AI-governance er nu også en ledelsesopgave. Men det betyder ikke, at bestyrelsen skal ned i teknikken. Den skal sikre, at virksomheden ved, hvor AI bruges, hvem der ejer konsekvenserne, og hvornår ledelsen skal reagere.
AI er flyttet hurtigere ind i virksomhederne, end de fleste styringsmodeller har kunnet følge med til. Medarbejdere bruger skriveassistenter. Udviklingsteams bygger AI ind i produkter og arbejdsgange. Leverandører tilføjer funktioner, som fra den ene opdatering til den næste kan ændre både databrug og beslutningsstøtte.
Det rejser et naturligt spørgsmål i bestyrelseslokalet. Hvor tæt skal bestyrelsen egentlig på?
Svaret er hverken, at bestyrelsen skal godkende den enkelte prompt, eller at AI kan overlades til IT. Bestyrelsens opgave er at sikre en forsvarlig ramme for de beslutninger, der træffes længere nede i organisationen. Den skal kunne se, om ambition, risikovillighed, ansvar og kontrol hænger sammen.
Det er klassisk virksomhedsledelse. Teknologien er ny, men ledelsesdisciplinen er grundlæggende genkendelig.
AI er ikke ét risikoområde
En almindelig fejl er at gøre AI-forordningen til hele dagsordenen. Forordningen er central, men den er ikke en samlet facitliste for virksomhedens risiko.
Et AI-system kan være lavrisiko efter AI-forordningen og samtidig være kritisk for virksomheden. En intern assistent kan eksempelvis få adgang til fortrolige dokumenter. En generativ model kan levere fejlbehæftet rådgivning til kunder. Et planlægningsværktøj kan påvirke driften, selv om det ikke falder i en højrisikokategori efter loven.
Omvendt er det heller ikke hensigtsmæssigt at behandle enhver AI-funktion som et kreditbeslutningssystem eller et medicinsk produkt. Hvis alle anvendelser mødes med samme kontrolniveau, bliver governance en flaskehals. Resultatet kan blive, at medarbejderne går uden om den godkendte vej.
Ledelsen har derfor brug for mindst tre spor på samme tid:
- den retlige klassifikation efter blandt andet AI-forordningen og GDPR
- virksomhedens egen vurdering af konsekvens for kunder, medarbejdere, drift, omdømme og økonomi
- data- og sikkerhedsklassifikationen, som afgør, hvilke oplysninger der må bruges hvor
De tre vurderinger skal forbindes, men de må ikke forveksles.
Bestyrelsens opgave er at sætte retningen
Bestyrelsen bør først tage stilling til, hvad virksomheden vil med AI. Uden en positiv retning bliver governance let et katalog over forbud. Uden tydelige grænser bliver ansvaret i praksis skubbet ud til den enkelte medarbejder.
Det centrale er at fastlægge virksomhedens risikovillighed. Hvilke anvendelser ønsker man at fremme? Hvilke data må indgå? Hvor kræves menneskelig kontrol? Hvilke processer må ikke gøres fuldautomatiske? Hvor stor leverandørafhængighed er acceptabel? Og hvilke hændelser skal rapporteres hurtigt?
Bestyrelsen skal også sikre, at der findes reelle beslutningsrettigheder. Hvem ejer det enkelte use case? Hvem kan acceptere en restrisiko? Hvem kan stoppe et system? Hvem følger op, når leverandøren ændrer modellen eller vilkårene?
En AI-komite kan være nyttig, men en komite er ikke governance i sig selv. Den skaber kun værdi, hvis mandat, tærskler og eskalationsveje er klare. Hvis alt skal forbi et centralt forum, bliver organisationen langsom. Hvis intet skal eskaleres, bliver kontrollen symbolsk.
Porteføljen skal kunne ses fra toppen
Bestyrelsen behøver ikke en liste over alle prompts. Den har brug for et samlet billede af virksomhedens AI-portefølje.
En brugbar ledelsesrapport kan bl.a. vise:
- de mest væsentlige AI-systemer og anvendelser
- væsentlige data-, sikkerheds- og kvalitetshændelser
- afvigelser fra fastlagte krav og status for korrigerende handlinger
- resultater fra validering, kontroltest og menneskelige tilsidesættelser
- realiseret forretningsværdi sammenholdt med business casen
Det sidste punkt er vigtigt. Governance må ikke kun rapportere risiko. Hvis ledelsen ikke kan se, om AI faktisk forbedrer kvalitet, produktivitet, kundeservice eller risikostyring, mangler halvdelen af beslutningsgrundlaget.
Antal licenser eller prompts er heller ikke et mål for succes. Høj aktivitet kan være værdiskabende, men kan også dække over ineffektive processer, ukritisk brug eller en voksende afhængighed af en leverandør.
Reglerne gør timingen relevant
Hovedparten af EU’s AI-forordning har fundet anvendelse siden 2. august 2026. Forbudte AI-praksisser og kravene om relevante tiltag for AI-færdigheder har været gældende siden 2. februar 2025. Reglerne for visse højrisikosystemer har efter AI Omnibus fået senere anvendelsesdatoer, men det gør ikke perioden frem til da risikofri.
Et register, adgangskontrol, dokumentation, træning og leverandørstyring kan ikke etableres med tilbagevirkende kraft, når en løsning allerede er blevet kritisk for driften. Det samme gælder de spor, der skal vise, hvorfor et system blev godkendt, og om betingelserne fortsat er opfyldt.
For finansielle virksomheder er ledelsesansvaret desuden allerede tydeligt gennem DORA. For enheder omfattet af NIS 2 skal cybersikkerhedsforanstaltninger godkendes og følges af ledelsen. AI skal indpasses i disse styringssystemer, når teknologien er en del af IKT-miljøet. Den bør ikke behandles som et særskilt innovationsprojekt ved siden af den øvrige risikostyring.
God governance kan øge tempoet
Der er en udbredt forestilling om, at mere governance nødvendigvis betyder langsommere innovation. Det er kun rigtigt, hvis styringen er dårligt designet.
En proportional model gør det modsatte. Lavkonsekvens-anvendelser kan følge en standardiseret og hurtig vej. Mere følsomme anvendelser udløser ekstra kontrol. De mest kritiske løsninger kræver uafhængig validering, formel risikogodkendelse og tættere overvågning.
Når medarbejdere og ledere på forhånd ved, hvad der er tilladt, hvilke data der må bruges, og hvornår en specialist skal involveres, falder usikkerheden. Det gør det lettere at gå fra pilot til drift.
Bestyrelsens rolle er derfor ikke at bremse AI. Den er at sikre, at virksomheden kender den forsvarlige vej frem.
Tre spørgsmål til ledelsen
- Kan vi i dag se vores væsentligste AI-systemer, deres formål, ejere, data og leverandører i ét samlet porteføljebillede?
- Har vi fastlagt, hvilke AI-risici forretningen kan acceptere, og hvem der har ret til at godkende, eskalere og stoppe?
- Får bestyrelsen rapportering, der viser både forretningsværdi og kontrolkvalitet, eller ser vi primært aktivitet og licensforbrug?
Sådan kan Conformance bidrage
Conformance kan tilrettelægge en målrettet drøftelse for bestyrelse eller direktion med udgangspunkt i virksomhedens egne AI-anvendelser, regler og beslutningsbehov. Derefter kan vi gennemgå den nuværende styring og dens mangler, udarbejde en prioriteret plan og fastlægge få, klare nøgletal til ledelsen.