Hvad er AI governance, og hvor lidt af det I har brug for

AI governance er den måde, en organisation styrer sin brug af AI på: hvem der må bruge hvilke værktøjer, med hvilke data, hvem der har ansvaret, hvordan man ved, at folk kan finde ud af det, og hvad man gør, når det går galt. For en organisation med 5 til 50 ansatte, der bruger AI, men ikke bygger den, kan hele apparatet stå på én side: en AI-politik, en værktøjsliste med grænsen ved datatypen, en navngiven ansvarlig, en log over oplæring og én linje i den hændelsesprocedure, I allerede har. Resten, udvalg, risikoregistre og certificering, er for dem, der udvikler AI eller bruger den til højrisiko-opgaver.

Hovedpointer

• AI governance er styring af AI-brug, ikke et nyt ledelseslag. Det svarer på fem spørgsmål: hvem, hvad, hvilke data, hvem har ansvaret, og hvad sker der ved fejl.
• AI-forordningen (EU AI Act) stiller to krav til almindelige brugere af AI: AI-færdigheder (artikel 4, gældende siden 2. februar 2025) og gennemsigtighed (artikel 50, gældende siden 2. august 2026). Det er dem, jeres governance skal dække.
• Minimumsmodellen er otte elementer på én side. Skemaet står længere nede og kan kopieres.
• ISO 42001 og NIST's rammeværk er skrevet til dem, der bygger AI. I kan låne tre ting fra dem uden at købe pakken.

Indholdsfortegnelse

• Hvad betyder AI governance på dansk?
• Hvem har brug for det store apparat, og hvem har ikke?
• Hvilke fem spørgsmål skal jeres AI governance svare på?
• AI governance på én side: minimumsmodellen
• Hvad kan I låne fra ISO 42001 og NIST uden at købe pakken?
• Hvornår har I for meget governance, og hvornår for lidt?
• Sådan starter I, hvis I har nul i dag
• Kilder

Hvad betyder AI governance på dansk?

Ordet er engelsk, og det bruges også på dansk, fordi ingen oversættelse er slået an. "Styring af AI" er det nærmeste. Governance kommer fra IT-verdenen, hvor det i årevis har betydet: hvem beslutter, hvem har ansvaret, og hvordan kontrollerer vi, at beslutningerne følges. Sat på AI bliver det til de samme tre ting, bare om chatbots, billedværktøjer og de AI-funktioner, der i forvejen ligger i jeres Office-pakke og fagsystemer.

Det er vigtigt at skille to ting ad, fordi de blandes sammen i næsten alt, der er skrevet om emnet:

1. Governance for dem, der udvikler AI. Det er det, de internationale rammeværk handler om: ISO/IEC 42001:2023 (et ledelsessystem for AI, bygget på samme måde som ISO 27001 for informationssikkerhed) og NIST AI Risk Management Framework 1.0 (2023, med de fire funktioner Govern, Map, Measure og Manage). Begge forudsætter, at I har en model eller et system, I selv står bag.
2. Governance for dem, der bruger AI. Det er jer, hvis jeres AI-brug består af ChatGPT, Copilot, Gemini, Claude eller NotebookLM plus de funktioner, leverandørerne har lagt ind i det, I allerede betaler for. Her handler governance om adfærd og data, ikke om modeller.

Denne guide handler om nummer 2. Bygger I selv AI, eller bruger I den til at træffe afgørelser om mennesker (rekruttering, kreditvurdering, sagsbehandling), er I i højrisiko-kategorien, og så er én side ikke nok.

Hvem har brug for det store apparat, og hvem har ikke?

AI-forordningen (EU AI Act) er selv bygget som en trappe, og trappen er den bedste guide til, hvor meget governance I skal have. Forordningen (EU) 2024/1689 ligger på EUR-Lex, og Digitaliseringsstyrelsen forklarer reglerne på digst.dk.

De fleste organisationer med 5 til 50 ansatte står på de to nederste trin. De bruger AI til tekst, billeder, referater og research, og de træffer ikke afgørelser om mennesker med den. Det er godt nyt: jeres governance skal dække artikel 4, artikel 50 og jeres egne data, og det kan gøres uden jurister. Vil I have hele forordningen forklaret først, står den i AI-forordningen forklaret for danske virksomheder.

Hvilke fem spørgsmål skal jeres AI governance svare på?

Rammeværkene bruger mange ord. Kogt ned til det, en kollega spørger om, er der fem spørgsmål, og hvert af dem har en plads i et dokument, I allerede har eller nemt kan lave.

1. Hvem må bruge hvad?

Det er værktøjslisten. Den holder kun, hvis grænsen går ved datatypen og ikke ved værktøjet: en liste, der forbyder alt undtagen ét værktøj, skaber skygge-AI fra dag ét. Se værktøjslisten i grøn, gul og rød og guiden til skygge-AI (shadow AI).

2. Med hvilke data?

Det er datakortet: frie data, interne data og beskyttede data, med eksempler på hvert niveau. Det er det spørgsmål, IT-chefen stiller først, og det, medarbejderne oftest gætter på. Se datakortet med tre niveauer.

3. Hvem har ansvaret?

Én navngiven person med en svartid. Ikke et udvalg. Personen skal kunne svare på "må jeg det her?" inden for to arbejdsdage og må gerne opdatere værktøjslisten uden at spørge ledelsen. Hvordan det skrives ind, står i de interne retningslinjer.

4. Hvordan ved vi, at folk kan?

Det er artikel 4. Svaret er en log: hvilken oplæring, for hvem, hvornår, med hvilket materiale, og hvem der stod for den. Se dokumentationsarket til artikel 4.

5. Hvad gør vi, når det går galt?

Én linje i den procedure, I allerede har for sikkerhedshændelser: fejl, hvor AI var en del af årsagen, meldes samme sted. Se AI-hændelser i den procedure, I allerede har.

Kan I svare på de fem, har I AI governance. Alt derudover er forfinelse.

AI governance på én side: minimumsmodellen

Skemaet herunder er hele apparatet for en organisation, der bruger AI, men ikke bygger den. Kopiér det ind i et dokument, udfyld kolonnen "Hos os", og læg det forrest i jeres AI-politik. Otte rækker, én ansvarlig pr. række, én dato pr. række. De otte elementer er: AI-politik, værktøjsliste, datakort, AI-ansvarlig, oplæringslog, gennemsigtighed, hændelseslinje og leverandørkrav.

To af rækkerne er lovkrav (oplæringsloggen og gennemsigtigheden), og forbuddene ligger i politikkens afsnit om, hvad I ikke gør. Resten er jeres egne valg, og de er der, fordi det er dem, der forhindrer de fejl, der faktisk sker: fortrolige data i et gratis værktøj, en medarbejder, der ikke tør spørge, og et billede, der går ud uden mærkning. Den sidste række er beskrevet i hvad I skal kræve af leverandører, der bruger AI.

Hvad kan I låne fra ISO 42001 og NIST uden at købe pakken?

ISO/IEC 42001 er skrevet til dem, der bygger AI og vil certificeres, med audit, ledelsesevaluering og løbende forbedring. I skal ikke certificeres. Men tre ting fra standarden løser problemer, I faktisk har, og de koster ingenting:

1. Ledelsen ejer det. I ISO 42001 skal topledelsen fastlægge en AI-politik og sikre ressourcer. Oversat: politikken vedtages på et ledelsesmøde, ikke af den, der fik opgaven. Det er også derfor, et beslutningsark virker bedre end at sende tyve sider til gennemlæsning.
2. En fortegnelse over AI-systemer. Standarden kræver overblik over, hvor AI bruges. I kender princippet fra GDPR's fortegnelse over behandlingsaktiviteter (artikel 30). Værktøjslisten er jeres fortegnelse; tilføj en kolonne for de AI-funktioner, der ligger inde i jeres fagsystemer, for det er dem, alle glemmer.
3. En årlig gennemgang. Standarden kalder det ledelsens evaluering. Hos jer er det ét punkt på et ledelsesmøde om året: er listen stadig rigtig, har vi haft hændelser, har alle været igennem oplæring.

NIST's rammeværk (AI RMF 1.0, 2023) tilføjer én tanke, der er nyttig for alle: skel mellem at kortlægge (Map), måle (Measure) og håndtere (Manage). Det meste governance strander på, at man går direkte til regler uden først at kortlægge, hvor AI faktisk bruges. Spørg medarbejderne, før I skriver politikken; svaret overrasker som regel.

Hvornår har I for meget governance, og hvornår for lidt?

For meget viser sig på tre måder. Der findes et AI-udvalg, som mødes kvartalsvis og skal godkende hvert nyt værktøj, så folk holder op med at spørge. Der findes et risikoregister, ingen har opdateret, siden det blev lavet. Og politikken er så lang, at ingen kan svare på, hvad de må, uden at slå op. Fælles for de tre: dokumentet beskytter organisationen på papiret og øger risikoen i praksis, fordi det skubber brugen ud i det uofficielle.

For lidt viser sig også på tre måder. Ingen kan sige, hvem man spørger. Værktøjslisten er "ikke ChatGPT", og ingen ved, hvad de så må. Og ingen kan dokumentere, hvad der er gjort for at leve op til artikel 4, hvis nogen spørger. Det sidste er det eneste af de seks, der er et lovbrud, men de to andre er dem, der giver fejlene.

Testen er den samme som for en AI-politik: kan en ny kollega på sin første dag svare på hvad må jeg, hvad må jeg ikke, og hvem spørger jeg? Kan hun det på under fem minutter, er mængden rigtig.

Sådan starter I, hvis I har nul i dag

Rækkefølgen betyder mere end mængden. Start med beslutningerne, ikke med dokumentet.

1. Kortlæg brugen. Spørg alle, hvilke AI-værktøjer de har brugt den seneste måned, til hvad, og med hvilke data. Anonymt, hvis det skal være ærligt. Det tager en uge og giver jer værktøjslisten og datakortet næsten gratis.
2. Træf beslutningerne på ét møde. Læg de spørgsmål, en politik skal svare på, i et beslutningsark med jeres anbefaling, og lad ledelsen krydse af. Det er det møde, der ellers aldrig bliver holdt.
3. Skriv politikken ud fra beslutningerne. Fem afsnit, én side. Skemaet ovenfor er forsiden.
4. Udpeg den ansvarlige, og sig det højt. Navn, mail, svartid. Det er den enkelte handling, der flytter mest.
5. Hold den første oplæring, og skriv den i loggen. En time for alle, med jeres egen værktøjsliste og jeres eget datakort som materiale. Det er den model, vi har brugt hos Lægemiddelstyrelsen siden 2024: oplæring i niveauer med organisationens egne regler som stof. Så er artikel 4 dækket for i år, og medarbejderne har set, at politikken er til for dem.
6. Læg erklæringen på hjemmesiden, og skriv én linje i hændelsesproceduren. Se AI-erklæring og mærkning. Så er artikel 50 dækket.

Har I allerede et udkast, der er gået i stå, mangler der som regel punkt 2, ikke punkt 3. Det er beslutningerne, der holder dokumentet tilbage, og det er dem, vi hjælper med at få truffet.

Det er hele vejen fra nul til AI governance på én side. Den holder, fordi den er lille nok til, at nogen faktisk vedligeholder den, og fordi de to lovkrav, der gælder jer, er dækket med en log og et afsnit. Skemaet er et arbejdsredskab og ikke juridisk rådgivning. De gældende regler står hos Digitaliseringsstyrelsen (digst.dk/tilsyn/ai-forordningen) og i forordningens tekst på EUR-Lex.

Kilder

• Forordning (EU) 2024/1689 om kunstig intelligens (AI-forordningen), EUR-Lex, 2024: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• Digitaliseringsstyrelsen: Reglerne i AI-forordningen og AI-omnibussen, 2026: https://digst.dk/tilsyn/ai-forordningen/ai-omnibus/
• ISO/IEC 42001:2023, Artificial intelligence management system, International Organization for Standardization, 2023
• NIST AI Risk Management Framework 1.0, National Institute of Standards and Technology, 2023: https://www.nist.gov/itl/ai-risk-management-framework

Bruno Poulsen

Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han har undervist hos Bigum&Co i mere end 10 år og har siden 2024 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og SMV’er på Bornholm via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.