Den interessante AI-brug i jeres virksomhed foregår ikke i de værktøjer I har godkendt.
Den foregår på medarbejdernes private ChatGPT-konti. På en privat Claude. På en gratis version af Perplexity åbnet i en inkognito-fane. På en kollegas Midjourney som han deler login til, fordi det er nemmere end at gå gennem indkøb.
Det kalder man Shadow AI. Og det er det største governance-problem som ingen ledelse rigtig har taget fat i endnu.
Hvorfor det opstår
Shadow AI er sjældent et udtryk for ondsindethed. Det er et udtryk for at det officielle alternativ er for langsomt, for begrænset eller ikke-eksisterende.
En sælger har en kunde i røret om fem minutter og skal have et udkast til en mail. Det interne værktøj kræver login via SSO, har en filtreringsmotor der blokerer halvdelen af forespørgslerne, og giver et svar der lyder som en pressemeddelelse fra 1998. Den private ChatGPT giver svaret på syv sekunder.
Hvad tror du sælgeren bruger?
En udvikler skal forstå en pakke hun aldrig har set før. Den interne Copilot-installation har ikke adgang til hendes repo. Cursor har det. Hun bruger Cursor.
En marketing-medarbejder skal lave en illustration til et opslag. Det godkendte billedværktøj koster 80.000 kr. om året, og budgettet er ikke til det. Hun har Midjourney for 200 kr. om måneden, betalt selv.
Det er ikke regelbrud. Det er medarbejdere der gør deres arbejde.
Hvad der reelt forsvinder ud
Når Shadow AI breder sig, lækker tre ting ud af virksomheden:
Data. Det åbenlyse. Kundeoplysninger, kontrakter, intern korrespondance — indsat i en prompt på en privat konto, hvor man ikke ved om det bruges til træning, hvem der har adgang til det, eller hvor det opbevares.
Beslutninger. Det mindre åbenlyse. Hvis en medarbejder lader en privat AI hjælpe med at analysere en leverandøraftale, og den AI hallucinerer en fortolkning af kontrakten, så er det ikke længere medarbejderen der træffer beslutningen — det er en model ingen i virksomheden har valgt eller ved hvordan virker.
Kompetencen. Det mindst åbenlyse. De medarbejdere der bliver gode til at bruge AI, gør det ofte med deres private værktøjer. Den læring tager de med sig når de skifter job. Virksomheden betaler for det officielle værktøj, men kompetencen sidder hos den enkelte.
Hvad man typisk gør forkert
De fleste virksomheders første reaktion på Shadow AI er at forbyde det. Skrive en politik. Sende en mail rundt. Måske blokere domænerne på firmanetværket.
Det virker næsten aldrig. Det skubber bare brugen længere ned i undergrunden — fra arbejdscomputeren til mobilen, fra firma-WiFi til 5G, fra åbent til skjult.
Det er en forbudssamfundsstrategi. Den underliggende logik — at medarbejderne har et reelt behov der ikke bliver dækket — er fortsat intakt.
Hvad man bør gøre i stedet
Tre ting, i rækkefølge:
Først: forstå hvad der bruges, og hvorfor. Spørg medarbejderne direkte. Gør det uden at true. Mange vil fortælle frit hvad de bruger og hvorfor, hvis de mærker at det er for at fikse problemet, ikke for at fange dem.
Dernæst: gør det officielle alternativ godt nok. Hvis det godkendte værktøj er langsommere, mere begrænset eller dårligere end det forbudte, vinder det forbudte. Det betyder ofte at man skal købe en bedre licens eller fjerne nogle af de filtre der lød fornuftige da IT-afdelingen satte dem op, men som i praksis gør værktøjet ubrugeligt.
Endelig: skriv ned hvilke data der ikke må forlade huset. Ikke en fjorten siders politik som ingen læser. En halv side. Konkrete eksempler. "Kundedata fra CRM må ikke indsættes i nogen ekstern AI." "Lønoplysninger må ikke indsættes nogen steder." "Egen og kollegers e-mailadresse er ok."
Når reglerne er korte og konkrete, bliver de fulgt. Når de er lange og generelle, bliver de ignoreret.
Hvad bestyrelsen skal spørge om
Tre spørgsmål er nok til at åbne emnet:
- Ved vi hvilke AI-værktøjer der reelt bruges i virksomheden — også dem vi ikke selv har købt?
- Har vi en kort, læsbar regel for hvilke data der må indsættes i eksterne modeller?
- Er vores officielle AI-værktøjer gode nok til at medarbejderne foretrækker dem fremfor private konti?
Hvis svaret på alle tre er "nej" eller "vi ved det ikke" — så starter arbejdet der.
Den ubehagelige sandhed
Shadow AI er en lakmusprøve på hvor moden virksomhedens AI-strategi er.
En umoden organisation har Shadow AI fordi den ikke har et alternativ.
En halv-moden organisation forbyder Shadow AI uden at give et alternativ.
En moden organisation har et alternativ der er så godt at Shadow AI bliver overflødig — og en kort, klar regel for hvad der må og ikke må sendes ud.
De fleste danske SMV'er er på trin et. Det er der arbejdet starter.
Se også Tæller du tokens, eller måler du værdi? — Spørgsmål bestyrelsen skal stille om AI