AI-governance er aftalen om, hvem der godkender brugen af AI i virksomheden, hvordan overblikket holdes, og hvem der følger op. Spørgsmålet bliver reelt, når AI bruges i flere afdelinger eller selskaber, for så kan ingen enkelt leder se det hele. To værktøjer gør det håndterbart: et register, der viser, hvad der er i brug, og et lille råd, der afgør sagerne. AI-forordningen kræver ingen af delene af en virksomhed, der bruger AI. Vi anbefaler dem alligevel, fordi pligterne i forordningen ellers er svære at leve op til. Herunder står, hvordan I sætter det op, og hvad reglerne reelt siger i november 2026.
Hvad virksomheden skal afgøre
På ekstern-it-chef.dk findes AI-politikken på én side, som dækker den mindre virksomhed. Selve rollen som ansvarlig for AI-anvendelse hører til på ekstern-it-ledelse.dk. Denne artikel handler om det, der følger, når ét menneske og én side ikke længere rækker, fordi anvendelsen er spredt på afdelinger, selskaber og leverandører.
Fire beslutninger går igen. Hvem må godkende en ny anvendelse? Hvad skal registreres, og af hvem? Hvad må kun bruges under særlige betingelser? Hvem bliver orienteret, og hvem har ansvaret, når noget går galt? Hvad GDPR kræver af de samme løsninger, skal afklares af jeres DPO eller advokat, og det er uden for denne artikel.
Register: overblikket
Et register er en liste over de AI-systemer og anvendelser, virksomheden bruger. Det er en anbefaling, vi giver, for forordningen kræver ikke et samlet AI-register for hele virksomheden hos en idriftsætter. Uden overblik er det til gengæld svært at vurdere, om noget er højrisiko, og at følge op.
Et register behøver ikke være større end et ark. Det skal vise:
- anvendelsen og den forretningsmæssige ejer,
- hvilket system eller værktøj der bruges, og hvem leverandøren er,
- hvilke data der indgår,
- om løsningen er vurderet som højrisiko, og hvem der har vurderet det,
- hvem der bruger den, og hvad brugerne har fået at vide,
- hvornår systemet blev taget i brug, og hvornår det sidst blev ændret væsentligt,
- hvornår anvendelsen senest er set igennem.
Når I får nye forsøg ind, kobles registeret til porteføljen. Se AI-piloterne, der ikke kommer i drift.
Råd: hvem godkender
Forordningen kræver heller ikke et AI-råd. Også det er et ledelsesværktøj, vi anbefaler, når sagerne er flere, end én leder kan afgøre. Hold rådet lille: en forretningsleder som formand, CIO eller IT-chef, en fra jura eller compliance, og den, der har ansvaret for sikkerhed og databeskyttelse. Giv rådet et kort kommissorium med de samme punkter som en IT-styregruppe.
Rådet behøver ikke se alt. En enkel opdeling er nok:
- Almindelig brug af godkendte værktøjer kræver ingen særskilt godkendelse.
- Ny anvendelse med virksomhedsdata registreres og vurderes kort af en ansvarlig.
- Anvendelser med større konsekvens for kunder eller medarbejdere går til rådet.
- Mulige højrisikosystemer og alt, der rører forbuddene, går til rådet og juridisk vurdering, inden noget tages i brug.
Rådet skal passe ind i lagene i jeres governance. Rådet kan være en fast del af IT-styregruppen eller et særligt møde med samme formand, så I undgår en ny, selvstændig mødekæde.
Det, forordningen faktisk siger
AI-forordningen er ændret ved forordning (EU) 2026/1744, der trådte i kraft 27. juli 2026. Teksten nedenfor er skrevet ud fra de gældende regler.
Idriftsætter. Det er den, der under sin myndighed bruger et AI-system. Det er vores læsning, at brug af købte sprogværktøjer gør virksomheden til idriftsætter. Grænsen til udbyder ved interne AI-løsninger er uafklaret. I kan være udbyder, der ventes vejledning, og det er et spørgsmål til advokat.
AI-færdigheder (art. 4). Idriftsættere skal træffe foranstaltninger til at støtte udviklingen af AI-færdigheder hos personale og andre involverede. Forpligtelsen pålægger ikke at garantere et bestemt niveau hos nogen enkeltperson.
Forbud (art. 5). Forbudte former har gældt siden 2. februar 2025. Nye forbud gælder fra 2. december 2026. De vedrører AI, der laver intimt materiale uden samtykke eller materiale, der viser seksuelt misbrug af børn. For idriftsættere gælder de, når systemet bruges med det formål (art. 5, stk. 1a).
Gennemsigtighed (art. 50). Reglerne gælder siden 2. august 2026. Udbydere af systemer, der allerede var på markedet, har dog frist til 2. december 2026 for mærkningskravet i stk. 2 (art. 111, stk. 4), så mærkning i købte værktøjer kan mangle indtil da. Hvad reglerne betyder for den enkelte anvendelse, må afklares konkret.
Højrisiko (art. 26). Pligterne omfatter blandt andet brug efter brugsanvisningen, menneskeligt tilsyn ved personer med kompetence og myndighed, overvågning, logfiler og information til medarbejdere. Før et højrisikosystem tages i brug på arbejdspladsen, skal arbejdsgivere informere arbejdstagerrepræsentanter og de berørte arbejdstagere. Højrisikoreglerne gælder fra 2. december 2027 for systemer i bilag III og fra 2. august 2028 for systemer i bilag I. Er et højrisikosystem bragt i omsætning eller taget i brug før datoen, gælder reglerne som udgangspunkt først, hvis det derefter ændres betydeligt i sin udformning (art. 111, stk. 2). Derfor skal datoerne stå i registeret.
Dansk lov. Lov nr. 467 af 14. maj 2025 gælder. Lovforslag L 3 er fremsat 7. oktober 2026 og er ikke vedtaget, da denne artikel skrives. Forslaget vil afløse lov nr. 467 og samle tilsyn og straf, se AI-loven. Status skal kontrolleres, inden I bygger noget på det.
Forbindelsen til ledelsesansvaret
Hvor langt ansvaret går, afhænger af jeres forhold og af anvendelsen. I praksis bør AI behandles som andre risici, der kan ramme forretningen, med en ejer, en vurdering og en rapportering. Det er en naturlig del af det, direktionen og bestyrelsen får i den faste IT-rapportering. Sammenhængen med data er også tæt, for mange af beslutningerne afhænger af, hvem der ejer data.
Hvad gør I nu?
Begynd med listen. Bed afdelinger og selskaber melde, hvad de bruger, og skriv svarene ind i et enkelt register. Udpeg derefter en leder, der ejer området, og beslut, om I har brug for et råd, eller om sagerne kan ligge i et eksisterende forum. Få til sidst vurderet, om noget kan være højrisiko eller rører forbuddene. Det sidste skal en jurist se på.
Det skal I lade være med
- At skrive, at et råd eller register er et lovkrav · det er ledelsesværktøjer, vi anbefaler.
- At starte med en lang politik · overblikket skal komme først.
- At bygge på et lovforslag · følg de regler, der gælder, og hold øje med L 3.
- At lade AI ligge hos IT alene · anvendelsen ejes af forretningen.
Det skal I kræve af dem, der leder IT
- ☐ Et register med ejer, leverandør, data og vurdering for hver anvendelse.
- ☐ En kort beskrivelse af, hvad der kræver godkendelse.
- ☐ En plan for at støtte AI-færdigheder hos dem, der bruger værktøjerne.
- ☐ Besked til direktionen, når en anvendelse kan være højrisiko.
- ☐ Kontrol af reglernes status, når der kommer nyt.
Kilder
- Forordning (EU) 2024/1689 om kunstig intelligens: art. 3, 4, 5, 26, 50 og 111 samt art. 113.
- Forordning (EU) 2026/1744 om ændring af AI-forordningen: ændringerne af art. 4, 5, 111 og 113 og ikrafttræden.
- Kommissionens oversigt over AI-forordningen: konsolideret oversigt, ikke en retskilde.
- Lovforslag L 3 på Retsinformation: §§ 17 og 19. Forslag, ikke vedtaget.
Senest gennemgået: november 2026.
Næste skridt
Læs også: AI-piloterne kommer aldrig i drift · Data governance
→ Kontakt · Tlf. 70 13 63 23 · Ekstern CIO hos Nielco IT
