AI-säkerhet och skugg-AI: en guide för SME

Någon på ekonomi klistrar in en kundlista i ChatGPT för att snabbt få den sorterad. Någon på HR laddar upp ett CV för att få det sammanfattat. Ingen av dem vill något ont. Tvärtom, de försöker jobba snabbare. Men i samma stund lämnade företagets data byggnaden, och ingen vet om det.

Skugg-AI är när medarbetare använder AI-verktyg utan organisationens vetskap eller godkännande, vilket skapar dataskyddsrisker som är svårare att hantera just för att de är osynliga. Det är inte ett tecken på illvilja, utan på att folk vill arbeta effektivare än de verktyg de blivit tilldelade tillåter.

Skugg-AI är AI som används i organisationen utan att någon styr den, och risken ligger inte i tekniken utan i att ingen vet vad som matas in i den.

För ett mindre eller medelstort företag utan egen säkerhetsavdelning är det här en reell fråga, och den växer i takt med att verktygen blir bättre och mer lättillgängliga. Den goda nyheten är att den går att hantera, och att lösningen sällan är ett förbud.

Varför skugg-AI uppstår

Skugg-AI är ett symptom, inte en sjukdom. Det uppstår när det finns ett glapp mellan vad medarbetarna behöver göra och vad de officiella verktygen klarar. Någon har en repetitiv uppgift, ett gratis AI-verktyg löser den på trettio sekunder, och valet är enkelt. Att de inte frågar först beror oftast på att de inte tänker på det som ett säkerhetsbeslut. Det känns som att använda en miniräknare.

Att se det som ett moralproblem leder fel. Det är ett tecken på efterfrågan. Folk vill ha AI i sitt arbete, och om organisationen inte ger dem en trygg väg dit hittar de en otrygg.

Var riskerna faktiskt sitter

Risken med skugg-AI handlar mindre om science fiction och mer om var datan tar vägen, och den är inte hypotetisk. Enligt IBM:s rapport Cost of a Data Breach 2025 var skugg-AI inblandat i ungefär vart femte rapporterat dataintrång. Fyra saker är värda att förstå.

Datan lämnar er kontroll. När en uppgift klistras in i ett publikt verktyg vet ni inte längre var den lagras, hur länge, eller om den används för att träna modellen. För personuppgifter är det här en GDPR-fråga på en gång, och i Sverige är det IMY, Integritetsskyddsmyndigheten, som är tillsynsmyndighet för dataskydd.

Spårbarheten försvinner. Eftersom användningen är osynlig finns ingen logg, ingen överblick, inget sätt att i efterhand veta vad som delats. Om något går fel kan ni inte ens utreda det.

Kvaliteten är ojämn. Olika medarbetare använder olika verktyg på olika sätt, utan gemensamma regler. Svaren de får tillbaka kan vara fel utan att någon märker det, och fel som smyger in i underlag är svåra att hitta i efterhand.

Känsligt material sprids lättast. Det är ofta just det svåra och känsliga, ett avtal, en lönelista, en kundtvist, som någon vill ha hjälp att reda ut. Alltså hamnar det känsligaste materialet i de minst kontrollerade verktygen.

Förbud fungerar sällan

Den första reflexen är att förbjuda. Den är begriplig och nästan alltid verkningslös. Ett förbud tar inte bort behovet, det gör bara användningen osynligare. Folk slutar fråga och fortsätter göra, fast nu utan att någonsin våga ta upp det.

Det här liknar hur säkerhet brukar fungera i stort: den lösning som är krånglig att följa blir kringgådd. Vill ni styra skugg-AI behöver det sanktionerade alternativet vara minst lika smidigt som det osäkra. Annars vinner det osäkra varje gång.

Så får ni kontroll

Vägen framåt är att ersätta det osynliga med något synligt och tryggt, i den ordningen.

Börja med att kartlägga var AI redan används, och gör det utan att leta syndabockar. Fråga öppet, så får ni ärliga svar. Det ni hittar är er bästa kravspecifikation, gratis: det visar exakt vilka behov som söker en lösning.

Sätt sedan en enkel policy. Inte ett tjugosidigt dokument, utan några tydliga rader: vilken typ av information som aldrig får matas in i publika verktyg, vilka verktyg som är godkända, och vart man vänder sig vid tveksamhet. Kort nog att läsas, konkret nog att följas.

Ge därefter ett riktigt alternativ. En sanktionerad AI-lösning som lever i era system, med datan inom EU och med spårbarhet, tar udden av frestelsen att smyga. När det trygga verktyget är lika snabbt som det otrygga försvinner skälet att gå runt det. Det är så vi tänker kring AI-utveckling: compliance och kontroll byggs in från start, inte som ett lager ovanpå.

Och bygg AI-kunnighet. Många delar känslig data i AI-verktyg helt enkelt för att de inte vet att det är ett problem. En kort utbildning i vad verktygen gör med det man matar in, och vilka uppgifter som inte hör hemma där, gör mer för säkerheten än de flesta tekniska spärrar.

Det hänger ihop med det bredare regelläget. Mer om vad lagen kräver finns i vår genomgång av EU AI Act och GDPR, men för skugg-AI är kärnan enkel: ge folk en trygg väg, så slutar de gå den otrygga.

Vill ni ta kontroll över er AI-användning?

Vi hjälper organisationer att kartlägga sin AI-användning och bygga trygga, sanktionerade lösningar med data inom EU och spårbarhet inbyggd. Vill ni veta var ni står? Boka ett samtal, så går vi igenom det tillsammans.