Hvad opslaget faktisk beder om
Opslaget ligger i Google Workspace Marketplace under navnet Grok, udgivet af SpaceXAI og senest opdateret den 21. juli 2026. Det koster ingenting, har passeret seks tusind installationer og kører inde i Docs, Sheets og Slides. At installere det kræver omtrent samme indsats som at tilføje en browserudvidelse, og det efterlader ingen spor i noget system, som din økonomiafdeling holder øje med.
Tilladelserne er den del, man skal læse langsomt. Opslaget beder om at se, redigere, oprette og slette alle Google Docs-dokumenter og gøre det samme med alle Google Slides-præsentationer. Det beder desuden om at se og administrere regneark, hvor det er installeret, om at forbinde sig til eksterne tjenester, om at vise og køre webindhold fra tredjeparter i indtastningsfelter og sidepaneler, og om at læse kontoens primære mailadresse. Ordet, der udfører arbejdet, er alle. Det er ikke adgang til dokumentet på skærmen. Det er adgang til hele den dokumentmasse, kontoen kan nå, og den omfatter i en almindelig virksomhed hver eneste fil, en kollega nogensinde har delt med den person.
Leverandørvalget ligger hos den, der trykker Installer
Derfor betyder det noget: valget af, hvilket AI-selskab der behandler dine forretningsdokumenter, træffes nu af den, der trykker Installer, og ikke af nogen, der har læst en kontrakt. Indkøb blev bygget til at opfange leverandører, der kommer ind ad hoveddøren med faktura, sikkerhedsspørgeskema og underskrift. Markedspladsen for tilføjelsesprogrammer er en sidedør, der altid har stået åben, og en førende model er lige gået igennem den.
Kontrollen findes faktisk. I Googles administrationskonsol går vejen fra Menu til Apps, derefter Google Workspace Marketplace-apps, derefter applisten, derefter installationsindstillinger for brugere, og den tilbyder tre tilstande: brugere må installere alle apps, kun tilladte apps, eller ingen apps. Det er hele beslutningen, og de fleste organisationer har aldrig åbnet siden for at se, hvilken af de tre de kører.
Listen over tilladte apps rummer en detalje, der skærer begge veje. Googles egen dokumentation fastslår, at listen omfatter brugere, hvor Administrer adgang til apps er sat til kun at tillade godkendte apps, så en liste, der bygges mens indstillingen bliver stående på alle apps, er ren pynt. Den samme dokumentation er kontant den anden vej: brugere mister adgangen til en app, når du fjerner den fra listen, selv om de stadig har den installeret. Inddragelsen virker, og den rækker ind i installationer, du aldrig har godkendt.
Outlook følger en anden stige
Det samme selskab leverede et Grok-tilføjelsesprogram til Outlook gennem Microsoft Marketplace efter samme distributionslogik: almindelig markedsplads, almindelig installation, ingen virksomhedsaftale undervejs. Microsoft styrer mailtilføjelsesprogrammer med fire kumulative tilladelsesniveauer i stedet for en liste over områder. De hedder restricted, read item, read/write item og read/write mailbox, og hvert niveau indeholder dem under sig.
Det øverste trin fortjener et minuts opmærksomhed. Microsoft beskriver read/write mailbox som den tilladelse, der giver et program lov til at læse og skrive alle egenskaber på ethvert element i postkassen, at oprette, læse og skrive enhver mappe eller ethvert element, og at sende et element fra den postkasse. Afsendelsen er linjen, man skal dvæle ved, for et program på det niveau læser ikke din post, det deltager i den. Microsoft fortæller også, hvor man kigger: de ønskede tilladelser står i opslaget før installation, og de krævede tilladelser for allerede installerede programmer kan ses i Exchange Administration. Kontrollér det niveau, din organisation reelt har givet, i stedet for at antage det, for kun der er svaret autoritativt.
Din databehandleraftale rækker ikke så langt
Efter databeskyttelsesforordningen er din virksomhed dataansvarlig for de personoplysninger, der ligger i de dokumenter og postkasser: kundenavne, personalesager, priser, alt hvad en virksomhed i drift skriver ned. Enhver tredjepart, der behandler de oplysninger på dine vegne, skal have en databehandleraftale efter artikel 28. Det er ikke en formalitet, juridisk afdeling kan rette op på bagefter, men det instrument, der fastlægger, hvad databehandleren må gøre med oplysningerne, og hvad der sker med dem, når opgaven er slut.
De aftaler, du allerede har, dækker Google og Microsoft. De strækker sig ikke til en selvstændig udgiver, der driver sin egen tjeneste på egne vilkår, og opslaget siger det lige ud: privatlivspolitikken og servicevilkårene peger begge på udgiverens eget domæne og ikke på din Workspace-aftale. I Danmark behandler Datatilsynet den dataansvarliges omhu over for sine databehandlere som en levende pligt og ikke som et papir, der arkiveres, og en virksomhed, hvis medarbejdere har installeret et AI-program hen over hele dokumentbeholdningen, har taget en databehandler ind, som den aldrig har vurderet.
Prisen på nul kroner er præcis det, der går uden om hele apparatet. Der faktureres ingenting, så der oprettes ingen indkøbsordre, så ingen beløbsgrænse for godkendelse overskrides, så den leverandørvurdering, en betalt licens automatisk ville have udløst, kører aldrig. Gratis software er ikke det samme som fri for forpligtelser, og det billigste værktøj i din portefølje kan bære den bredeste dataadgang i sig.
Indstillingen, du bør tjekke inden fredag
Begynd med opgørelsen frem for politikken. Åbn administrationskonsollen, læs listen over markedsplads-apps, dine brugere allerede har installeret, og notér, hvilken af de tre installationstilstande du kører. Er den sat til alle apps, har du ikke valgt en leverandørpolitik, du har valgt ikke at have en. Gør derefter det tilsvarende i Exchange Administration for Outlook-tilføjelsesprogrammer, og læs det tilladelsesniveau, hvert enkelt angiver. Regn med de 24 timer, Google advarer om, når du ændrer indstillingen, og netop derfor hører opgaven til en rolig torsdag og ikke midt i en hændelse.
Den bredere lære overlever dette ene program. App-markedspladsen er i dag en indkøbskanal, og den er den eneste i din virksomhed uden godkendelsestrin, uden faktura og uden vurdering af modparten. Behandl en installationsanmodning, der forlanger alle dokumenter, som du ville behandle en leverandør, der beder om en kopi af filserveren, for funktionelt er det den samme anmodning. Problemet er ikke programmet, men at ingen var nødt til at spørge dig.
Læs videre: Udskift hver eneste hemmelighed, Grok Build nogensinde har set | Modelbyggeren sagsøgte, før loven trådte i kraft
