Skygge-IT og ikke-godkendte AI-værktøjer på universiteter: sådan finder, prioriterer og godkender I dem

Alle universiteter bruger software, som den centrale IT-afdeling aldrig har gennemgået: gratis AI-assistenter, browserudvidelser, spørgeskemaværktøjer betalt af en bevilling og transskriptionsbots, der deltager i møder. Denne guide forklarer, hvorfor det sker, hvilke risici der er efter GDPR og NIS2, hvordan I finder værktøjerne med de administrationskonsoller, I allerede har, og hvordan I bygger en godkendelsesproces, som forskerne rent faktisk vil bruge.

Udgivet 9. oktober 2026 · Kilder kontrolleret 9. oktober 2026

Findes også på: English · Svenska · Nederlands · Norsk · Suomi · Français · Español · Português

1. Hvad er skygge-IT, og hvad er skygge-AI?

Skygge-IT er software, cloudtjenester eller hardware, der bruges til arbejde for universitetet uden at have været igennem institutionens normale gennemgang hos IT, informationssikkerhed, databeskyttelse og indkøb. Skygge-AI er den del, der omfatter AI-tjenester: chatbots, skriveassistenter, mødebots og værktøjer til transskription, oversættelse og litteratursøgning. Ingen af begreberne indebærer ond vilje. Det meste skygge-IT opstår, fordi nogen skulle have løst en opgave.

En forskergruppe ved University of Maryland, Baltimore County (UMBC), der har undersøgt skygge-IT på videregående uddannelser gennem et casestudie og en spørgeundersøgelse blandt IT-professionelle, beskriver det som software eller hardware i et system eller netværk, der ligger uden for den ansvarlige IT-enheds sædvanlige gennemgangsproces. Samme arbejde nævner mulige faktorer, der gør institutioner sårbare over for relaterede sikkerhedshændelser, herunder graden af decentralisering af IT og institutionens holdning til skygge-IT.

På et europæisk universitet er typiske eksempler:

• en underviser, der bruger en gratis AI-quizgenerator med en holdliste;
• en forskergruppe, der kører interview gennem en transskriptionsapp til forbrugere;
• et institut, der betaler for et onlinespørgeskemaværktøj med et betalingskort;
• en app med »Log ind med Microsoft« eller »Log ind med Google«, som en medarbejder har givet adgang til sin postkasse, kalender eller sine filer;
• en browserudvidelse, der læser hver side, brugeren åbner, for at rette grammatik eller opsummere tekst;
• en AI-mødeassistent, der deltager i onlinemøder og optager dem.

2. Hvorfor skygge-IT er udbredt på universiteter

Universiteter er blandt de mest decentrale organisationer i Europa. Det er en styrke for forskning og undervisning og grunden til, at en central godkendelsesproces altid vil halte efter det, folk bruger.

• Akademisk frihed og lokal selvbestemmelse. Forskere vælger selv deres metoder og værktøjer, og fakulteter og institutter har ofte deres egne IT-medarbejdere og budgetter.
• Køb for bevillingsmidler. Forskningsprojekter køber tjenester for projektmidler, nogle gange med et betalingskort eller via personlige udlæg, som måske aldrig når frem til den centrale indkøbsfunktion eller databeskyttelsesrådgiveren.
• Gratis versioner. Mange værktøjer er gratis for enkeltpersoner. Intet køb betyder intet indkøbstrin, men forpligtelserne efter GDPR følger dataene, ikke fakturaen.
• Browserudvidelser og tilføjelsesprogrammer. De installeres på få sekunder, kræver ofte vide tilladelser til at læse sideindhold og er usynlige for traditionelle softwareoversigter.
• OAuth-samtykke. I Microsoft Entra ID fremgår det af Microsofts dokumentation, at som standard »all users are allowed to consent to applications for permissions that don't require administrator consent« (alle brugere kan give samtykke til applikationer for tilladelser, der ikke kræver administratorsamtykke). En bruger kan derfor koble en tredjepartsapp til sin egen postkasse, uden at nogen anden ser det.
• AI-assistenter. Generativ AI kom hurtigere, end indkøbscyklusserne kunne følge med. Universiteterne svarede med vejledninger og institutionelle tjenester, men forbrugerværktøjerne er stadig kun én browserfane væk.
• Gæsteforskere, studerende og eksterne partnere. De har deres egne værktøjer og konti med, og samarbejde på tværs af institutioner betyder, at data flyder gennem tjenester, som intet enkelt universitet har godkendt.

Validemics analyse Skygge-IT er også et signal. Når mange bruger det samme ikke-godkendte værktøj, betyder det som regel, at institutionen ikke tilbyder et acceptabelt alternativ, eller at godkendelsesprocessen er for langsom eller for svær at finde. Betragt resultaterne af kortlægningen som en liste over udækkede behov såvel som en liste over risici.

3. Risiciene: GDPR, overførsler, AI-træning, sikkerhed, tilgængelighed, licenser, NIS2

Risikoen er ikke, at ikke-godkendte værktøjer altid er dårligere end godkendte. Den er, at ingen har tjekket dem, så ingen kan påvise, at forpligtelserne nedenfor er opfyldt.

Den dataansvarliges forpligtelser efter GDPR (art. 24, 28 og 32)

Når medarbejdere bruger et værktøj til arbejde for universitetet, er universitetet normalt dataansvarligt for den behandling. GDPR artikel 24 kræver, at den dataansvarlige gennemfører passende tekniske og organisatoriske foranstaltninger og kan påvise, at behandlingen er i overensstemmelse med forordningen. Efter artikel 28, stk. 1, må den dataansvarlige kun anvende »databehandlere, der kan stille de fornødne garantier«, og artikel 28, stk. 3, kræver en skriftlig aftale med hver databehandler. Artikel 32 kræver et sikkerhedsniveau, der passer til risikoen. Et gratis værktøj, der er taget i brug ved at klikke ja til en forbrugerlicens, har som regel slet ingen aftale efter artikel 28 med universitetet, og en fortegnelse over behandlingsaktiviteter (art. 30), der ikke nævner værktøjet, er ufuldstændig. Vores side om GDPR gengiver disse artikler i deres helhed.

Den nederlandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens, AP) har draget den praktiske konsekvens for AI-chatbots. I sin advarsel af 6. august 2024 skrev AP: »Often, employees use the chatbots on their own initiative and contrary to the agreements made with the employer.« (Ofte bruger medarbejdere chatbots på eget initiativ og i strid med aftalerne med arbejdsgiveren.) Hvis der i den situation blev indtastet personoplysninger, er der ifølge AP tale om et brud på persondatasikkerheden; hvor brugen af chatbots er organisationens politik, »it is not a data breach, but often not permitted by law« (er det ikke et brud, men ofte ikke tilladt efter loven). Brud kan skulle anmeldes inden for 72 timer (art. 33). Se vores guide til håndtering af brud på universiteter (på engelsk).

Overførsler til tredjelande

Mange gratis værktøjer drives fra lande uden for Det Europæiske Økonomiske Samarbejdsområde. GDPR's kapitel V (fra art. 44) tillader kun overførsler med et overførselsgrundlag som en tilstrækkelighedsafgørelse eller standardkontraktbestemmelser. En enkeltperson, der tilmelder sig en forbrugertjeneste, etablerer ikke et sådant grundlag på universitetets vegne. Vores guide til EU-US Data Privacy Framework og værktøjet til overførselsgrundlag (på engelsk) forklarer mulighederne.

AI-træning på uploadede data

AP advarede om, at »Most companies behind the chatbots store all data entered« (de fleste virksomheder bag chatbots gemmer alle indtastede data), ofte uden at den, der indtaster dem, er klar over det. Københavns Universitet fortalte i maj 2024 medarbejderne, at de fleste generative AI-værktøjer gemmer brugernes input og bruger det til at udvikle de underliggende modeller, og bad medarbejderne kun bruge det værktøj, institutionen har licens til. Oxfords AI-center bemærker, at forbrugerversioner kræver, at brugerne selv holder øje med leverandørens politik og fravælger træning. Planerne har betydning: Uddannelses- og virksomhedsplaner har ofte andre vilkår for træning og opbevaring end gratis planer. Vores faktaark om ChatGPT, Grammarly, Otter.ai, DeepSeek og Microsoft Copilot (på engelsk) gennemgår, hvad hver leverandør offentligt dokumenterer, opdelt efter plan.

Sikkerhed

Ikke-gennemgåede apps med OAuth-adgang til postkasser eller filer er en angrebsvej. Microsofts egen dokumentation om Defender for Cloud Apps bemærker, at OAuth-apps »often behave unnoticed« (ofte opererer ubemærket), mens de har omfattende tilladelser til data i andre apps. Browserudvidelser kan læse og ændre sideindhold, også på sider i universitetets systemer. Egenudviklede værktøjer er også en risiko: UMBC-casestudiet fandt typiske sårbarheder som cross-site scripting og SQL-injektion i et internt udviklet system til bevillingsadministration.

Tilgængelighed

Offentlige universiteter er som regel offentlige organer i den forstand, der gælder for direktiv (EU) 2016/2102 om tilgængeligheden af offentlige organers websteder og mobilapplikationer. Et værktøj, som en underviser kræver, at alle studerende bruger, men som ingen har tjekket for tilgængelighed, kan udelukke studerende med handicap. Se vores side om webtilgængelighedsdirektivet.

Brud på licensvilkår

Forbrugervilkår er skrevet til enkeltpersoner. De kan begrænse brugen til ikke-kommercielle eller personlige formål, give leverandøren vide rettigheder over uploadet indhold eller forbyde upload af materiale, som brugeren ikke ejer. Medarbejdere, der uploader licenseret biblioteksindhold, upublicerede manuskripter eller andres data, kan overtræde licensen eller ophavsmændenes rettigheder. Universiteit Utrechts betingelser for ikke-godkendte AI-værktøjer beder fx medarbejderne om ikke at uploade ophavsretligt beskyttet, fortroligt eller proprietært materiale eller optagede interview.

NIS2-krav til forsyningskæden, hvor universitetet er omfattet

NIS2 (direktiv (EU) 2022/2555) giver medlemsstaterne mulighed for at lade direktivet omfatte uddannelsesinstitutioner, »navnlig hvor de udfører kritiske forskningsaktiviteter« (art. 2, stk. 5, litra b), og forskningsorganisationer kan være omfattet i egen ret. Omfattede enheder skal træffe risikostyringsforanstaltninger, herunder »forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter vedrørende forholdene mellem den enkelte enhed og dens direkte leverandører eller tjenesteudbydere« (art. 21, stk. 2, litra d), samt styring af aktiver. Tjenester, som ingen kender til, kan ikke dækkes af disse foranstaltninger. Om jeres universitet er omfattet, afhænger af den nationale gennemførelse; vores NIS2-guide for universiteter (på engelsk) og siden om NIS2-direktivet beskriver situationen i de enkelte lande.

AI-forordningen: AI-færdigheder

Efter EU's AI-forordning, som ændret ved forordning (EU) 2026/1744, skal idriftsættere træffe foranstaltninger til at støtte AI-færdighederne hos medarbejdere, der bruger AI-systemer (art. 4). En institution, der ikke ved, hvilke AI-systemer medarbejderne bruger, vil have svært ved at opfylde den forpligtelse. Se vores guide til AI-forordningen for universiteter (på engelsk) og siden om AI-forordningen.

4. Hvad myndigheder og sektororganisationer siger

Ingen europæisk databeskyttelsesmyndighed har udstedt regler specifikt for skygge-IT på universiteter, men flere har offentliggjort vejledning om generativ AI, der kan anvendes direkte.

De svenske nationale retningslinjer dækker også områder ud over databeskyttelse, herunder indkøb og arbejdsret, hvilket er en nyttig påmindelse om, at håndteringen af skygge-AI ikke kun er et databeskyttelsesprojekt. For de øvrige nationale myndigheder, se deres sider om AI direkte; vores guide til nordiske AI-tjenester (på engelsk) beskriver de fælles tjenester, som de nationale forsknings- og uddannelsesnetværk tilbyder.

5. Sådan finder I skygge-IT: syv kortlægningsteknikker

Kortlægningen kræver ikke et nyt produkt for at komme i gang. De fleste universiteter har allerede dataene i deres identitetsplatform, økonomisystem og netværkslogs. Kombinér flere kilder, fordi hver enkelt kun ser en del af billedet.

Teknik 1: Gennemgang af OAuth-samtykke til apps i Microsoft Entra ID

I Microsoft Entra ID optræder alle tredjepartsapps, som en bruger eller administrator har givet adgang, som virksomhedsapplikationer med deres tilladelser. Microsofts vejledning i at gennemgå tilladelser givet til virksomhedsapplikationer forklarer, hvordan man ser administrator- og brugersamtykke for hver app. Bemærk én begrænsning: Tilladelser, som brugere har givet, kan ikke tilbagekaldes fra fanen for brugersamtykke i portalen; Microsoft henviser til Microsoft Graph eller PowerShell til det.

1. Eksportér listen over virksomhedsapplikationer med delegerede tilladelser, antallet af brugere, der har givet samtykke, og udgiveren.
2. Markér apps med adgang til mail, filer, kalendere eller kataloget, apps fra ikke-verificerede udgivere og apps med mange brugere.
3. Skift indstillingen for brugersamtykke. Microsoft anbefaler kun at tillade brugersamtykke »only for applications that have been published by a verified publisher« (kun for applikationer, der er udgivet af en verificeret udgiver), og den indbyggede politik begrænser det yderligere til tilladelser, I klassificerer som lav påvirkning (se Configure how users consent to applications).
4. Slå arbejdsgangen for administratorsamtykke til, så brugere, der ikke selv kan give samtykke, kan sende en anmodning. Microsoft beskriver det sådan, at anmodningen sendes pr. e-mail til de administratorer, der er udpeget som korrekturlæsere, og som behandler den, hvorefter brugeren får besked. Det bliver hoveddøren til jeres hurtige spor.

Ændrede indstillinger for samtykke påvirker kun fremtidige samtykker; Microsoft bemærker, at eksisterende tildelinger forbliver uændrede, så både gennemgangen og ændringen af politikken er nødvendige.

Teknik 2: Tredjepartsapps med adgang i Google Workspace

Administratorer af Google Workspace styrer tredjepartsapps under API-kontroller. Googles hjælpeside Control which apps access Google Workspace data beskriver en liste over apps, der har tilgået Google-data, med antal brugere og de tjenester, de har anmodet om, og fire adgangsniveauer for hver app: Trusted, Limited, Specific Google data og Blocked. Administratorer kan også bestemme, hvad der sker med ikke-konfigurerede apps, begrænse højrisikoscopes for tjenester som Gmail og Drive og lade brugere anmode om adgang til en app, som derefter vises til gennemgang. Education-udgaverne har særskilte indstillinger for brugere under 18 år. Google bemærker, at data om apps med adgang kan være 24 til 48 timer om at blive vist.

Teknik 3: Logs fra single sign-on

Login-logs fra Entra ID, Google eller institutionens egen identitetsudbyder viser, hvilke tjenesteudbydere folk logger ind hos, herunder tjenester, der er tilsluttet via identitetsføderation. SSO-logs viser kun værktøjer, der bruger institutionelt login, så de afslører ikke gratis værktøjer, der bruges med private konti, men sammen med OAuth-gennemgangen viser de værktøjer, der bruges med en universitetsmailadresse på leverandørens egen loginside.

Teknik 4: Udgiftsbilag og betalingskortdata

Bed økonomiafdelingen om et årligt udtræk af korttransaktioner og udlægsbilag med forhandlernavne, der ligner softwareabonnementer. Gruppér efter leverandør og omkostningssted. Det er ofte den eneste måde at finde betalte tjenester, der er købt for forskningsbevillinger. Det fortæller jer også, hvem I skal tale med, fordi hver transaktion har en navngiven kortholder eller udlægsgiver.

Teknik 5: DNS, proxy og CASB

Aggregerede DNS- eller webproxylogs viser, hvilke cloudtjenester der tilgås fra campusnetværket. En cloud access security broker (CASB) tilføjer et katalog og risikovurderinger. Microsoft beskriver Defender for Cloud Apps som et produkt, der bruger netværkstrafik og et appkatalog til at identificere apps i brug og vurderer fundne apps ud fra »more than 90 risk indicators« (mere end 90 risikoindikatorer). Andre CASB-produkter fungerer på lignende måder. Universitetsnetværk er åbne, og mange arbejder uden for campus, så betragt dette som en stikprøve frem for en fuldstændig oversigt.

Analyse af netværk og logs er i sig selv behandling af personoplysninger om medarbejdere og studerende. Brug aggregerede data, hvor det er muligt, begræns adgangen, fastsæt en opbevaringsperiode, oplys medarbejderne i privatlivsmeddelelsen, og inddrag databeskyttelsesrådgiveren og, hvor det er relevant, medarbejderrepræsentanter, før I går i gang. Vores screeningsværktøj til konsekvensanalyser (på engelsk) hjælper med at afgøre, om selve overvågningen kræver en konsekvensanalyse.

Teknik 6: Spørg folk

En kort spørgeundersøgelse, der som udgangspunkt er anonym, til institutter og forskergrupper finder ofte værktøjer, som ingen log viser: desktopsoftware, værktøjer på private enheder og tjenester, som eksterne partnere bruger i et projekt. Stil tre spørgsmål: Hvilke værktøjer bruger I til undervisning, forskning og administration, som ikke står på listen over godkendte værktøjer; hvilke data kommer der ind i dem; og hvad skal I have fra universitetet for at holde op med at bruge dem? Gentag undersøgelsen hvert år.

Teknik 7: Styring af browserudvidelser

På administrerede enheder kan browserpolitikker vise og styre udvidelser. Microsofts vejledning i at styre udvidelser til Microsoft Edge med gruppepolitikker beskriver ExtensionInstallBlocklist og ExtensionInstallAllowlist (blokér alle med »*«, og tillad derefter de udvidelser, der står på listen), ExtensionSettings til at blokere udvidelser, der beder om bestemte tilladelser, og runtime_blocked_hosts til at forhindre udvidelser i at læse eller ændre bestemte websteder, fx jeres studieadministrative system. Tilføjes en installeret udvidelse til blokeringslisten, deaktiveres den uden at blive afinstalleret. Chrome har tilsvarende politikker.

Validemics analyse Et fornuftigt første skridt er ikke at blokere alle udvidelser, hvilket ville forstyrre forskning og undervisning, men at bruge runtime_blocked_hosts til at holde udvidelser væk fra de systemer, der indeholder de mest følsomme data (studieadministration, HR, økonomi, platforme til sundhedsforskning), og at opbygge en tilladelsesliste ud fra det, kortlægningen viser faktisk bliver brugt.

Er I i gang med at vurdere en leverandør? Validemic gennemgår leverandørens dokumenter i forhold til GDPR og AI-forordningen og angiver kilden til hver vurdering. Prøv demomiljøet

6. En prioriteringsmodel efter data og integration

Når I har en liste, skal I beslutte, hvor gennemgangsindsatsen skal lægges. To spørgsmål gør det meste af arbejdet: Hvad er de mest følsomme data, værktøjet kommer i berøring med, og hvor dybt integreres det med universitetets systemer? Brug institutionens eksisterende informationsklassifikation, hvis I har en (mange universiteter bruger tre eller fire klasser, fx offentlig, intern, fortrolig og strengt fortrolig eller »rød«).

Beslutningstiderne er planlægningsmål, ikke lovkrav. Tilføj to justeringer. AI-funktioner, der genererer indhold om personer, bedømmer studerende eller giver anbefalinger, flytter et værktøj ét niveau op, fordi rolleanalysen, brugen til træning og placeringen efter AI-forordningen skal tjekkes. Et værktøj, som mange allerede bruger, rykker frem i køen, fordi eksponeringen allerede findes.

7. En hurtig godkendelsesproces

Det hurtige spor findes for at gøre den godkendte vej hurtigere end den ikke-godkendte for de fleste anmodninger. Det virker kun, hvis det er let at finde, kræver lidt og giver et hurtigt svar.

1. Én hoveddør. Én kort formular, linket fra IT-serviceportalen, siderne med AI-vejledning og beskeden i arbejdsgangen for administratorsamtykke. Til sammenligning tager Universiteit Utrechts spørgeskema om AI-værktøjer omkring 30 minutter at udfylde.
2. Tjek, om der allerede er et svar. Før enhver gennemgang: Tjek de tre lister. Er værktøjet allerede godkendt, eller passer et godkendt alternativ, så svar samme dag.
3. Prioritér. Brug matrixen for data og integration. Registrér niveau og begrundelse.
4. Indhent leverandørens dokumentation én gang. For niveau 1 er de offentlige vilkår, privatlivsmeddelelsen og indstillingerne som regel nok. For niveau 2 og derover: Bed leverandøren om databehandleraftale, liste over underdatabehandlere, overførselsgrundlag og sikkerhedsdokumentation. Vores gratis spørgeskemagenerator til leverandører laver et spørgeskema, der passer til niveauet.
5. Beslut med betingelser. De fleste afgørelser i det hurtige spor er »godkendt med betingelser«: kun institutionelt login, træning slået fra, ingen personoplysninger ud over brugerkonti, kun et navngivet kursus eller projekt, ny gennemgang om 12 måneder.
6. Offentliggør resultatet. Sæt værktøjet på den rigtige liste, så den næste får et svar med det samme. Opdatér fortegnelsen over behandlingsaktiviteter (se vores skabelon til fortegnelse eller den danske skabelon til fortegnelse over behandlingsaktiviteter).
7. Overvåg. Betingelserne er kun så gode som leverandørens vilkår. Hold øje med ændringer i underdatabehandlere og vilkår, og tjek igen, når leverandøren tilføjer AI-funktioner. Vores gratis værktøj til varsler om underdatabehandlere kan hjælpe.

Gør det klart, hvem der beslutter. I Utrecht betaler det fakultet, der bruger et godkendt værktøj, for det, som regel ved at købe direkte hos leverandøren. I Cambridge er licenserede GenAI-værktøjer ud over de centrale ikke forbudt, men »must be procured in accordance with any applicable procurement policy or process« (skal indkøbes i overensstemmelse med gældende indkøbspolitik eller -proces), og instituttet bærer risikoen. Begge modeller virker, hvis de er skrevet ned.

8. Godkendt, godkendt med betingelser, ikke godkendt

Listerne er det mest synlige resultat af processen og det vigtigste redskab til at ændre adfærd. Universiteit Utrecht bruger præcis tre udfald for AI-værktøjer i undervisningen: godkendt, godkendt med betingelser og afvist. Godkendte værktøjer må bruges på deres vilkår og de betingelser, der er knyttet til godkendelsen.

Hold listen over ikke-godkendte værktøjer kort og saglig. En lang liste over forbudte værktøjer inviterer folk til at lede efter det næste, der ikke står på den. En kort liste med klare alternativer gør mere. For et billede af, hvad andre institutioner godkender, se AI-værktøjer godkendt på europæiske universiteter, og for formuleringer til en politik, vores skabelon til AI-politik for universiteter (begge på engelsk).

9. Sådan gør europæiske universiteter

Siderne nedenfor viser de vigtigste byggesten i praksis: et institutionelt alternativ, regler for data knyttet til klassifikationen, en udmelding om ikke-godkendte værktøjer og en vej til at anmode om gennemgang. De er kontrolleret 9. oktober 2026.

Validemics analyse Mønstret går igen på tværs af lande: Tilbyd først en god institutionel løsning, knyt reglerne for data til den eksisterende klassifikation, og sig klart, hvad der ikke er tilladt. Det, der sjældnest offentliggøres, er vejen til at anmode om noget andet. Utrecht er et godt eksempel på at offentliggøre vejen, spørgeskemaet og de mulige udfald.

10. Dialogen med forskere og undervisere

Det meste skygge-IT skabes af folk, der prøver at gøre deres arbejde godt. Kommunikation, der behandler dem som problemet, har en tendens til at skubbe brugen længere ud af syne. Nogle principper hjælper:

• Start med alternativet. »Brug UU AI-Chat, Aalto AI Assistant eller GPT UiO til det« er mere nyttigt end »brug ikke ChatGPT«. Hver post på listen over ikke-godkendte værktøjer bør nævne et alternativ.
• Lav regler om data, ikke om mærker. AP's råd er, at organisationer skal gøre det klart for medarbejderne, hvilke data de må og ikke må indtaste. Regler knyttet til dataklasser forbliver gyldige, når der kommer nye værktøjer.
• Tilbyd en gennemgang uden skyld. Invitér institutterne til at indberette værktøjer, de allerede bruger, og gennemgå dem uden konsekvenser for dem, der har indberettet. Kortlægningsdata er langt mere nyttige, når folk samarbejder.
• Svar hurtigt. Offentliggør en måltid for afgørelser i det hurtige spor, og rapportér, hvordan den overholdes.
• Forklar begrundelsen i én sætning. »Den gratis plan bruger dit input til træning og har ingen databehandleraftale« bliver forstået; »ikke compliant« gør ikke.
• Brug de eksisterende kanaler. Forskningsstøtten, biblioteket, centre for undervisning og læring og fakulteternes IT-medarbejdere har forskernes tillid. Orientér dem først.
• Kobl det til forskningsprocesserne. Spørg til værktøjer i datahåndteringsplanen og i ansøgningen til forskningsetisk vurdering, så gennemgangen af værktøjer sker før dataindsamlingen, ikke bagefter.

Uddannelse understøtter også AI-forordningens krav om foranstaltninger for AI-færdigheder. Vores guide GDPR og AI-værktøjer i forskning (på engelsk) er skrevet til forskere og kan deles direkte.

11. Målepunkter, der viser fremskridt

Vælg et lille antal mål, som I kan hente fra systemer, I allerede har. Rapportér udviklingen, ikke enkeltstående tal.

12. En 90-dagesplan

Planen forudsætter et lille team med tid fra IT-sikkerhed, databeskyttelsesrådgiverens kontor og indkøb. Tilpas omfanget til jeres størrelse.

Efter 90 dage bliver arbejdet rutine: Anmodningsformularen fører ind i det hurtige spor, kortlægningen kører hver måned, og listerne gennemgås mindst én gang om året. At tilbagekalde eksisterende samtykker og flytte brugere væk fra ikke-godkendte værktøjer tager længere tid og bør ske, når der er et alternativ på plads.

Kilder

1. Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 24, 28, 30, 32, 33 og 44 (hentet 9. oktober 2026).
2. Direktiv (EU) 2022/2555 (NIS2), artikel 2, stk. 5, og artikel 21 (hentet 9. oktober 2026).
3. Forordning (EU) 2024/1689 (AI-forordningen), artikel 4, og forordning (EU) 2026/1744 (den digitale omnibus om AI) (hentet 9. oktober 2026).
4. Direktiv (EU) 2016/2102 om tilgængeligheden af offentlige organers websteder og mobilapplikationer (hentet 9. oktober 2026).
5. Autoriteit Persoonsgegevens: Caution: use of AI chatbot may lead to data breaches, 6. august 2024 (hentet 9. oktober 2026).
6. IMY: GDPR vid användning av generativ AI, IMY-2024-9162, 5. februar 2025 (hentet 9. oktober 2026).
7. IMY: National guidelines for generative AI in public administration are launched (hentet 9. oktober 2026).
8. CNIL: IA, la CNIL finalise ses recommandations sur le développement des systèmes d'IA, 22. juli 2025 (hentet 9. oktober 2026).
9. Jisc: Generative AI, a primer, opdateret 1. februar 2024 (hentet 9. oktober 2026).
10. Microsoft Learn: Configure the admin consent workflow (hentet 9. oktober 2026).
11. Microsoft Learn: Configure how users consent to applications (hentet 9. oktober 2026).
12. Microsoft Learn: Review permissions granted to enterprise applications (hentet 9. oktober 2026).
13. Google Workspace Admin Help: Control which apps access Google Workspace data (hentet 9. oktober 2026).
14. Microsoft Learn: Overview of Microsoft Defender for Cloud Apps (hentet 9. oktober 2026).
15. Microsoft Learn: Use group policies to manage Microsoft Edge extensions (hentet 9. oktober 2026).
16. UMBC Cyber Defense Lab: Shadow IT in Higher Education: Survey and Case Study for Cybersecurity, 2021 (hentet 9. oktober 2026).
17. Trinity College: Higher Education Community Vendor Assessment Toolkit (HECVAT) (hentet 9. oktober 2026).
18. Universiteit Utrecht: Allow-listing process for AI tools (hentet 9. oktober 2026).
19. Universiteit Utrecht: Conditions of use of AI tools by teachers and educational support staff (hentet 9. oktober 2026).
20. Universiteit Utrecht: AI platforms at UU (hentet 9. oktober 2026).
21. University of Oxford AI Competency Centre: GenAI tool features (hentet 9. oktober 2026).
22. University of Cambridge: Data protection guidance on AI (hentet 9. oktober 2026).
23. University of Edinburgh: Generative AI guidance for staff (hentet 9. oktober 2026).
24. University of St Andrews: Approved AI software (hentet 9. oktober 2026).
25. University of Reading: Generative AI and AI meeting assistants (hentet 9. oktober 2026).
26. Helsingfors Universitet: Generative artificial intelligence at the University (hentet 9. oktober 2026).
27. Aalto-universitetet: Aalto AI Assistant (hentet 9. oktober 2026).
28. Universiteit van Amsterdam: UvA AI Chat (hentet 9. oktober 2026).
29. Uppsala Universitet: AI tool for students (hentet 9. oktober 2026).
30. KTH: AI services (hentet 9. oktober 2026).
31. Universitetet i Oslo: GPT UiO and red data (hentet 9. oktober 2026).
32. Københavns Universitet: Three guidelines and a new tool for using AI, 8. maj 2024 (hentet 9. oktober 2026).
33. Aarhus Universitet: Microsoft 365 (studerende) (dansk udgave af Microsoft 365 for students, hentet 9. oktober 2026).

Om denne side

Kilderne er kontrolleret 9. oktober 2026. Vi har læst Microsofts og Googles administratordokumentation, databeskyttelsesmyndighedernes sider og de universitetssider, der er nævnt ovenfor; EU-retsakterne er citeret efter teksterne i EU-Tidende. Citater fra engelsksprogede sider gengives på engelsk med en dansk oversættelse i parentes; oversættelserne er vores egne og ikke ordrette citater. Universiteternes sider ændres ofte, så tjek den aktuelle version, før I bygger på en detalje. Hvor vi giver vores egen fortolkning, er den markeret som Validemics analyse. Beslutningstiderne i prioriteringsafsnittet er planlægningsmål, ikke lovkrav. Siden er generel information og ikke juridisk rådgivning; national ret, aftaler i samarbejdsudvalg og institutionens egne retningslinjer kan stille yderligere krav, især til overvågning af medarbejderes brug af IT. Hvis du finder en fejl eller vil foreslå et andet eksempel fra et universitet, så kontakt os, så retter vi det.