Skugg-IT och icke godkända AI-verktyg på lärosäten: så hittar, prioriterar och godkänner ni dem

Alla lärosäten använder programvara som den centrala IT-avdelningen aldrig har granskat: kostnadsfria AI-assistenter, webbläsartillägg, enkätverktyg som betalats med forskningsmedel och transkriberingsbotar som ansluter till möten. Den här guiden förklarar varför det händer, vilka risker det innebär enligt GDPR och NIS2, hur ni hittar verktygen med de administrationskonsoler ni redan har och hur ni bygger en godkännandeprocess som forskarna faktiskt använder.

Publicerad 9 oktober 2026 · Källor kontrollerade 9 oktober 2026

Finns även på: English · Nederlands · Norsk · Suomi · Dansk · Français · Español · Português

1. Vad är skugg-IT och vad är skugg-AI?

Skugg-IT är programvara, molntjänster eller hårdvara som används i lärosätets verksamhet utan att ha gått igenom lärosätets ordinarie granskning av IT, informationssäkerhet, dataskydd och upphandling. Skugg-AI är den del som rör AI-tjänster: chattbotar, skrivassistenter, mötesbotar samt verktyg för transkribering, översättning och litteratursökning. Inget av begreppen förutsätter onda avsikter. Det mesta av skugg-IT uppstår för att någon behövde få ett arbete gjort.

En forskargrupp vid University of Maryland, Baltimore County, som har studerat skugg-IT i högre utbildning genom en fallstudie och en enkät till IT-personal, beskriver det som programvara eller hårdvara i ett system eller nätverk som ligger utanför den ansvariga IT-enhetens ordinarie granskningsprocess. Samma studie listar möjliga faktorer som ökar sårbarheten för relaterade säkerhetsincidenter, bland annat graden av decentraliserad IT och institutionens inställning till skugg-IT.

På ett europeiskt lärosäte kan typiska exempel vara:

• en lärare som använder en kostnadsfri AI-quizgenerator med en klasslista;
• en forskargrupp som genomför intervjuer via en transkriberingsapp för privatpersoner;
• en institution som betalar för ett webbenkätverktyg med betalkort;
• en app med ”Logga in med Microsoft” eller ”Logga in med Google” som en anställd har gett åtkomst till sin e-post, kalender eller sina filer;
• ett webbläsartillägg som läser varje sida användaren öppnar för att rätta grammatik eller sammanfatta text;
• en AI-mötesassistent som ansluter till digitala möten och spelar in dem.

2. Varför skugg-IT är så utbrett på lärosäten

Lärosäten hör till de mest decentraliserade organisationerna i Europa. Det är en styrka för forskning och utbildning, och skälet till att en central godkännandeprocess alltid kommer att ligga efter det som faktiskt används.

• Akademisk frihet och lokalt självstyre. Forskare väljer själva metoder och verktyg, och fakulteter och institutioner har ofta egen IT-personal och egna budgetar.
• Inköp med forskningsmedel. Forskningsprojekt köper tjänster med projektmedel, ibland med betalkort eller via privata utlägg, och inköpen når kanske aldrig den centrala upphandlingen eller dataskyddsombudet.
• Kostnadsfria versioner. Många verktyg är gratis för enskilda. Inget köp innebär inget upphandlingssteg, men skyldigheterna enligt GDPR följer uppgifterna, inte fakturan.
• Webbläsartillägg och tillägg i program. De installeras på några sekunder, kräver ofta breda behörigheter att läsa sidinnehåll och syns inte i traditionella programvaruinventeringar.
• Medgivanden via OAuth. I Microsoft Entra ID anger Microsofts dokumentation att som standard ”all users are allowed to consent to applications for permissions that don't require administrator consent” (alla användare får ge medgivande till appar för behörigheter som inte kräver administratörsmedgivande). En användare kan alltså koppla en tredjepartsapp till sin egen e-post utan att någon annan ser det.
• AI-assistenter. Generativ AI kom snabbare än upphandlingscyklerna. Lärosätena svarade med vägledningar och egna tjänster, men konsumentverktygen finns alltid en webbläsarflik bort.
• Gästforskare, studenter och externa partner. De tar med sig egna verktyg och konton, och samarbeten mellan lärosäten gör att uppgifter passerar tjänster som inget enskilt lärosäte har godkänt.

Validemics analys Skugg-IT är också en signal. När många använder samma icke godkända verktyg betyder det oftast att lärosätet inte erbjuder ett godtagbart alternativ, eller att godkännandeprocessen är för långsam eller svår att hitta. Se resultatet av kartläggningen som en lista över otillfredsställda behov, inte bara som en lista över risker.

3. Riskerna: GDPR, överföringar, AI-träning, säkerhet, tillgänglighet, licenser, NIS2

Risken är inte att icke godkända verktyg alltid är sämre än godkända. Risken är att ingen har kontrollerat dem, så att ingen kan visa att skyldigheterna nedan är uppfyllda.

Den personuppgiftsansvariges skyldigheter enligt GDPR (art. 24, 28 och 32)

När anställda använder ett verktyg i tjänsten är lärosätet normalt personuppgiftsansvarigt för behandlingen. Enligt artikel 24 GDPR ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder och kunna visa att behandlingen följer förordningen. Enligt artikel 28.1 ska den personuppgiftsansvarige ”endast anlita personuppgiftsbiträden som ger tillräckliga garantier”, och artikel 28.3 kräver ett skriftligt avtal med varje biträde. Artikel 32 kräver en säkerhet som är lämplig i förhållande till risken. Ett kostnadsfritt verktyg som godkänts med ett klick på en konsumentlicens har oftast inget avtal enligt artikel 28 med lärosätet, och en registerförteckning (art. 30) som inte tar upp verktyget är ofullständig. Vår sida om dataskyddsförordningen återger artiklarna i sin helhet.

Den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens, AP) har dragit den praktiska slutsatsen för AI-chattbotar. I sin varning den 6 augusti 2024 skrev AP: ”Often, employees use the chatbots on their own initiative and contrary to the agreements made with the employer.” (Ofta använder anställda chattbotarna på eget initiativ och i strid med det som avtalats med arbetsgivaren.) Om personuppgifter har matats in i en sådan situation innebär det enligt AP att det rör sig om en personuppgiftsincident. Om användningen av chattbotar är organisationens policy är det ”not a data breach, but often not permitted by law” (ingen personuppgiftsincident, men ofta inte tillåtet enligt lag). Incidenter kan behöva anmälas inom 72 timmar (art. 33). Se vår guide om hantering av personuppgiftsincidenter på lärosäten (på engelska).

Överföring till tredjeland

Många kostnadsfria verktyg drivs från länder utanför Europeiska ekonomiska samarbetsområdet. Kapitel V i GDPR (från art. 44) tillåter överföringar bara med en överföringsmekanism, till exempel ett beslut om adekvat skyddsnivå eller standardavtalsklausuler. En enskild person som registrerar sig för en konsumenttjänst ordnar inte detta för lärosätets räkning. Vår guide om ramverket för dataskydd mellan EU och USA och verktyget för överföringsmekanismer förklarar alternativen.

AI-träning på uppladdade uppgifter

AP varnade för att ”Most companies behind the chatbots store all data entered” (de flesta företag bakom chattbotarna sparar alla uppgifter som matas in), ofta utan att den som matar in dem inser det. Köpenhamns universitet upplyste i maj 2024 sina anställda om att de flesta generativa AI-verktyg sparar användarnas indata och använder dem för att utveckla sina underliggande modeller, och bad personalen att bara använda det verktyg som universitetet licensierat. Oxfords AI-center påpekar att användare av konsumentversionerna själva måste bevaka leverantörens policy och välja bort träning. Abonnemangsnivån spelar roll: utbildnings- och företagsversioner har ofta andra villkor för träning och lagring än de kostnadsfria. Våra faktablad om ChatGPT, Grammarly, Otter.ai, DeepSeek och Microsoft Copilot visar vad varje leverantör redovisar offentligt, per abonnemang.

Säkerhet

Ogranskade appar med OAuth-åtkomst till e-post eller filer är en angreppsväg. Microsofts egen dokumentation om Defender for Cloud Apps påpekar att OAuth-appar ”often behave unnoticed” (ofta verkar obemärkt) samtidigt som de har omfattande behörigheter till data i andra appar. Webbläsartillägg kan läsa och ändra sidinnehåll, även på sidor i lärosätets system. Egenutvecklade verktyg är också en risk: fallstudien från UMBC fann typiska sårbarheter som cross-site scripting och SQL-injektion i ett internt utvecklat system för hantering av forskningsbidrag.

Tillgänglighet

Statliga lärosäten är i regel offentliga myndigheter i den mening som avses i direktiv (EU) 2016/2102 om tillgänglighet avseende offentliga myndigheters webbplatser och mobila applikationer. Ett verktyg som en lärare kräver att alla studenter använder, men som ingen har kontrollerat med avseende på tillgänglighet, kan utestänga studenter med funktionsnedsättning. Se vår sida om webbtillgänglighetsdirektivet.

Licensbrott

Konsumentvillkor är skrivna för privatpersoner. De kan begränsa användningen till icke-kommersiella eller privata ändamål, ge leverantören omfattande rättigheter till uppladdat innehåll eller förbjuda uppladdning av material som användaren inte äger. Anställda som laddar upp licensierat biblioteksmaterial, opublicerade manus eller andras uppgifter kan bryta mot licensen eller mot upphovspersonernas rättigheter. Universiteit Utrechts villkor för icke godkända AI-verktyg ber till exempel personalen att inte ladda upp upphovsrättsskyddat, konfidentiellt eller skyddat material, eller inspelade intervjuer.

Krav på leveranskedjan enligt NIS2, om lärosätet omfattas

NIS2 (direktiv (EU) 2022/2555) låter medlemsstaterna låta direktivet omfatta utbildningsinstitut, ”särskilt om de utför kritisk forskningsverksamhet” (art. 2.5 b), och forskningsorganisationer kan omfattas i egen rätt. Entiteter som omfattas ska vidta riskhanteringsåtgärder som inbegriper ”säkerhet i leveranskedjan, inbegripet säkerhetsaspekter som rör förbindelserna mellan varje entitet och dess direkta leverantörer eller tjänsteleverantörer” (art. 21.2 d), liksom hantering av tillgångar. Tjänster som ingen känner till kan inte omfattas av sådana åtgärder. Om ert lärosäte omfattas beror på det nationella genomförandet. Vår guide om NIS2 för lärosäten (på engelska) och sidan om NIS2-direktivet beskriver läget i olika länder.

AI-förordningen: AI-kunnighet

Enligt AI-förordningen, i dess lydelse efter förordning (EU) 2026/1744, ska tillhandahållare vidta åtgärder för att främja AI-kunnigheten hos personal som använder AI-system (art. 4). Ett lärosäte som inte vet vilka AI-system personalen använder får svårt att uppfylla den skyldigheten. Se vår guide om AI-förordningen för lärosäten (på engelska) och AI-förordningen förklarad.

4. Vad tillsynsmyndigheter och sektorsorganisationer säger

Ingen europeisk dataskyddsmyndighet har utfärdat regler specifikt om skugg-IT på lärosäten, men flera har publicerat vägledningar om generativ AI som är direkt tillämpliga.

De svenska nationella riktlinjerna omfattar även andra områden än dataskydd, bland annat upphandling och arbetsrätt, vilket är en nyttig påminnelse om att arbetet med skugg-AI inte bara är ett dataskyddsprojekt. För andra nationella myndigheter, se deras AI-sidor direkt. Vår guide om nordiska AI-tjänster (på engelska) beskriver de gemensamma tjänster som de nationella forsknings- och utbildningsnätverken erbjuder.

5. Så hittar ni skugg-IT: sju metoder

Kartläggningen kräver ingen ny produkt för att komma igång. De flesta lärosäten har redan uppgifterna i sin identitetsplattform, sitt ekonomisystem och sina nätverksloggar. Kombinera flera källor, eftersom var och en bara ser en del av bilden.

Metod 1: genomgång av appmedgivanden via OAuth i Microsoft Entra ID

I Microsoft Entra ID visas varje tredjepartsapp som en användare eller administratör har gett åtkomst som ett företagsprogram med sina behörigheter. Microsofts guide om att granska behörigheter som beviljats företagsprogram förklarar hur man ser administratörsmedgivanden och användarmedgivanden per app. Observera en begränsning: behörigheter som användare har beviljat kan inte återkallas från fliken för användarmedgivande i portalen. Microsoft hänvisar till Microsoft Graph eller PowerShell för det.

1. Exportera listan över företagsprogram med delegerade behörigheter, antalet användare som gett medgivande och utgivaren.
2. Flagga appar med åtkomst till e-post, filer, kalendrar eller katalogen, appar från overifierade utgivare och appar med många användare.
3. Ändra inställningen för användarmedgivande. Microsoft rekommenderar att användarmedgivande tillåts ”only for applications that have been published by a verified publisher” (endast för appar som publicerats av en verifierad utgivare), och den inbyggda policyn begränsar detta ytterligare till behörigheter som ni klassar som låg påverkan (se Configure how users consent to applications).
4. Aktivera arbetsflödet för administratörsmedgivande, så att användare som inte själva kan ge medgivande kan skicka en begäran. Microsoft beskriver att begäran skickas med e-post till administratörer som utsetts till granskare, som hanterar den, varefter användaren meddelas. Detta blir ingången till er snabba väg.

En ändrad medgivandeinställning påverkar bara framtida medgivanden. Microsoft påpekar att befintliga medgivanden ligger kvar oförändrade, så både genomgången och policyändringen behövs.

Metod 2: tredjepartsappars åtkomst i Google Workspace

Administratörer i Google Workspace hanterar tredjepartsappar under API-kontroller. Googles hjälpsida Control which apps access Google Workspace data beskriver en lista över appar som har haft åtkomst till Google-data, med antal användare och efterfrågade tjänster, och fyra åtkomstnivåer för varje app: Trusted, Limited, Specific Google data och Blocked. Administratörer kan också bestämma vad som gäller för appar som inte har konfigurerats, begränsa högriskomfång för tjänster som Gmail och Drive och låta användare begära åtkomst till en app, som då visas för granskning. Utbildningsversionerna har separata inställningar för användare under 18 år. Google påpekar att det kan ta 24 till 48 timmar innan uppgifterna om appar visas.

Metod 3: loggar från enkel inloggning

Inloggningsloggar från Entra ID, Google eller lärosätets egen identitetsleverantör visar vilka tjänsteleverantörer användarna autentiserar sig mot, även tjänster som är anslutna via identitetsfederation. Loggarna från enkel inloggning visar bara verktyg som använder lärosätets inloggning, så de avslöjar inte kostnadsfria verktyg som används med privata konton. Tillsammans med genomgången av OAuth-medgivanden visar de däremot verktyg som används med lärosätets e-postadress på leverantörens egen inloggningssida.

Metod 4: utlägg och betalkortsdata

Be ekonomiavdelningen om ett årligt uttag av korttransaktioner och utlägg med leverantörsnamn som ser ut som programvaruabonnemang. Gruppera per leverantör och per kostnadsställe. Det är ofta det enda sättet att hitta betaltjänster som köpts med forskningsmedel. Det visar också vem ni ska prata med, eftersom varje transaktion har en namngiven kortinnehavare eller utläggare.

Metod 5: DNS, proxy och CASB

Aggregerade DNS- eller proxyloggar visar vilka molntjänster som nås från campusnätet. En CASB (cloud access security broker) tillför en katalog och riskbedömningar. Microsoft beskriver att Defender for Cloud Apps använder nätverkstrafik och en appkatalog för att identifiera vilka appar som används, och bedömer upptäckta appar mot ”more than 90 risk indicators” (fler än 90 riskindikatorer). Andra CASB-produkter fungerar på liknande sätt. Lärosätesnätverk är öppna och många arbetar utanför campus, så se detta som ett stickprov snarare än en fullständig inventering.

Analys av nätverk och loggar är i sig behandling av anställdas och studenters personuppgifter. Använd aggregerade uppgifter där det går, begränsa åtkomsten, bestäm en lagringstid, informera personalen i integritetsinformationen och involvera dataskyddsombudet och, i förekommande fall, arbetstagarorganisationerna innan ni börjar. Vårt verktyg för förhandsbedömning hjälper er att avgöra om själva övervakningen kräver en konsekvensbedömning.

Metod 6: fråga människor

En kort enkät till institutioner och forskargrupper, anonym som standard, hittar ofta verktyg som inga loggar visar: skrivbordsprogram, verktyg på privata enheter och tjänster som externa partner använder i ett projekt. Ställ tre frågor: vilka verktyg använder ni i utbildning, forskning och administration som inte finns på listan över godkända verktyg, vilka uppgifter hanteras i dem, och vad skulle ni behöva från lärosätet för att sluta använda dem? Upprepa enkäten varje år.

Metod 7: hantering av webbläsartillägg

På hanterade enheter kan webbläsarpolicyer visa och styra tillägg. Microsofts guide om att hantera tillägg i Microsoft Edge med grupprinciper beskriver ExtensionInstallBlocklist och ExtensionInstallAllowlist (blockera alla med ”*” och tillåt sedan listade tillägg), ExtensionSettings för att blockera tillägg som begär vissa behörigheter och runtime_blocked_hosts för att hindra tillägg från att läsa eller ändra vissa webbplatser, till exempel ert studiedokumentationssystem. Om ett installerat tillägg läggs till i blockeringslistan inaktiveras det utan att avinstalleras. Chrome har motsvarande policyer.

Validemics analys Ett rimligt första steg är inte att blockera alla tillägg, vilket skulle störa forskning och undervisning, utan att använda runtime_blocked_hosts för att hålla tilläggen borta från de system som innehåller de mest känsliga uppgifterna (studiedokumentation, HR, ekonomi, plattformar för hälsoforskning) och att bygga en lista över tillåtna tillägg utifrån vad kartläggningen visar faktiskt används.

Granskar ni en leverantör just nu? Validemic stämmer av leverantörens dokument mot GDPR och AI-förordningen och anger källa för varje bedömning. Testa demomiljön

6. En prioriteringsmodell utifrån data och integration

När ni har en lista behöver ni bestämma var granskningsinsatserna ska läggas. Två frågor gör det mesta av arbetet: vilka är de mest känsliga uppgifter verktyget kommer att hantera, och hur djupt integreras det med lärosätets system? Använd lärosätets befintliga informationsklassning om ni har en (många lärosäten använder tre eller fyra klasser, till exempel öppen, intern, konfidentiell och strikt konfidentiell eller ”röd”).

Tiderna till beslut är planeringsmål, inte rättsliga krav. Lägg till två justeringar. AI-funktioner som genererar innehåll om personer, bedömer studenter eller ger rekommendationer flyttar upp ett verktyg en nivå, eftersom rollanalysen, användningen för träning och ställningen enligt AI-förordningen behöver kontrolleras. Ett verktyg som många redan använder flyttas fram i kön, eftersom exponeringen redan finns.

7. En snabb väg till godkännande

Den snabba vägen finns för att den godkända vägen ska vara snabbare än den icke godkända för de flesta begäranden. Den fungerar bara om den är lätt att hitta, kräver lite och ger ett snabbt svar.

1. En ingång. Ett enda kort formulär, länkat från IT-portalen, sidorna med AI-vägledning och meddelandet i arbetsflödet för administratörsmedgivande. Universiteit Utrechts frågeformulär om AI-verktyg tar som jämförelse ungefär 30 minuter att fylla i.
2. Kontrollera om det redan finns ett svar. Kontrollera de tre listorna innan någon granskning görs. Om verktyget redan är godkänt, eller om ett godkänt alternativ passar, svara samma dag.
3. Prioritera. Använd matrisen för data och integration. Dokumentera nivån och skälet.
4. Samla in leverantörens underlag en gång. För nivå 1 räcker oftast de offentliga villkoren, integritetsinformationen och inställningarna. För nivå 2 och uppåt, begär personuppgiftsbiträdesavtal, underbiträdeslista, överföringsmekanism och säkerhetsunderlag från leverantören. Vårt kostnadsfria verktyg för frågeformulär till leverantörer tar fram ett formulär anpassat efter nivån.
5. Besluta med villkor. De flesta beslut i den snabba vägen blir ”godkänt med villkor”: endast inloggning via lärosätet, träning avstängd, inga personuppgifter utöver användarkonton, endast för en namngiven kurs eller ett namngivet projekt, ny granskning om 12 månader.
6. Publicera resultatet. Lägg till verktyget på rätt lista så att nästa person får svar direkt. Uppdatera registerförteckningen (se vår mall för registerförteckning).
7. Bevaka. Villkoren är aldrig bättre än leverantörens villkor. Bevaka ändringar av underbiträden och villkor, och kontrollera på nytt när leverantören lägger till AI-funktioner. Vårt kostnadsfria verktyg för bevakning av underbiträden kan hjälpa till.

Klargör vem som beslutar. I Utrecht betalar den fakultet som använder ett godkänt verktyg för det, oftast genom att köpa direkt från leverantören. I Cambridge är licensierade GenAI-verktyg utöver de centrala inte förbjudna, men de ”must be procured in accordance with any applicable procurement policy or process” (måste upphandlas enligt tillämplig upphandlingspolicy eller process), och institutionen bär risken. Båda modellerna fungerar om de är nedskrivna.

8. Godkänt, godkänt med villkor, inte godkänt

Listorna är processens mest synliga resultat och det viktigaste verktyget för att ändra beteenden. Universiteit Utrecht använder exakt tre utfall för AI-verktyg i utbildningen: godkänt, godkänt med villkor och inte godkänt. Godkända verktyg får användas enligt sina villkor och de villkor som knutits till godkännandet.

Håll listan över verktyg som inte är godkända kort och saklig. En lång lista över förbjudna verktyg får människor att leta efter nästa verktyg som inte finns på den. En kort lista med tydliga alternativ gör mer nytta. För en bild av vad andra lärosäten godkänner, se AI-verktyg som godkänts vid europeiska lärosäten, och för formuleringar i policyer, vår mall för AI-policy för lärosäten (båda på engelska).

9. Så gör europeiska lärosäten

Sidorna nedan visar de viktigaste byggstenarna i praktiken: ett alternativ som tillhandahålls av lärosätet, regler för uppgifter kopplade till informationsklassning, ett ställningstagande om icke godkända verktyg och en väg för att begära granskning. De kontrollerades den 9 oktober 2026.

Validemics analys Mönstret är detsamma i alla länder: erbjud först ett bra alternativ som lärosätet tillhandahåller, knyt reglerna för uppgifter till den befintliga informationsklassningen och säg tydligt vad som inte är tillåtet. Det som publiceras minst ofta är vägen för att begära granskning av allt annat. Utrecht är ett bra exempel på att publicera vägen, frågeformuläret och de möjliga utfallen.

10. Att prata med forskare och lärare

Det mesta av skugg-IT skapas av människor som försöker göra ett bra arbete. Kommunikation som behandlar dem som problemet driver ofta användningen ännu längre ur sikte. Några principer hjälper:

• Börja med alternativet. ”Använd UU AI-Chat, Aalto AI Assistant eller GPT UiO för det här” är mer användbart än ”använd inte ChatGPT”. Varje post på listan över verktyg som inte är godkända bör ange ett alternativ.
• Låt reglerna handla om uppgifter, inte varumärken. AP:s råd är att organisationer ska göra klart för de anställda vilka uppgifter de får och inte får mata in. Regler som är knutna till informationsklasser gäller även när nya verktyg dyker upp.
• Erbjud en granskning utan skuld. Bjud in institutionerna att rapportera verktyg som de redan använder, och granska dem utan konsekvenser för dem som rapporterat. Kartläggningsdata blir mycket mer användbara när människor samarbetar.
• Svara snabbt. Publicera en måltid för beslut i den snabba vägen och redovisa utfallet.
• Förklara skälet i en mening. ”Den kostnadsfria versionen använder det du skriver för träning och har inget personuppgiftsbiträdesavtal” förstås. ”Uppfyller inte kraven” gör det inte.
• Använd befintliga kanaler. Forskningsstöd, bibliotek, pedagogiska enheter och fakulteternas IT-personal har forskarnas förtroende. Informera dem först.
• Koppla till forskningsprocesserna. Fråga om verktyg i datahanteringsplanen och etikansökan, så att granskningen av verktyg sker före datainsamlingen, inte efter.

Utbildning stödjer också skyldigheten enligt AI-förordningen att vidta åtgärder för AI-kunnighet. Vår guide GDPR och AI-verktyg i forskningen (på engelska) är skriven för forskare och kan delas direkt.

11. Mått som visar framsteg

Välj ett litet antal mått som ni kan hämta ur system ni redan har. Redovisa trender, inte enskilda siffror.

12. En plan för 90 dagar

Planen förutsätter ett litet team med tid från IT-säkerhet, dataskyddsombudets kansli och upphandling. Anpassa omfattningen efter er storlek.

Efter 90 dagar blir arbetet rutin: begäransformuläret matar den snabba vägen, kartläggningen körs varje månad och listorna ses över minst en gång om året. Att återkalla befintliga medgivanden och flytta användare från verktyg som inte är godkända tar längre tid och bör ske när ett alternativ finns på plats.

Källor

1. Förordning (EU) 2016/679 (dataskyddsförordningen), artiklarna 24, 28, 30, 32, 33 och 44 (hämtad 9 oktober 2026).
2. Direktiv (EU) 2022/2555 (NIS2), artiklarna 2.5 och 21 (hämtad 9 oktober 2026).
3. Förordning (EU) 2024/1689 (AI-förordningen), artikel 4, och förordning (EU) 2026/1744 (digital omnibus om AI) (hämtad 9 oktober 2026).
4. Direktiv (EU) 2016/2102 om tillgänglighet avseende offentliga myndigheters webbplatser och mobila applikationer (hämtad 9 oktober 2026).
5. Autoriteit Persoonsgegevens: Caution: use of AI chatbot may lead to data breaches, 6 augusti 2024 (hämtad 9 oktober 2026).
6. IMY: GDPR vid användning av generativ AI, IMY-2024-9162, 5 februari 2025 (hämtad 9 oktober 2026).
7. IMY: National guidelines for generative AI in public administration are launched (hämtad 9 oktober 2026).
8. CNIL: IA, la CNIL finalise ses recommandations sur le développement des systèmes d'IA, 22 juli 2025 (hämtad 9 oktober 2026).
9. Jisc: Generative AI, a primer, uppdaterad 1 februari 2024 (hämtad 9 oktober 2026).
10. Microsoft Learn: Configure the admin consent workflow (hämtad 9 oktober 2026).
11. Microsoft Learn: Configure how users consent to applications (hämtad 9 oktober 2026).
12. Microsoft Learn: Review permissions granted to enterprise applications (hämtad 9 oktober 2026).
13. Google Workspace Admin Help: Control which apps access Google Workspace data (hämtad 9 oktober 2026).
14. Microsoft Learn: Overview of Microsoft Defender for Cloud Apps (hämtad 9 oktober 2026).
15. Microsoft Learn: Use group policies to manage Microsoft Edge extensions (hämtad 9 oktober 2026).
16. UMBC Cyber Defense Lab: Shadow IT in Higher Education: Survey and Case Study for Cybersecurity, 2021 (hämtad 9 oktober 2026).
17. Trinity College: Higher Education Community Vendor Assessment Toolkit (HECVAT) (hämtad 9 oktober 2026).
18. Universiteit Utrecht: Allow-listing process for AI tools (hämtad 9 oktober 2026).
19. Universiteit Utrecht: Conditions of use of AI tools by teachers and educational support staff (hämtad 9 oktober 2026).
20. Universiteit Utrecht: AI platforms at UU (hämtad 9 oktober 2026).
21. University of Oxford AI Competency Centre: GenAI tool features (hämtad 9 oktober 2026).
22. University of Cambridge: Data protection guidance on AI (hämtad 9 oktober 2026).
23. University of Edinburgh: Generative AI guidance for staff (hämtad 9 oktober 2026).
24. University of St Andrews: Approved AI software (hämtad 9 oktober 2026).
25. University of Reading: Generative AI and AI meeting assistants (hämtad 9 oktober 2026).
26. Helsingfors universitet: Generative artificial intelligence at the University (hämtad 9 oktober 2026).
27. Aalto-universitetet: Aalto AI Assistant (hämtad 9 oktober 2026).
28. Universiteit van Amsterdam: UvA AI Chat (hämtad 9 oktober 2026).
29. Uppsala universitet: AI tool for students (hämtad 9 oktober 2026).
30. KTH: AI services (hämtad 9 oktober 2026).
31. Universitetet i Oslo: GPT UiO and red data (hämtad 9 oktober 2026).
32. Köpenhamns universitet: Three guidelines and a new tool for using AI, 8 maj 2024 (hämtad 9 oktober 2026).
33. Aarhus universitet: Microsoft 365 for students (hämtad 9 oktober 2026).

Om den här sidan

Källorna kontrollerades den 9 oktober 2026. Vi har läst Microsofts och Googles administratörsdokumentation, dataskyddsmyndigheternas sidor och de lärosätessidor som anges ovan. EU-rättsakterna citeras från versionerna i Europeiska unionens officiella tidning. Citat från engelskspråkiga källor återges på engelska med en svensk översättning inom parentes. Lärosätenas sidor ändras ofta, så kontrollera den aktuella versionen innan ni förlitar er på en detalj. Där vi ger vår egen tolkning är den märkt som Validemics analys. Tiderna till beslut i prioriteringsavsnittet är planeringsmål, inte rättsliga krav. Sidan är allmän information, inte juridisk rådgivning. Nationell rätt, avtal med arbetstagarorganisationer och lärosätets egna riktlinjer kan innehålla ytterligare krav, särskilt för övervakning av personalens IT-användning. Om du hittar ett fel eller vill föreslå ytterligare ett exempel från ett lärosäte, kontakta oss så rättar vi.