Skygge-AI: når medarbejderne bruger AI uden aftale

I artiklen 10 afsnit

1. Hvad er skygge-AI?
2. Hvorfor bruger medarbejderne AI uden aftale?
3. Hvad er risikoen ved skygge-AI?
4. Hvad sker der, hvis I ikke gør noget?
5. Hvorfor virker et forbud mod AI sjældent?
6. Sådan håndterer I skygge-AI i fire skridt
7. Tegn på skygge-AI, og hvad I gør ved dem
8. Kan I gøre det selv?
9. Hvad kan I gøre nu?
10. Ofte stillede spørgsmål

Denne artikel handler om, hvad skygge-AI er, og hvad risikoen er. Regler og tjekliste for ét værktøj står i ChatGPT og GDPR: hvad I skal tjekke, rettigheder og data før en Microsoft-udrulning i Copilot til virksomheder, og selve samtalen med en kollega i sådan siger I det til en kollega.

Hvad er skygge-AI?

Skygge-AI er brug af AI-værktøjer i arbejdet, som virksomheden ikke har besluttet, ikke kender til eller ikke har en aftale om. Begrebet kommer fra "skygge-it", som dækker over al it, medarbejderne selv tager i brug uden om it-afdelingen. Med AI er det blevet meget lettere, fordi et stærkt værktøj kun er en browserfane væk.

Skygge-AI dækker typisk over fire ting:

• Gratis chatassistenter på private konti, fx når medarbejdere bruger ChatGPT til mails, tilbud og referater.
• Browserudvidelser og apps, der skriver, oversætter eller opsummerer det, man arbejder med.
• AI-notetagere, der optager og opsummerer møder.
• AI-funktioner i systemer, I allerede har, som nogen har slået til uden en beslutning.

Det afgørende er ikke, hvilket værktøj det er. Det afgørende er, at brugen sker uden aftale, så ingen har taget stilling til data, kvalitet og ansvar.

Hvorfor bruger medarbejderne AI uden aftale?

Medarbejderne bruger AI uden aftale, fordi de gerne vil løse opgaverne hurtigere og bedre, og fordi værktøjerne er gratis og lette at gå i gang med. Det er sjældent et oprør. Det er typisk en medarbejder, der har fundet et værktøj, der hjælper, og som ikke har fået at vide, hvad der gælder.

Tallene peger samme vej. I en global undersøgelse fra 2024 blandt 31.000 videnarbejdere i 31 lande tog 78 % af dem, der bruger AI i arbejdet, deres egne AI-værktøjer med. I små og mellemstore virksomheder var tallet 80 % (Microsoft Work Trend Index, 2024). Samme undersøgelse viste, at 52 % af AI-brugerne var tilbageholdende med at indrømme, at de brugte AI til deres vigtigste opgaver.

Der findes også nyere danske tal fra september 2026. Blandt medarbejdere på arbejdspladser, hvor ledelsen endnu ikke har taget stilling til generativ AI, eller hvor beslutningen ikke er nået ud til medarbejderne, bruger 32 % alligevel teknologien i arbejdet. Næsten alle af dem (87 %) bruger ChatGPT, og af dem bruger 90 % gratisudgaven (Tænketanken Mandag Morgen, 2026). Hver fjerde medarbejder i den gruppe oplever det som en barriere, at de ikke har adgang til relevante AI-værktøjer.

Problemet er altså ikke nødvendigvis, at medarbejderne bruger AI. Problemet er, at virksomheden ikke ved hvordan. Hvor ledelsen ikke har taget stilling, tager medarbejderne selv stilling, og de vælger det, der er gratis.

Hvad er risikoen ved skygge-AI?

Risikoen ved skygge-AI ligger i tre ting: data, kvalitet og at ingen ejer brugen. Hver af de tre risici kan håndteres. Problemet er, at ingen kan håndtere dem, så længe brugen er usynlig.

Data

Data er den største risiko, fordi det, en medarbejder skriver ind, forlader virksomheden. Hos nogle gratis tjenester kan indholdet bruges til at forbedre leverandørens modeller, afhængigt af indstillinger og vilkår. OpenAI skriver fx, at indhold fra ChatGPT til privatpersoner kan bruges til at træne modellerne, medmindre brugeren fravælger det (OpenAI, set oktober 2026). Der er heller ingen databehandleraftale mellem jer og leverandøren, når en medarbejder bruger en privat konto. Digitaliseringsstyrelsen skriver i sin guide til virksomheder, at gratis AI-værktøjer fra offentlige hjemmesider ofte ikke giver tilstrækkelig beskyttelse af fortrolige oplysninger (Digitaliseringsstyrelsen).

Når der er persondata med, bliver det også et spørgsmål om databeskyttelse. Datatilsynet har oplyst, at det har set en stigning i brud på persondatasikkerheden, hvor ansatte har brugt persondata fra arbejdet i AI-værktøjer, uden at arbejdspladsen vidste det eller havde givet lov (Datatilsynet, 2024). Læs mere i artiklen om ChatGPT og GDPR.

Kvalitet

AI-værktøjer kan skrive overbevisende tekst, der er forkert. Når brugen er skjult, ved modtageren ikke, at teksten skal læses med kritiske øjne, og ingen har aftalt, hvem der kontrollerer den. Det gælder især tal, juridiske formuleringer og svar til kunder.

Ingen ejer

En anvendelse uden ejer bliver ikke fulgt op. Ingen vurderer, om værktøjet stadig er det rigtige, om vilkårene har ændret sig, eller hvad der sker med data, når medarbejderen stopper. Endelig er det svært at leve op til AI-forordningens krav om at støtte AI-færdigheder hos dem, der bruger AI-systemer i arbejdet (artikel 4, som ændret i 2026), når I ikke ved, hvem der bruger hvad. Se mere i artiklen om AI-færdigheder efter artikel 4.

Hvad sker der, hvis I ikke gør noget?

Skygge-AI forsvinder ikke af sig selv. Gør I ingenting, bliver brugen typisk større og mere spredt, og konsekvenserne viser sig i hverdagen:

• Arbejdet ligger på private konti. Skabeloner, prompts og tekster, der er bygget op over måneder, følger med medarbejderen, når vedkommende stopper.
• Kvaliteten afhænger af personen. Nogle tjekker AI-svarene grundigt, andre gør ikke, og kunderne mærker forskellen.
• I kan ikke svare kunderne. Spørger en kunde, om deres data bliver brugt i AI-værktøjer, kender I ikke svaret.
• De forsigtige halter efter. Medarbejdere, der venter på et ja, arbejder langsommere end dem, der ikke spørger, og usikkerheden om, hvad der gælder, bliver ved.

Ingen af konsekvenserne kræver, at nogen har gjort noget forkert med vilje. De opstår, fordi ingen har taget stilling.

Hvorfor virker et forbud mod AI sjældent?

Et forbud mod AI virker sjældent alene, fordi behovet ikke forsvinder, når værktøjet bliver forbudt. Medarbejderne har stadig for mange mails, lange dokumenter og korte deadlines. Blokerer I værktøjet på arbejdscomputeren, kan det samme værktøj stadig bruges på en privat telefon, og så er brugen endnu sværere at se.

Et forbud sender også et signal om, at man bliver straffet for at fortælle, hvad man gør. Så får I det modsatte af det, I har brug for: et ærligt billede af brugen. Når over halvdelen af AI-brugerne i Microsofts undersøgelse allerede er tilbageholdende med at indrømme, at de bruger AI til deres vigtigste opgaver, gør et forbud ikke folk mere åbne.

Det betyder ikke, at I aldrig må sige nej. Datatilsynet nævner selv, at I kan overveje tekniske tiltag som at blokere offentligt tilgængelige AI-værktøjer i firewallen, som støtte til jeres retningslinjer. Men et nej virker bedst, når det følges af et ja til noget andet: "Ikke det gratis værktøj med kundedata. Brug det her i stedet."

Sådan håndterer I skygge-AI i fire skridt

Den bedre vej er at gøre den skjulte brug synlig og give den en ordentlig ramme. Min model har fire skridt i fast rækkefølge: anerkend, kortlæg, giv et alternativ, og skriv regler. Rækkefølgen betyder noget. Regler før et overblik rammer forbi, og et overblik uden tillid giver et forkert billede.

Anerkend brugen

Start med at sige højt, at I godt ved, at AI bliver brugt, og at det er forståeligt. Gør det klart, at formålet er at finde ud af, hvad der virker, og at få det gjort ordentligt, ikke at finde syndere. Det er forudsætningen for, at folk fortæller sandheden i næste skridt. Hvordan I tager samtalen med en kollega, står i artiklen om hvordan man siger det til en kollega.

Lav et overblik

Spørg hvert team kort: Hvilke AI-værktøjer bruger I, til hvad, og med hvilke data? Supplér med et kig på softwareabonnementer, udlæg og de AI-funktioner, der er kommet i jeres eksisterende systemer. Artiklen om overblik over AI-brug har en skabelon med seks felter, I kan bruge direkte.

Giv et godkendt alternativ

Giv medarbejderne et værktøj, de må bruge, på en erhvervsaftale, hvor I har styr på vilkårene. Tjek i jeres aftale, om data bruges til træning, hvor de behandles, og om der er en databehandleraftale. Digitaliseringsstyrelsen nævner selv muligheden for en positivliste over de værktøjer, ledelsen har godkendt. Et godkendt alternativ, der er næsten lige så nemt som det gratis, gør mere end mange regler. Et eksempel på et godkendt værktøj er Microsoft Copilot.

Skriv enkle regler

Reglerne skal kunne læses på to minutter. For de fleste er fire regler nok:

1. Brug de godkendte værktøjer til arbejdet, ikke private konti.
2. Skriv ikke persondata eller fortrolige oplysninger ind i værktøjer, der ikke er godkendt til det.
3. Et menneske læser og står inde for alt, der sendes videre.
4. Spørg, hvis du vil prøve et nyt værktøj. Så tager vi stilling hurtigt.

Den sidste regel er vigtig. Hvis det tager tre måneder at få et ja til et nyt værktøj, vender skygge-AI tilbage. Reglerne kan senere blive en del af en egentlig AI-politik.

Når den fjerde regel virker, kommer der løbende nye spørgsmål: Hvor står det, at et værktøj er godkendt? Hvem ejer det? Hvilke data må bruges i det? Hvornår blev det sidst vurderet? Og hvad gør I, når leverandøren ændrer sine vilkår? I starten kan et regneark og en fælles mappe klare det. Bliver der mange værktøjer og spørgsmål, er det det forarbejde, SPOR skal tage, når det åbner: holde styr på de værktøjer, I bruger, ud fra jeres egne oplysninger, tjekke nye værktøjer, før I siger ja, og minde jer om, når en beslutning skal ses igen. At reglerne går direkte til medarbejderne, er planlagt til senere. SPOR er endnu ikke åbnet for kunder og afgør ikke, om brugen er lovlig. I træffer beslutningerne.

Tegn på skygge-AI, og hvad I gør ved dem

Skygge-AI viser sig oftest som små tegn i hverdagen, ikke som et stort brud. Tabellen viser de mest almindelige tegn, hvad risikoen er, og hvad I kan gøre.

Kan I gøre det selv?

Ja, de fleste virksomheder kan selv komme langt med skygge-AI. Et åbent spørgsmål til hvert team, et regneark med overblikket, én godkendt løsning og fire enkle regler kræver ikke eksterne konsulenter. Det kræver, at én person i ledelsen tager ejerskab og følger op. Er I lige gået i gang med AI, så start med AI i små virksomheder.

Det kan give mening at få hjælp udefra, hvis:

• I har mange systemer, og AI-funktionerne dukker op flere steder, end I kan følge med i.
• Der indgår persondata eller fortrolige oplysninger, og I er i tvivl om vilkår og databehandleraftaler.
• I er usikre på, hvilke krav der gælder for jeres konkrete brug.
• Ingen har tid til at samle trådene.
• Standardværktøjerne ikke passer til arbejdet, og I har brug for en løsning, der gør.

I de tilfælde kan en system- og AI-gennemgang være en måde at få det hele samlet på én gang.

Hvad kan I gøre nu?

I kan tage hul på skygge-AI i denne uge med tre små skridt:

1. Sig højt på næste personalemøde, at I ved, at AI bliver brugt, og at I gerne vil høre hvordan.
2. Send hvert team de samme spørgsmål: Hvilke AI-værktøjer bruger I, til hvad, og med hvilke data?
3. Aftal, hvem der svarer, når nogen spørger "må jeg bruge det her?", og hvor hurtigt svaret skal komme.

Vil I vide, hvem der hjælper jer med at afklare, hvad I må, så læs også: Alle fortæller os, hvad AI kan. Hvem hjælper os med, hvad vi må?.

Kort sagt: Skygge-AI er et tegn på, at medarbejderne vil bruge AI, og at virksomheden ikke har taget stilling endnu. Svaret er ikke et forbud, men et overblik, et godkendt alternativ og få, klare regler. Er I i tvivl om, hvor I står i dag, er AI-tjekket nederst på siden et let sted at starte.

Når medarbejderne bruger AI uden aftale, er det ikke kun et IT-spørgsmål. Se hvilke regler der allerede gælder, og hvor data kan ende.

Ofte stillede spørgsmål

Må medarbejdere bruge ChatGPT på arbejdet?

Det bestemmer I som arbejdsgiver. Der er ikke noget generelt forbud, men I skal have styr på, hvilke data der skrives ind, og hvilke vilkår der gælder. En god vej er at give adgang til en version på en erhvervsaftale og aftale enkle regler for brugen.

Hvordan opdager man skygge-AI?

Den bedste kilde er medarbejderne selv, hvis de trygt kan fortælle, hvad de bruger. Supplér med et kig på abonnementer, udlæg, browserudvidelser og de AI-funktioner, der er slået til i jeres systemer. Tekniske værktøjer kan hjælpe, men de erstatter ikke samtalen.

Skal vi blokere ChatGPT og andre AI-værktøjer?

En blokering kan være et fornuftigt supplement, især for værktøjer, der ikke må bruges med jeres data. Alene flytter den ofte bare brugen over på private telefoner. Kombinér en eventuel blokering med et godkendt alternativ og klare regler.

Er skygge-AI et GDPR-problem?

Det bliver det, når der indgår persondata. Så er I dataansvarlige for en behandling, I ikke kender til, typisk hos en leverandør uden databehandleraftale. Datatilsynet anbefaler, at arbejdspladser fastsætter rammer for, om og hvordan medarbejdere må bruge generativ AI.

Artiklen er generel vejledning og ikke juridisk rådgivning. Udgivet 26. september 2026. Opdateret 27. oktober 2026.