Shadow AI er brug af AI-værktøjer, som ligger uden for organisationens godkendte systemer og processer. Det kan være en medarbejder, der indsætter mødenoter i en privat chatbot, installerer en AI-udvidelse i browseren eller forbinder en assistent til en arbejdskonto uden en sikkerhedsvurdering.
Formålet med en kortlægning er at forstå brugen, beslutte, hvad der er forsvarligt, og give medarbejderne en brugbar vej til godkendte værktøjer. Det bør ikke blive en jagt på nogen at placere skylden hos. Det britiske National Cyber Security Centre beskriver shadow AI som en form for shadow IT og anbefaler, at organisationer reducerer risikoen gennem en positiv sikkerhedskultur og sikre AI-alternativer.
Planen her er lavet til en virksomhed med cirka 50 til 500 medarbejdere. En mindre virksomhed kan gennemføre den i hele organisationen. En større virksomhed kan begynde i en afdeling, der håndterer følsomme data eller allerede bruger AI meget.
Aftal, hvad kortlægningen skal besvare
Inden første dag skal I udpege en ansvarlig fra IT, sikkerhed eller drift og en sponsor fra forretningen, som kan fjerne forhindringer. Skriv de spørgsmål ned, som kortlægningen skal besvare:
- Hvilke AI-værktøjer og funktioner bruger medarbejderne på arbejdet?
- Hvilken opgave hjælper de enkelte værktøjer med?
- Hvilke virksomhedsdata, kundeoplysninger eller personoplysninger indgår?
- Har værktøjet adgang til mail, filer, kalendere, kode eller andre systemer?
- Hvilken brug kan godkendes, hvad kræver flere kontroller, og hvad skal stoppe?
- Hvilket godkendt alternativ skal medarbejderne bruge i stedet?
Medtag selvstændige chatbots, mødeassistenter, browserudvidelser, skrive- og oversættelsesværktøjer, kodeassistenter og AI-funktioner i eksisterende software. Kortlægningen handler om brugen, ikke kun om produktnavnet. Ét produkt kan rumme flere AI-funktioner med forskellig adgang og forskellige datastrømme.
Fortæl medarbejderne, hvad I undersøger, hvorfor det er relevant, og hvordan resultaterne bliver brugt. Hvis de forventer en straf, er de mindre tilbøjelige til at fortælle om de genveje, som kortlægningen netop skal afdække.
Dag 1–3: Find den faktiske AI-brug
Begynd med et kort spørgeskema og samtaler med udvalgte medarbejdere. Spørg, hvilken opgave de forsøgte at løse, før I spørger, hvilket værktøj de valgte. Det viser forretningsbehovet bag genvejen.
Registrer følgende for hver anvendelse:
- værktøjets og funktionens navn
- team og arbejdsopgave
- kontotype, eksempelvis virksomheds- eller privat konto
- datatyper, der bliver indsat, uploadet eller genereret
- forbindelser til virksomhedens systemer
- hyppighed og betydning for arbejdet
- en person, der kan forklare eller eje brugen
Suppler spørgeskemaet med oplysninger, som organisationen allerede har en legitim grund til at gennemgå, eksempelvis oversigter over godkendte apps, indkøbsdata samt administrationslogge fra identitets- og cloudsystemer. Aftal omfanget med den relevante person med ansvar for jura eller privatliv. Undgå unødigt indgribende overvågning, og antag ikke, at et registreret domæne beviser, at en medarbejder har delt følsomme data.
Ved udgangen af tredje dag skal I have et brugbart første overblik, ikke en perfekt liste. Markér det, I er usikre på, til opfølgning i stedet for at udfylde hullerne med gæt.
Dag 4–6: Vurder brugen, ikke kun værktøjet
Vurder hver anvendelse ud fra konsekvensen, hvis noget går galt. En offentlig idé til en tekst og en assistent med adgang til en fælles indbakke bør ikke føre til den samme beslutning.
Stil fem spørgsmål:
- Hvilke data indgår? Skeln mellem offentlige, interne, fortrolige, personlige og regulerede oplysninger.
- Hvem styrer kontoen? Undersøg ejerskab, fjernelse af adgang, multifaktorgodkendelse, og om virksomheden kan gendanne kontoen.
- Hvad sker der med dataene? Gennemgå opbevaring, indstillinger for modeltræning, deling og sletning i stedet for at antage, at alle AI-tjenester fungerer ens.
- Hvad kan værktøjet tilgå eller gøre? En forbindelse, der kan læse filer, sende beskeder eller udføre handlinger, giver en større eksponering end et isoleret chatvindue.
- Hvem kontrollerer resultatet? Find de steder, hvor et forkert svar, en opdigtet kilde eller usikker kode kan nå en kunde eller forretningsproces.
Brug en enkel beslutning som godkend, godkend med betingelser, undersøg eller stop. Skriv begrundelsen og den ansvarlige ved siden af. Det er et internt beslutningsværktøj, ikke en sikkerhedscertificering af produktet.
Dag 7–10: Erstat usikre genveje med en sikker vej
Et forbud uden et alternativ fjerner ikke det oprindelige forretningsbehov. For hver anvendelse markeret som undersøg eller stop skal I beslutte, hvordan medarbejderen ellers kan løse opgaven.
Det kan være at:
- slå en godkendt funktion til med sikrere indstillinger
- stille en virksomhedsstyret konto til rådighed
- fjerne en forbindelse med unødvendig adgang
- definere, hvilke data der må og ikke må indgå
- kræve menneskelig kontrol, før et resultat offentliggøres eller bruges
- vælge et andet værktøj til opgaven
Udgiv en kort vejledning til godkendt brug. Angiv de tilladte værktøjer og opgaver, hvilke data der ikke må bruges, hvem der kan godkende en undtagelse, og hvor medarbejderne kan spørge om en ny tjeneste. Eksempler er nemmere at bruge end en politik, der kun siger, at AI skal anvendes ansvarligt.
Brug resultaterne i jeres awareness-træning. Hvis flere teams har uploadet mødereferater, bør træningen handle om netop den beslutning. Generelle advarsler om AI vil være mindre nyttige.
Dag 11–14: Følg beslutningerne til dørs
Gør oversigten til konkrete opgaver. Hvert åbent punkt skal have en ansvarlig, en næste handling og en dato. Forbindelser med stor adgang og brug af følsomme data bør komme før mindre bekvemmelighedsværktøjer.
Brug de sidste fire dage til at:
- fjerne eller begrænse klart uacceptabel adgang
- flytte aftalt brug til administrerede konti
- dokumentere godkendt brug og undtagelser
- orientere ledere og medarbejdere om den nye proces
- fordele teknisk, kontraktmæssig eller databeskyttelsesrelateret opfølgning
- fastsætte datoen for næste gennemgang
Skriv ikke “shadow AI er fjernet” som resultat. Nye værktøjer og funktioner dukker løbende op. Beskriv, hvad I fandt, hvilke beslutninger I tog, hvilke risici der stadig findes, og hvordan medarbejderne fremover kan få vurderet en AI-anvendelse.
Gem fire konkrete resultater
Efter kortlægningen bør I beholde fire arbejdsdokumenter:
- En oversigt over AI-brug med ansvarlige, datatyper og forbindelser.
- Et beslutningsregister med godkendt, betinget, undersøgt eller stoppet brug og den tilhørende begrundelse.
- En medarbejdervejledning til godkendte værktøjer, forbudte data og ansøgningsprocessen.
- En handlingsliste med ansvarlige og frister for det resterende arbejde.
Gennemgå materialet, når en større AI-funktion bliver indført, efter en hændelse eller efter en fast rytme, der passer til tempoet i virksomhedens AI-brug. Den første kortlægning behøver ikke løse alle spørgsmål om AI-governance. Den skal gøre ukendt brug synlig, føre til tydelige beslutninger og give medarbejderne en mere sikker måde at udføre det arbejde, der fik dem til at vælge AI.
