AI Governance🇩🇰 Dansk
AI-governance: hvad er det? Den komplette guide
September 2026·7 min læsning·Brian P.N. Tofft
De fleste virksomheder, vi taler med, ved ikke præcis, hvilke AI-systemer de har i produktion. Ikke fordi de ikke har styr på sig selv, men fordi AI ikke er noget, de aktivt har besluttet at implementere. Det er gledet ind med en SaaS-opdatering, et Copilot-modul eller et automationsværktøj, ingen formelt godkendte. AI-governance er svaret på tre enkle spørgsmål: Ved vi, hvad vi har? Hvem ejer risikoen? Og hvad gør vi, hvis noget går galt? Denne guide samler det, I skal vide: hvad AI-governance er, hvad EU AI Act kræver, og hvordan I kommer i gang uden et stort transformationsprogram.
AI-governance er den styringsmodel, der sikrer, at en organisations brug af kunstig intelligens er dokumenteret, ansvarlig og i overensstemmelse med gældende lovgivning. Det dækker kortlægning af, hvilke AI-systemer der er i brug, klassificering af dem efter risiko, klare retningslinjer for, hvem der må bruge AI til hvad, processer for menneskelig kontrol og dokumentation, der kan lægges frem for myndighederne. Det er ikke anderledes end det, virksomheder allerede gør med GDPR og informationssikkerhed. Det er en udvidelse af den eksisterende styringsmodel, så den også omfatter AI.
Mange virksomheder blander begreberne sammen i deres strategidokumenter, men forskellen betyder noget i praksis. Etisk AI handler om de moralske principper bag teknologien: retfærdighed, menneskelig værdighed og samfundsmæssig påvirkning. Det er de værdier, organisationen ønsker at fremme. Ansvarlig AI er den operationelle disciplin, der omsætter værdierne til praksis: systemer, der er gennemsigtige, sikre og fri for bias. Etisk AI definerer målet, og ansvarlig AI leverer værktøjerne. AI-governance kræver begge dele. Fokuserer man kun på etik, ender man med hensigtserklæringer uden teknisk substans. Fokuserer man kun på det operationelle, risikerer man at bygge sikre systemer, der løser de forkerte problemer.
EU AI Act (forordning 2024/1689) trådte i kraft 1. august 2024 og indfases gradvist. Forbuddene har gældet siden februar 2025, og transparenskravene gælder fra august 2026. Kravene til højrisikosystemer gælder fra 2. december 2027, efter at ændringsforordningen Digital Omnibus rykkede fristen. Det betyder, at virksomheder, der bruger AI i rekruttering, HR-beslutninger eller kreditvurdering, har godt et år til at få dokumentation og menneskelig kontrol på plads. Det lyder af meget, men kortlægning, klassificering og tilpasning af leverandørernes løsninger tager tid. Loven har også ekstraterritorial effekt ligesom GDPR: den gælder for alle, der leverer eller bruger AI-systemer med output i EU, uanset hvor virksomheden hører hjemme. Mange virksomheder tror, de er upåvirkede, fordi de ikke aktivt har besluttet at implementere AI. Det er forkert. AI-funktioner er standardaktiverede i CRM-systemer, HR-platforme og rekrutteringsværktøjer fra de største leverandører på markedet.
EU AI Act inddeler AI-systemer i fire kategorier. Uacceptabel risiko er forbudt, herunder social scoring og visse former for biometrisk overvågning. Høj risiko stiller strenge krav til risikostyring, datakvalitet og menneskeligt tilsyn og gælder bl.a. systemer brugt i rekruttering, kreditvurdering, kritisk infrastruktur og offentlig sagsbehandling. Begrænset risiko handler primært om gennemsigtighed: chatbots skal oplyse brugeren om, at de taler med en maskine, og deepfakes skal mærkes. Minimal risiko har ingen specifikke krav, men god praksis anbefales. Det meste af det, almindelige virksomheder bruger i dag, falder i kategorien minimal eller begrænset risiko. Men det kræver stadig, at man har taget stilling til det. Se hele tidslinjen og kravene på vores side om EU AI Act.
Det er det spørgsmål, de fleste organisationer ikke har svaret på. EU AI Act skelner mellem providere, der bygger AI-systemer, og deployere, der bruger dem. De fleste danske virksomheder er deployere. Som deployer har I selvstændigt ansvar for, at systemet bruges som foreskrevet, at der er menneskelig kontrol ved højrisikobeslutninger, og at brugen kan dokumenteres. Det ansvar kan I ikke outsource til leverandøren. Det er jeres.
Partnership on AI beskriver styring af AI som en stak i tre lag, AI Governance Stack. Modellen er nyttig, fordi lagene påvirker hinanden. Det øverste lag er globale værdier og aftaler, f.eks. UNESCOs anbefaling om etik i kunstig intelligens, som 193 lande vedtog i 2021, og OECD's arbejde med international AI-politik. Det mellemste lag er lovgivning og nationale prioriteter. I Europa er det primært EU AI Act og national databeskyttelseslovgivning, som medlemslandene implementerer med varierende tempo og fortolkning. Det nederste lag er virksomhedens egen styring og de tekniske standarder: testprotokoller, datakvalitetstjek, sikkerhedsforanstaltninger og klare svar på, hvem der ejer risikoen, hvem der godkender nye AI-projekter, og hvem der eskalerer til ledelsen. Det er det lag, de fleste organisationer mangler at have på plads. Uden det forbliver lovgivningen teoretisk.
AI-governance kan ikke fungere isoleret fra virksomhedens øvrige IT-styring. Enterprise arkitektur leverer det fundament, AI-systemerne bygger på. En stærk EA-praksis sikrer, at data flyder korrekt mellem systemer, og at sikkerhedskrav overholdes på tværs af platforme. Når nye AI-løsninger introduceres, skal de vurderes ud fra både et compliance-perspektiv og et arkitektonisk perspektiv. Vi starter altid med forretningsværdien, sikrer derefter, at datagrundlaget er validt og lovligt at bruge, og vælger først til sidst den konkrete platform. Et Architecture Board, der godkender nye systemer og holder dem op mod virksomhedens standarder, er ofte det naturlige sted at forankre AI-governance. Ikke i et nyt parallelt udvalg, men i den styringsstruktur, der allerede findes. Læs mere om samspillet i AI-governance vs. EA-governance og i nyhedsbrevet Klarsynet fra september 2026.
For de fleste virksomheder er startpunktet en kortlægning: hvilke AI-systemer er i brug, hvad bruges de til, og hvad er risikoklassen? Det er ikke et stort projekt, men et struktureret arbejde, der typisk tager en til to uger og giver et konkret beslutningsgrundlag. Hos We Lead Projects arbejder vi i tre faser. Først kortlægningen med et AI Systems Audit, der identificerer alle AI-systemer og SaaS-løsninger i brug, klassificerer dem efter EU AI Acts risikoklasser og leverer en gap-analyse og en 90-dages handlingsplan. Derefter strukturen: politikker, ejerskab, beslutningsveje og risikomodel integreret i de eksisterende processer via vores AI Governance Accelerator, typisk på 6-8 uger. Til sidst implementeringen, for governance, der ikke implementeres, er bare et dokument.
Hvad vi har lært er, at svarene sjældent er komplicerede. Hvem godkender nye AI-projekter? Hvem sikrer menneskelig kontrol ved kritiske beslutninger? Hvem rapporterer AI-risiko til ledelsen? Udfordringen er, at ingen har stillet spørgsmålene endnu. Ud fra vores erfaringer finder en kortlægning typisk væsentligt flere AI-systemer, end virksomheden selv regnede med, fordi de fleste er kommet ind via leverandøropdateringer. Derfor begynder vi aldrig med politikker. Man kan ikke styre det, man ikke kender.
EU AI Act håndhæves. Bøder for overtrædelse af kravene til højrisikosystemer kan nå op til 15 millioner euro eller 3 procent af den globale omsætning. Det er ikke det sandsynlige udfald for en mellemstor dansk virksomhed, der handler i god tro. Men det er konsekvensen, hvis man har et system i højrisikokategorien og ingen dokumentation at vise frem. Den større risiko for de fleste virksomheder er omdømmet: det scenarie, hvor en AI-fejl i organisationen skaber negativ omtale, og I ikke kan dokumentere, at I vidste, hvad systemet gjorde.
Det overordnede ansvar ligger hos ledelsen, men den daglige drift kræver tæt samarbejde mellem IT, jura og forretningsenhederne. En tværfaglig styregruppe kan sikre bredden, men nogen skal have mandat til at træffe beslutningen. Et udvalg uden mandat er ikke ejerskab.
Sjældent. Identificer højrisikosystemerne, og sæt dem på pause, mens de vurderes, hvis det er nødvendigt. Resten kan køre videre. En pragmatisk tilgang tager de mest kritiske processer først.
Kravene afhænger af systemets risikoniveau, ikke af virksomhedens størrelse. SMV'er, der udvikler eller anvender højrisikosystemer, skal dokumentere lige så grundigt som store koncerner. For de fleste SMV'er handler det i praksis om transparens og om at vide, hvilke systemer de bruger. Se forpligtelser, lempelser og en konkret tjekliste i vores guide til AI Act for SMV'er.
Det første skridt er en komplet kortlægning af alle AI-systemer, der bruges eller udvikles i organisationen, inklusive tredjepartsløsninger og skygge-IT. Kortlægningen er grundlaget for alt det andet.
Arbejdet med AI-governance slutter aldrig. Teknologien og lovgivningen ændrer sig, og nye systemer kommer til. Start med at kortlægge jeres nuværende systemer og vurdere dem ud fra kravene i EU AI Act. Etabler derefter klare retningslinjer for, hvordan medarbejderne må bruge AI i det daglige, og byg dem ind i jeres Enterprise Architecture, så de bliver en naturlig del af driften. Hos We Lead Projects har vi gennemført AI Systems Audits for virksomheder i finans, retail og offentlig sektor. Kontakt os for at høre, hvad et forløb vil koste for jeres organisation.
Brian P.N. Tofft
Managing Partner, We Lead Projects
Brian har mere end 30 års erfaring med projektledelse og IT-transformationer på tværs af brancher.
Kontakt os og hør hvordan vi kan hjælpe med dit næste projekt.
Kontakt os