--- title: "Shadow AI er en risiko for brud på persondatasikkerheden under GDPR" canonical: "https://nordvec.com/da/blog/shadow-ai-is-a-breach-risk" lang: "da" claims: "https://nordvec.com/api/trust/claims" --- # Shadow AI er en risiko for brud på persondatasikkerheden under GDPR Source: https://nordvec.com/da/blog/shadow-ai-is-a-breach-risk This file is rendered from the same message catalogue as the page, at request time; the HTML page is the canonical document. Statements about the processing chain are bound to the claim record at https://nordvec.com/api/trust/claims, which says which of them the register currently supports. Rasmus Kjær Damgaard, Stifter · Udgivet 3. august 2026 · Opdateret 27. september 2026 Digital source type (IPTC): https://cv.iptc.org/newscodes/digitalsourcetype/trainedAlgorithmicMedia Denne oversættelse er lavet maskinelt ud fra den engelske original. Oversættelse: AI‑behandling i Frankrig. Der er ikke registreret nogen gennemgang af hverken denne oversættelse eller den engelske original, som er den gældende version. [Læs den engelske original](https://nordvec.com/blog/shadow-ai-is-a-breach-risk) EU's databeskyttelsesmyndighed behandler ukontrolleret brug af AI som en risiko for brud. Ugodkendte værktøjer er uprøvede databehandlere, og et register over godkendte værktøjer er løsningen. **TL;DR:** Den Europæiske Tilsynsførende for Databeskyttelses essay fra 2026, *»Håndtering af skjult risiko for brud på persondatasikkerheden i Shadow AI«*, behandler ukontrolleret brug af AI som en potentiel kilde til brud. Mekanismen er enkel: Et ikke-godkendt AI-værktøj er en uprøvet databehandler uden kontrakt, logfiler eller datakort, hvilket gør en Art. 33-anmeldelse umulig at besvare, når noget lækker. Løsningen er et vedligeholdt register over godkendte værktøjer med datagrænser pr. værktøj, en beskyttende rapporteringsvej og et godkendt alternativ. Generér registeret og reglerne med vores gratis [AI-politikgenerator](/tools/ai-policy-generator). ## Mekanismen, forklaret enkelt [#mekanismen-forklaret-enkelt] Når en medarbejder kopierer kundeoplysninger ind i en privat AI-konto, bliver tre GDPR-fakta øjeblikkeligt sande: 1. **Behandling har fundet sted** med jer som dataansvarlig, uanset om nogen har godkendt det. 2. **Der findes ingen databehandleraftale** (Art. 28), så der er ingen kontraktuel basis for, hvad værktøjets udbyder gør med dataene, herunder om de bruges til træning. 3. **I kan ikke afgrænse et brud.** Hvis værktøjet lækker, træner forkert eller bliver kompromitteret, påhviler 72-timers anmeldelsespligten (Art. 33) en hændelse uden logfiler, uden oversigt og uden datakort. I kan ikke anmelde præcist om datastrømme, I aldrig vidste eksisterede. Ingen af disse punkter kræver, at AI’en fejler. Risikoen for brud er strukturel: Data forlod det kontrollerede miljø i samme øjeblik, de blev indsat. ## Hvorfor forbud fejler, og registre virker [#hvorfor-forbud-fejler-og-registre-virker] At blokere forbruger-AI-værktøjer på netværksniveau flytter brugen til telefoner og hjemmecomputere, hvor synligheden falder fra delvis til nul. Styring holder brugen inden for synsfeltet: | Kontrol | Hvad den gør | |---|---| | Register over godkendte værktøjer | Angiver de værktøjer, der må bruges, hver med en godkendelsesstatus og den højeste datakategori, det må modtage | | Dataklassificering | Et trafiklys-system, alle kan anvende på sekunder, plus en liste over forbudte input | | Beskyttende rapporteringspligt | Den, der opdager et ikke-godkendt værktøj, rapporterer det, svaret er migration til et godkendt alternativ, ikke sanktioner | | Et sanktioneret alternativ | Den afgørende kontrol: Skyggebrug falder, når den godkendte løsning er bedre | Registeret gør det tunge arbejde, fordi det omdanner et ubegrænset problem (»medarbejdere kan bruge hvad som helst«) til et afgrænset (»disse værktøjer, disse grænser, denne proces for at tilføje flere«). ## Hvor vi står i dette [#hvor-vi-står-i-dette] Nordvec eksisterer på grund af dette problem: En EU-hostet tjeneste, hvor jeres dokumenter besvarer spørgsmål med kildehenvisninger og bliver til rapporter, I kan eksportere, med revisionsspor og en databehandleraftale, i stedet for forbruger-værktøjer, ingen kan revidere. Det er vores interesse i emnet, åbent formuleret. Værktøjerne nedenfor er gratis og nyttige, uanset om I nogensinde bliver kunder: - [AI-politikgenerator](/tools/ai-policy-generator): registeret, dataniveauerne, rapporteringspligten og resten af politikken, samlet ud fra strukturerede svar med den juridiske kildehenvisning bag hvert afsnit. - [Artikel 50-tjek](/tools/article-50-checker): hvilke gennemsigtighedskrav jeres brug af AI udløser, med en dokumentation som bevis. ## Kilder [#kilder] - [EDPS: *»Håndtering af skjult risiko for brud på persondatasikkerheden i Shadow AI«* (W. Wiewiórowski, 15. juni 2026)](https://www.edps.europa.eu/press-publications/press-news/blog/managing-shadow-ais-hidden-data-breach-risk_en) - [Forordning (EU) 2016/679, Art. 28 (databehandlere)](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679#art_28) - [Forordning (EU) 2016/679, Art. 33 (anmeldelse af brud)](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679#art_33) - [Vores guide til Artikel 50’s gennemsigtighedsforpligtelser](/blog/eu-ai-act-article-50) ## Ofte stillede spørgsmål ### Hvad er shadow AI? Medarbejdere, der bruger AI-værktøjer til arbejde uden IT's viden eller godkendelse: private ChatGPT-konti, browserudvidelser, gratis assistenter. Jeres organisation har ingen databehandleraftale, ingen synlighed over dataflow, og ingen måde at besvare en tilsynsmyndigheds spørgsmål om, hvor dataene er havnet. ### Hvorfor er shadow AI et GDPR-problem og ikke bare et IT-politikproblem? Fordi indsættelse af personoplysninger i et AI-værktøj er behandling. Uden en databehandleraftale (Art. 28) er overførslen ukontrolleret, og hvis værktøjet træner på input eller lækker dem, står jeres virksomhed over for et brud på persondatasikkerheden, som I ikke engang kan afgrænse, med den 72-timers underretningsfrist (Art. 33) i gang på en hændelse, som I ikke har logfiler for. ### Skal vi bare blokere AI-værktøjer ved firewallen? Forbud presser brugen over på private enheder, hvor jeres virksomhed ikke ser noget af det. Styr brugen i stedet: et register over godkendte værktøjer med databegrænsninger pr. værktøj, en beskyttende indberetningspligt og et godkendt værktøj, der er godt nok til at foretrække. ### Hvordan finder vi den shadow AI, der allerede er i brug? Spørg afdeling for afdeling, beskyttende: hvilke værktøjer, til hvilke opgaver, med hvilke data. Amnesti først, register derefter. Formålet med øvelsen er et præcist register og flyttet brug, ikke straf. [Alle artikler](/da/blog)