Avsnitt 1/6Därför är det kontot som avgör
Skugg-AI: personalen använder redan AI, men med vems konto?
Det är sällan AI-användningen som är problemet, utan kontot. Vad som gäller för ChatGPT, Claude och Copilot, och fyra steg för att ta kontroll.
Enligt Svenskarna och internet 2026 (öppnas i ny flik) använder 7 av 10 tjänstemän AI. För företaget är nästa fråga vilka verktyg och konton som används i arbetet, och vilken information medarbetarna delar med dem.
Skugg-AI är användning av AI-verktyg utanför företagets godkända arbetssätt. Det kan till exempel vara ett kundmejl som klistras in i ett privat konto utan att bolaget har granskat villkoren. Börja med att ta reda på vad som används och ge teamet tydliga regler och godkända konton.
Därför är det kontot som avgör
IMY:s vägledning GDPR vid användning av generativ AI (öppnas i ny flik) är skriven för offentlig sektor, men resonemanget bygger på GDPR och gäller lika för ett privat bolag. Använder bolaget en AI-tjänst är leverantören som utgångspunkt personuppgiftsbiträde, vilket kräver ett personuppgiftsbiträdesavtal. Det håller bara så länge leverantören inte använder uppgifterna för något eget syfte, som att träna vidare sin grundmodell. Gör den det blir den själv personuppgiftsansvarig för den delen.
Där skiljer sig kontona åt. OpenAI skriver (öppnas i ny flik) att innehåll i Free, Plus och Pro kan användas för att träna modellerna, om inte användaren stänger av det under Data controls. Innehåll i ChatGPT Business och Enterprise används inte till det som standard. Anthropic (öppnas i ny flik) gör samma uppdelning: konsumentkontona Free, Pro och Max har ett val om träning, medan Team, Enterprise och API omfattas av kommersiella villkor där innehållet inte används för träning.
När en säljare klistrar in ett kundavtal i sitt privata konto saknas alltså avtal mellan bolaget och leverantören, och texten kan användas för leverantörens egna syften. Enligt IMY bär bolaget dessutom i regel ansvaret även när AI-tjänsten behandlar personuppgifter på oväntade sätt.
Konto för konto: vad som gäller
| Konto | Används innehållet för träning? | Avtal med bolaget |
|---|---|---|
| ChatGPT Free, Plus, Pro | Ja, om användaren inte stänger av det | Nej, kontot är personens |
| ChatGPT Business, Enterprise | Nej, som standard | Ja, bolaget är kund |
| Claude Free, Pro, Max | Om användaren har valt det | Nej, kontot är personens |
| Claude Team, Enterprise | Nej, kommersiella villkor | Ja, bolaget är kund |
| Microsoft Copilot (tidigare Microsoft 365 Copilot) och Copilot Chat med jobbkonto | Nej, enligt Microsoft (öppnas i ny flik) | Ja, ingår i Microsofts dataskyddstillägg |
Uppgifterna kommer från leverantörernas egna sidor och är kontrollerade i oktober 2026. Villkoren ändras, så de behöver kontrolleras igen vid varje nytt avtal. Ett bolag som redan har Microsoft 365 bör därför först se vad som redan ingår i licenserna, innan något nytt köps.
Skugg-AI är ett tecken på att personalen vill jobba smartare. Ge dem ett konto där det går att göra säkert.
Ett förbud mot skugg-AI flyttar bara problemet
När 7 av 10 tjänstemän redan använder AI försvinner inte behovet med ett förbud. Användningen flyttar till mobilen och privata konton, där bolaget ser ännu mindre. Det som fungerar är ett bättre alternativ: ett godkänt verktyg som är lika enkelt att använda.
Svenskarna och internet (öppnas i ny flik) visar också att bara hälften av svenskarna upplever att AI gör dem mer effektiva. Det är ett argument för utbildning, och här finns redan ett krav. AI-förordningen (öppnas i ny flik) har sedan 2 februari 2025 ett krav på AI-kunnighet (öppnas i ny flik). Efter EU:s digitala omnibus, förordning (EU) 2026/1744 (öppnas i ny flik), är kravet mildare formulerat: företag ska vidta åtgärder som stödjer personalens AI-kunnighet. En kort policy och en genomgång med bolagets egna exempel räcker långt för att visa det.
Fyra steg för att få kontroll över AI-användningen
Kartlägg vad som används. Fråga personalen, gärna anonymt, vilka AI-verktyg de använder och till vad. Svaren visar var behovet finns, och det är sällan där ledningen tror.
Välj ett företagskonto. Utgå från det bolaget redan har. Räcker det inte, välj en företagsplan och teckna personuppgiftsbiträdesavtalet innan någon börjar.
Skriv tre regler, inte tolv: vilket konto som gäller, vilka uppgifter som aldrig får klistras in (till exempel personnummer, hälsouppgifter och lönefiler) och att en människa granskar allt som går till kund. Ta bara med det som behövs för uppgiften, i linje med principen om uppgiftsminimering som IMY lyfter fram.
Utbilda och följ upp. En timme med verkliga exempel från bolagets vardag, och samma enkät igen efter en månad.
Nästa steg: AI som jobbar med bolagets egna system
Ett företagskonto löser den akuta risken. Det större värdet kommer när AI får arbeta med bolagets egen information på ett kontrollerat sätt: svara utifrån egna dokument, sammanfatta ärenden i CRM:et eller skriva första utkastet till en offert. Det kräver behörigheter, loggning och integrationer som håller, och det är det vi bygger inom AI och agenter.
Vanliga frågor
Är det olagligt att använda ChatGPT på jobbet?
Nej. Det som avgör är vilka uppgifter som används och i vilket konto. Med en företagsplan och ett personuppgiftsbiträdesavtal kan de flesta bolag använda AI-assistenter i vardagen. Personuppgifter i privata konton är det som skapar problem.
Räcker det att stänga av träningen i ett privat konto?
Det minskar risken, men tar inte bort den helt: enligt OpenAI kan hela konversationen användas för träning om någon ger en tumme upp eller ned, även efter att träningen stängts av. Bolaget har dessutom inget avtal med leverantören och ingen kontroll över kontot, till exempel när någon slutar. Ett företagskonto löser alla tre problemen.
Behöver bolaget en AI-policy?
AI-förordningen kräver inget dokument med det namnet, men den kräver åtgärder som stödjer personalens AI-kunnighet. En kort policy med tre regler och en genomgång är det enklaste sättet att visa att de finns.
Kan NOD³ hjälpa till att välja AI-verktyg?
Ja. Vi utgår från de system bolaget redan har, jämför alternativen och sätter upp kontot, reglerna och utbildningen.
Vad vill ni få att fungera bättre?
Berätta kort om er situation och vad ni vill uppnå. En av oss grundare återkommer inom två arbetsdagar och hjälper er att hitta ett första steg. Första samtalet är kostnadsfritt och utan förpliktelser.
Vad händer sedan?
- Vi läser er förfråganNi får svar inom två arbetsdagar.
- Vi klargör nästa stegVi ställer följdfrågor eller föreslår ett första samtal.
- Ni bestämmer om ni vill gå vidareOm vi kan hjälpa er får ni ett förslag på nästa steg med omfattning och pris.