KI-retningslinjer og KI-styring fra Opsio svarer dere på spørsmål i fjorten steg, rundt 40 minutter, og får skrevet fire dokumenter ut fra svarene: retningslinjer for bruk av KI, et rammeverk for KI-styring, en sjekkliste for KI-leverandører og en mal for risikovurdering, pluss et modenhetsbilde over ti områder. Spørsmålene er på norsk, dokumentene leveres på engelsk som redigerbare Word-filer. Gratis og uforpliktende.

Denne artikkelen er generell informasjon og ikke juridisk rådgivning. Kontroller den konsoliderte teksten til forordning (EU) 2024/1689 slik den er endret ved forordning (EU) 2026/1744, og følg med på regjeringen.no for status for KI-loven og EØS-innlemmelsen. Opplysningene gjelder per oktober 2026.