Når nogen foreslår at bruge AI til en konkret opgave, kan idéen være enkel at beskrive og alligevel svær at få afgjort. Hvis ingen kan svare på, hvad AI skal bruges til, hvad der skal være på plads, og hvem der træffer beslutningen, bliver næste skridt uklart.

Det kræver ikke, at virksomheden først har afsluttet et stort AI-program. Men virksomheden skal have en anvendelig måde at få sagen frem til et ja, et nej eller en eskalering. Uden den kan samme sag ende hos flere funktioner uden at have et tydeligt sted at lande.

Det er her, AI-styring kan opleves som langsom. Ikke fordi en vurdering i sig selv er et problem, men fordi behandlingen af sagen ikke er gjort tydelig. Denne artikel handler ikke om, hvem der overordnet ejer AI i organisationsdiagrammet. Den handler om, hvordan et konkret forslag om at bruge AI når frem til en beslutning.

En beslutning skal have et sted at lande

Det er helt rimeligt, at forskellige fagligheder har noget at bidrage med. Sikkerhed kan have spørgsmål til data. Jura kan have spørgsmål til rammerne. Indkøb kan skulle undersøge leverandøren. Forretningen kan have brug for at vide, om sagen kan gå videre.

Men deltagelse er ikke det samme som en afgørelse. Hvis en sag skal forbi flere funktioner, uden at det er aftalt, hvem der samler vurderingen og træffer den næste beslutning, kan hver enkelt vurdering være relevant, mens sagen stadig mangler en vej frem.

En politik kan beskrive, hvad virksomheden ønsker. Den kan ikke i sig selv fortælle, hvad der skal ske med det næste konkrete forslag. Det samme gælder et udvalg. Det kan være det rigtige sted for nogle sager, men det er ikke et svar på, hvor alle sager skal begynde eller slutte.

Målet er derfor ikke at fjerne vurderinger. Målet er at gøre det synligt, hvornår de er nødvendige, hvad de skal besvare, og hvem der bringer sagen videre bagefter.

NISTs AI Risk Management Framework er frivillig inspiration, ikke en færdig opskrift for danske virksomheder. Rammen peger blandt andet på dokumenterede roller, ansvar og kommunikationslinjer i arbejdet med AI-risici. Det er et nyttigt princip her: Den, der rejser en sag, skal kunne se, hvor den går hen, og hvad der skal ske, før der træffes en beslutning.

Tre spørgsmål, før sagen går videre

En enkel beslutningsvej kan begynde med tre praktiske spørgsmål. De handler ikke om at opfinde en ny titel eller bygge et tungt system. De handler om den sag, der ligger på bordet nu.

Hvad skal AI bruges til?

Start med at beskrive forslaget så konkret, at andre kan tage stilling til det. Hvad skal AI-værktøjet bruges til? Hvem skal bruge det? Hvilke oplysninger indgår? Og hvordan skal resultatet indgå i arbejdet?

Det er ikke nødvendigt at starte med en teknisk afhandling om modelvalg. Det vigtige er den praktiske brug. Et internt hjælpemiddel til tekstudkast rejser ikke nødvendigvis de samme spørgsmål som brug af AI, der berører kundedata eller får betydning for en beslutning om mennesker.

En klar beskrivelse gør ikke sagen ufarlig. Den gør det muligt at se, hvilken behandling den har brug for. Uden den beskrivelse kommer diskussionen let til at handle om teknologi i almindelighed, mens ingen tager stilling til det konkrete forslag.

Hvad skal være på plads?

Det næste spørgsmål er ikke, hvor mange mennesker der skal involveres. Det er, hvad der skal være på plads, før nogen kan træffe en afgørelse på et ordentligt grundlag.

I nogle sager kan det være en enkel afklaring af, hvilke oplysninger der må bruges. I andre kan der være brug for at vurdere leverandøren, den konkrete brug af AI eller den måde, resultatet skal bruges på. Det afgørende er at gøre kravene synlige for den konkrete sag, så en vurdering ikke bliver en åben opgave uden slutpunkt.

Det kan være nyttigt at arbejde med forskellige spor, for eksempel lav, mellem og høj risiko. Det er ikke en juridisk klassifikation. Det er en praktisk måde at afgøre, hvilken forberedelse og behandling sagen kræver. Organisationen skal kunne forklare, hvorfor to sager behandles forskelligt.

Hvor og hvornår lander beslutningen?

En sag skal have et sted at lande og en forventning til, hvornår det sker. Det betyder ikke, at alle beslutninger skal træffes hurtigt, eller at de skal træffes af den samme person.

En enklere sag kan måske afgøres tættere på det arbejde, den vedrører. En sag med større eksponering kan kræve en anden beslutningstager eller en tydelig eskalering. Det afgørende er, at det er klart, hvor sagen skal hen, når det nødvendige grundlag er på plads.

Uden en forventning til, hvornår sagen bliver afgjort, er det svært at planlægge arbejdet, og en ellers tydelig proces kan stadig opleves som en blindgyde. Virksomheden må selv fastlægge et rimeligt tempo for sine forskellige spor. Der findes ikke én frist, som passer alle.

De tre spørgsmål hænger sammen. En sag kan være godt beskrevet og stadig gå i stå, hvis ingen ved, hvad der skal være på plads. Den kan være grundigt vurderet og stadig mangle en vej frem, hvis ingen ved, hvor og hvornår beslutningen falder. Beslutningsvejen skal samle de tre ting.

Start med den næste sag

Det kan være fristende at begynde med en strategi, en ny politik eller et samlet overblik over alle AI-værktøjer. Det kan også blive nødvendigt. Men det første skridt kan være mere jordnært: Tag den næste sag om AI, der mangler en beslutning, og brug den til at se, hvordan beslutninger faktisk bliver taget hos jer.

Skriv kort, hvad AI skal bruges til, og i hvilken sammenhæng. Aftal derefter, hvilke vurderinger der skal være på plads. Find til sidst det sted, hvor afgørelsen lander, og hvornår der skal ligge en beslutning eller en eskalering.

Hvis et af de tre trin er uklart, har I et konkret arbejde at tage fat på. Måske mangler sagen en bedre beskrivelse. Måske er det uklart, hvilke vurderinger der er nødvendige. Måske er der ingen tydelig vej fra vurdering til afgørelse. Det er mere brugbart at få øje på det i en virkelig sag end at forsøge at forudsige alle fremtidige måder at bruge AI på én gang.

Det er heller ikke en øvelse i at fjerne forsigtighed. Tværtimod. En tydelig behandling kan gøre det lettere at bruge tiden på de sager, der kræver mere, uden at alle andre sager behandles, som om de gjorde.

AI Act er kontekst, ikke en brugsanvisning

Denne artikel er bevidst ikke en guide til AI Act. Den gennemgår hverken regler, frister eller myndigheder. Den praktiske opgave findes også før den juridiske detalje: Virksomheden skal kunne træffe og forklare sine beslutninger om brug af AI.

Hvis en sag kræver en juridisk vurdering, skal det fremgå af behandlingen af sagen, hvornår den vurdering skal ind, og hvor sagen skal hen bagefter. Det er ikke det samme som at have svaret på alle juridiske spørgsmål. Det er at gøre næste skridt tydeligt.

Artiklen har handlet om vejen for den konkrete sag. I mit oplæg på Computerworld-konferencen Cyber Security Summit 2026 - København torsdag den 27. august kl. 13.50 på Blå scene ser jeg på det større organisatoriske spørgsmål: hvem må sige ja til hvad, og hvor hurtigt?

Er du på konferencen og arbejder med de samme spørgsmål, så kom gerne forbi efter oplægget og sig hej. Jeg bliver på konferencen resten af dagen.