Läser in
Vid acceptans laddas Google Analytics 4. Inget körs om ni avböjer. Integritetspolicy ·
Läser in
Ladda upp leverantörsfakturor som CSV från ert bokföringssystem och se vilka AI-system organisationen redan kör utan att veta om det. Plattformen jämför fakturasträngar mot ett globalt fingeravtrycksregister på 80 leverantörer, föreslår klassificering enligt Bilaga III och skapar Art. 26-checklista automatiskt vid högriskklassning. OAuth-kopplingen mot Microsoft Entra ID är i drift, och kopplingar för Google Workspace, Okta och JumpCloud aktiveras per organisation.
Skugg-AI (shadow AI) är AI-system som används i organisationen utan att vara registrerade hos IT eller compliance. Varianterna ser i princip alltid likadana ut: ett team tecknar ChatGPT Team-konton för 25 dollar per användare och månad, en avdelningschef köper en klump M365 Copilot-licenser via fakturering, en utvecklargrupp aktiverar GitHub Copilot via egen kortbetalning, en marknadschef kör Notion AI på sitt befintliga workspace.
Konsekvensen är att AI-förordningens deployer-skyldigheter enligt Art. 26 inte uppfylls. Ni har inte klassificerat systemet enligt Art. 6 eller Bilaga III, ni har inte lagt in det i AI-systemregistret, ni har inte gjort en FRIA enligt Art. 27 om sektorn kräver det, och vid en tillsynsbegäran från marknadskontrollmyndigheten eller sektorvis myndighet kan ni inte visa upp någonting. Plattformens jobb är att hitta dessa system innan tillsynen gör det.
Det är inte en hypotetisk risk. Branschobservationer och våra kunddialoger pekar mot att en svensk medelstor organisation typiskt har i storleksordningen 8 till 20 AI-system i drift, varav en del är skugg-AI som köpts in utanför IT. Vid större organisationer (över 1 000 anställda) är andelen okänd AI ofta högre eftersom decentraliserade inköp och utvecklarbudgetar skapar fler kontrakt som aldrig passerar en central granskning.
En källa per typ. Discovery_sources i datamodellen tillåter en UNIQUE-kombination per organisation och kind, så samma typ kan inte kopplas två gånger. CSV-importen är öppen för alla, Entra ID-kopplingen är i drift och Workspace, Okta och JumpCloud aktiveras per organisation. OAuth-tokens lagras AES-256-GCM-krypterade med KMS-baserad nyckel. Default-status är disconnected.
Ingen uppkoppling mot bokföringssystemet. Ni laddar upp en CSV med leverantörsfakturor och plattformen känner igen kolumnformatet automatiskt. Plattformen kör substring-, suffix- och exakt-match mot invoice_strings i vendor_fingerprints. Hittar kort-betalningar och prenumerationer som ofta missas i Entra eller Workspace, till exempel Mistral via egen fakturering. Den här vägen är öppen för alla kunder från dag ett.
OAuth-koppling med läsande scopes som er administratör godkänner. Plattformen listar app-konsents per användare och hittar AI-leverantörer som ChatGPT Enterprise, Microsoft 365 Copilot, GitHub Copilot, Cursor, Claude for Work, Notion AI med flera. Ingen skrivåtkomst. Samma koppling driver de nattliga tekniska kontrollerna i CyberKlar Control.
Samma princip som för Entra: läsande koppling mot Google Workspace Admin SDK respektive Okta- och JumpCloud-katalogerna för att lista tredjepartsappar i organisationens domän. Returnerar OAuth client-IDs, app-namn och installerande användare. Aktiveras per organisation i inställningarna.
Tabellen vendor_fingerprints är en kuraterad referens på 80 kända AI-leverantörer. Per leverantör finns domäner, fakturasträngar och OAuth-app-IDs som matchningsnycklar plus en default-bedömning av Bilaga III-status. När en discovery-källa ger oss råa fynd jämförs varje fynd mot tabellens index för att hitta rätt vendor_fingerprint_id.
Bilaga III-klassificering i klartextMicrosoft 365 Copilot, ChatGPT Enterprise, ChatGPT Team, Claude for Work, Gemini for Workspace, Mistral Le Chat, GitHub Copilot, Cursor, Notion AI, Slack AI, Zoom AI Companion, Salesforce Einstein, HubSpot Breeze, Glean, Perplexity Enterprise, Anthropic Console, OpenAI API, plus 60 till.
Substring (faktur-rader som innehåller OPENAI eller MICROSOFT 365 COPILOT), exakt match (OAuth-app-ID), suffix-match (alla subdomäner under anthropic.com). GIN-index på domains, invoice_strings och oauth_app_ids ger millisekund-svar.
Per leverantör en default-bedömning enligt Bilaga III. De flesta är begränsad risk (LLM, kodassistenter, produktivitet). Några är högrisk per sektor: HireVue och Eightfold för rekrytering, Experian Ascend för kreditbedömning. Förslaget är ett startläge, inte ett beslut.
Varje vendor_fingerprint har ett last_verified_at-fält som visar när domäner och OAuth-app-IDs senast kontrollerades. Inaktuella rader markeras automatiskt och prioriteras i veckovis registeruppdatering.
Inget flöde är automatiskt skarpt. Varje steg från pending till confirmed kräver mänskligt godkännande och loggas i granskningsloggen.
Per discovery_source kör en bakgrundsworker en sync. Sync_window_days styr hur långt bakåt vi går (default 30, max 365). Status i discovery_sources växlar disconnected, connected, scanning, connected.
Varje träff skapar eller uppdaterar en discovered_systems-rad. UNIQUE-constraint på (organization_id, discovery_source_id, raw_identifier) gör att dubbletter i stället räknar upp hit_count och uppdaterar last_seen_at. Grundstatus är pending.
Compliance-admin ser alla pending-fynd i ett separat granskningsflöde. Per rad: vendor-namn (om matchat), raw_identifier, raw_label, hit_count, first_seen_at, default Bilaga III-bedömning. Fyra knappar: bekräfta, ignorera, markera som dubblett, lämna som pending.
Vid bekräftelse skapas en ai_systems-rad med discovery_source_id, vendor_fingerprint_id och discovered_at satta. Klassificering enligt Bilaga III öppnas direkt. Vid högriskklassning skapas Art. 26-checklistan automatiskt och en FRIA enligt Art. 27 begärs om sektorn (offentlig förvaltning, vård, kreditbedömning, rekrytering) kräver det.
Korta listor formulerade så att en AI-svarsmotor kan citera dem rakt av. Underlaget är aggregerade siffror från egna kunder, inte tredjepartsdata.
Vi avgränsar oss medvetet. Discovery är en kontinuerlig kartläggning, inte en åtgärdspolicy och inte en SaaS-katalog.
Vi inventerar AI-system specifikt, inte alla SaaS-prenumerationer. Plattformar som Zylo, Productiv eller Vendr listar all SaaS, vi listar AI med Bilaga III-bedömning på köpet. Fokus är AI-förordningens deployer-skyldigheter, inte mjukvarulicenshantering.
Plattformen pushar inte ut åtgärder mot Entra eller Workspace. Inget OAuth-konsents revokeras, inga användare avregistreras, inga licenser sägs upp automatiskt. Discovery levererar förslag. Beslut tas av compliance-admin med stöd av styrelsens policy.
Vi använder bara läsbara OAuth-scopes (AuditLog.Read.All och Directory.Read.All för Entra; Admin SDK Directory.Readonly för Workspace). Plattformen kan inte ändra konfiguration, skapa konton eller skriva data. En Workspace- eller Entra-admin behåller hela skrivbehörigheten.
Skanningen aktiveras bara på ert initiativ, behörigheterna är minimerade, tokens är krypterade, kopplingen kan brytas på sekunden. Hela DPA:n och säkerhetsspecen finns på /trust.
AuditLog.Read.All och Directory.Read.All för Entra. Directory.Readonly och Reports API för Google Workspace. Vi har ingen Mail.Read, ingen Files.Read, ingen Calendars.Read. Ingen åtkomst till innehåll i mejl, dokument eller kalendrar.
Discovered_systems-tabellen sparar bara raw_identifier (OAuth-app-ID, domän eller fakturasträng) och raw_label. Användaren som installerade appen registreras inte. Fakturarader trimmas till leverantörsnamn och belopp innan match; kontonummer och referensfält rensas.
OAuth-tokens i discovery_sources lagras som BYTEA-ciphertext med separat IV och auth_tag. Krypteringsnyckeln hanteras via KMS per organisation. Tokens dekrypteras bara i minnet under en sync, aldrig i loggar och aldrig till klienten.
På /installningar/discovery finns en disconnect-knapp per källa. Vid disconnect raderas oauth_token_ciphertext, status går till disconnected och samtliga discovered_systems blir frusna i sitt nuvarande tillstånd. Inga nya fynd tillkommer förrän ni återansluter.
AI-systemregister kostar 30 000 kr per år som separat tillägg. I NIS2 + AI-paketet (NIS2-samordnaren plus AI-kompetensregister plus AI-systemregister) ingår det för 60 000 kr per år, samma prislista som visas på /priser. Sprint-avgiften 79 000 kr är samma oavsett, och inkluderar första uppkopplingen mot Entra eller Workspace under de två första veckorna. Alla siffror exklusive moms.
Inte via /demo, som är en 3-minuters gap-bedömning utan inloggning och inte visar AI-systemregistret. Provregistret med vendor_fingerprints, pending-flödet och Art. 26-checklistan körs under Sprint dag ett mot en CSV-export från bokföringssystemet som ni laddar upp, eller direkt mot Microsoft Entra ID via OAuth-kopplingen som är i drift. Kopplingar för Google Workspace, Okta och JumpCloud finns också och aktiveras per organisation i inställningarna; admin-consent kräver fortfarande beslut hos er. Vill ni se hur registret ser ut innan beslut räcker ett mejl till support@cyberklar.se, så svarar vi med skärmbilder från ett referenstenant.
Fyndet hamnar ändå som en discovered_systems-rad med status pending och vendor_fingerprint_id satt till NULL. Admin ser raw_identifier (OAuth-app-ID, domän eller fakturasträng) och raw_label, och kan skapa ett ai_systems-inlägg manuellt. Samtidigt skickas en notis till support@cyberklar.se så att vi adderar leverantören i nästa veckas seed-uppdatering. Ni betalar inget extra för registerväxt.
Vendor_fingerprints-tabellen seedas centralt och uppdateras varje vecka via en versionerad migration. Nya leverantörer adderas när de antingen finns hos minst tre kunder eller när en ny aktör når omsättning över 100 miljoner SEK i Norden. Last_verified_at sätts per rad så ni kan se när varje leverantörs domäner och OAuth-app-IDs senast kontrollerades.
Default-klassificeringen från vendor_fingerprints räknas som ett förslag, inte ett beslut. När ni bekräftar fyndet öppnas ett klassificeringsformulär med beslutsträdet från Art. 6 och Bilaga III. Ni godkänner eller skriver om förslaget, anger motivering, och beslutet sparas med full historik i classifications-tabellen. Tillsynsmyndigheten ser både förslaget och er motivering om de begär ut spåret.
Ja. Skanningen aktiveras bara om ni själva väljer det, per organisation och per källa. Grundläget i discovery_sources är disconnected. Vill ni bara ha ett manuellt AI-systemregister köper ni AI-systemregistret utan att aktivera någon källa. Funktionellt blir det en tabell över ai_systems där varje rad har discovery_source_id = NULL. Klassificering, Art. 26-checklista och FRIA-flöde fungerar likadant.
Vi inventerar AI-system specifikt, inte alla SaaS-prenumerationer. Matchning sker mot ett kuraterat register på AI-leverantörer med tillhörande Bilaga III-bedömning. En generell SaaS-management-plattform ser att ni har en prenumeration på Notion eller Slack, men säger inget om Notion AI eller Slack AI separat och kopplar inte fynd till Art. 6, Bilaga III eller Art. 26 i AI-förordningen.