Hva er Shadow AI, og hvorfor norske SMB-er sliter med å se det

De ansatte bruker allerede AI på bedriftsdataene deres. Dere ser bare ikke hva de sender inn, eller hva som kommer ut igjen.

I Falcon-konsollen under nylige onboardinger dukker AI-trafikken opp lenge før noen AI-policy gjør det. En økonomileder limer et kontraktsutkast inn i ChatGPT på en administrert laptop. En utvikler kjører en Claude-desktopapp mot et internt repo. En kundebehandler fôrer kundemeldinger inn i en gratis oversettertjeneste som beholder promptene. Ingenting av dette står i risikoregisteret. Det skjer på endepunktet, hver eneste hverdag, i et volum som overrasker IT-sjefen når jeg viser fram den første uka med telemetri.

Dette er Shadow AI, altså AI-tidens variant av Shadow IT, og dynamikken er den samme. Folk strekker seg etter verktøy som hjelper dem å få jobben gjort, fortere enn sikkerhet rekker å katalogisere eller godkjenne dem. Forskjellen er datasporet. Med Shadow IT havner dataene i det minste i en usanksjonert SaaS-tjeneste dere kan revidere senere. Med Shadow AI lekker promptene ut av perimeteret i det øyeblikket de sendes, og dere sitter igjen uten kopi av hva som gikk ut.

Hva regnes som Shadow AI

Shadow AI er usanksjonert bruk av generativ AI på bedriftsdata, der sikkerhet ikke ser hva som sendes inn eller hva som kommer tilbake. I praksis dekker det et bredere verktøysett enn de fleste SMB-ledere regner med:

• Offentlige chatboter brukt gjennom nettleseren eller som desktop-apper, inkludert ChatGPT, Claude, Gemini, Copilot-varianter og DeepSeek.
• AI-funksjoner som ligger innebygd i SaaS-tjenester foretaket allerede betaler for, der AI-laget ble slått på som standard ved leverandørens neste oppdatering.
• Nettleserutvidelser og side-panel-assistenter som leser åpne faner og sender utvalgt tekst videre til en modell.
• AI-agenter som handler på vegne av brukeren, kaller API-er, leser filer eller skriver til systemer, ofte uten et revisjonsspor et menneske kan lese i ettertid.

CrowdStrikes produktteam beskriver den samme overflaten i AIDR-annonseringen 23. mars 2026, der de trekker fram desktop-AI-apper, MCP-servere og IDE-utvidelser som det nye AI-fotavtrykket på endepunktet. Det stemmer med det jeg ser på sensoren.

Risikoflaten er konkret. Regulerte data (personopplysninger, helse, finans) som forlater perimeteret uten en behandlingsprotokoll. Immaterielle rettigheter limt inn i et gratis nivå som beholder prompter for trening. Prompt-injeksjon, altså manipulert input som styrer modellen, der et forgiftet dokument eller en nettside overtaler en agent til å gjøre noe brukeren ikke mente å be om. Agentisk AI som tar beslutninger som griper inn i interne systemer, uten en logg en compliance-ansvarlig kan hente fram seks måneder senere. Datatilsynet og deres egne kunder kommer til å spørre hvilken modell som behandlet hvilken datapost, og dere må ha et svar.

Det vanlige norske SMB-svaret

Når jeg tar dette opp med et norsk foretak på 40 til 80 ansatte, er svaret som regel det samme: “Vi har en policy som sier nei til ChatGPT.” Noen ganger ligger den på en wiki-side. Andre ganger sto den i en allmøtepresentasjon for seks måneder siden. Én gang lå den i personalhåndboken fra 2024, fra den gangen foretaket hadde tretti ansatte.

Intensjonen er riktig. Gjennomføringen er ufullstendig.

En skriftlig policy uten deteksjon er tro. Dere stoler på at hver ansatt leste den, samtykket til den, og holdt seg til den fredag ettermiddag når tilbudsfristen er klokken 16:00 og Claude kan sammenfatte RFQ-en på et minutt. Noen gjør det. Mange gjør det ikke. De som lar være, sier ikke fra, nettopp fordi de leste policyen.

Det vanskeligere problemet: en flat blokkering på nettverkslaget flytter bruken over på private enheter og hjemmenettverk, der dere ikke ser noe som helst. I en sammensatt onboarding hos et norsk konsulentforetak denne våren var IT-lederen sikker på at proxyen blokkerte alle de offentlige AI-domenene. Den første uka med Falcon-telemetri viste AI-trafikk fra administrerte laptoper som brukte mobil tethering og private kontoer for å gå utenom bedriftsegressen. Arbeidet skjedde fortsatt. Proxyloggene sluttet bare å se det.

Se først, styr deretter

Vårt råd er enkelt: oppdag før dere bestemmer. Etabler synlighetslaget først, se hva som skjer på endepunktene, og skriv så en policy som matcher den virkeligheten dere kan forsvare.

Denne rekkefølgen holder i revisjon. En policy dere kan vise telemetri mot, er en kontroll. En policy dere ikke kan verifisere, er et ønske.

I FM CyberSecuritys AI-sikkerhetspraksis kjører vi deteksjonssteget på endepunktet, fordi AI-trafikken oppstår der uansett hvilket nettverk laptopen er på i øyeblikket. CrowdStrike Falcon AIDR ligger i det deteksjonslaget. Ifølge CrowdStrikes dokumentasjon oppdager AIDR AI-bruk i sanntid på administrerte endepunkter, inkludert desktop-AI-applikasjoner som ChatGPT, Claude, Gemini og Microsoft Copilot, varsler om trusler i prompt-laget (prompt-injeksjon, datalekkasjer, policybrudd), og gir en sanksjonert-versus-usanksjonert oversikt over AI-bruken på tvers av flåten. Desktop-applikasjons-dekningen gikk ut av pre-beta etter CrowdStrikes Q2 2026 GA. AI Discovery i Falcon Exposure Management utfyller bildet ved å liste opp AI-apper, agenter, LLM-runtimes, MCP-servere og IDE-utvidelser som kjører på hvert endepunkt i sanntid.

Charlotte AI, CrowdStrikes agentiske triage-lag (omtalt i vår sak om den agentiske SOC-en), demper støyen som følger med den telemetrien, slik at teamet som leser varslene, leser det som betyr noe.

Den ærlige arbeidsdelingen på Shadow AI: Falcon AIDR oppdager og varsler om AI-trafikk fra administrerte endepunkter. CrowdStrike Falcon Complete Next-Gen MDR kjører 24/7-broen som responderer. FM CyberSecurity tar onboardingen, tuningen, den lokale eskaleringen på norsk, og samtalen med forretningssiden om hva dataene rettferdiggjør som policy. Vi bemanner ikke nattbroen selv.

Hva dere som regel ser de første to ukene

To konkrete mønstre fra nylige første-uke-gjennomganger av telemetri, begge composite-tagget på tvers av flere onboardinger:

• Antallet distinkte AI-tjenester én enkelt endepunktsflåte berører, er høyere enn IT-sjefen forventer. I et sammensatt tilfelle med rundt 50 endepunkter løftet første gjennomgang fram AI-trafikk til omtrent et dusin forskjellige tjenester. Den lange halen var nettleserinnebygde AI-funksjoner i SaaS foretaket allerede betalte for, ikke de overskriftstjenestene policyen hadde navngitt.
• Volumet av AI-aktivitet utenfor arbeidstid er ikke trivielt. Folk bruker disse verktøyene klokken 21:30 en tirsdag fra en administrert laptop på hjemmenettverk. En kontroll som bare ser perimeteret, fanger det ikke. Sensoren gjør det.

Disse to mønstrene er hele argumentet. Dere kan ikke skrive en policy som passer den reelle bruken, hvis dere ikke ennå har sett den reelle bruken.

Hva dere vinner på å snu rekkefølgen

Oppdag først, styr deretter, så beholder dere produktivitetsgevinstene som drev folk til verktøyene i utgangspunktet. Det folk får til med AI er ofte legitimt bedre og raskere. En total blokkering stopper det, og konkurrentene som i stedet etablerte synlighetslaget, kommer til å løpe forbi dere på tilbud, kodegjennomgang, oversettelser, og det dusinet av små oppgaver AI gjør ti ganger raskere.

Det motsatte: dere sender ut en policy som navngir hvilke verktøy som er sanksjonerte, hvilke som krever godkjenning, og hvilke som er utenfor, mot telemetri som viser om policyen holder. Kontrollen er verifiserbar. Personvernombudet har et svar når en kunderevisjon spør hvordan dere styrer modellbruk. Styret eier AI-risikoen på grunnlag av et tall, ikke en parole.

Kjenner dere dere igjen:

• Les hvordan vi løser Shadow AI med Falcon AIDR for det operative bildet av deteksjon, triage og policy-bygging.
• Send denne videre til personvernombudet, den personen som vil måtte svare på modellbruk-spørsmålet først.
• Ta direkte kontakt for en 30-minutters gjennomgang av hva slags AI-trafikk som lekker ut av endepunktene deres i dag.