For to måneder siden sagde en direktør, jeg arbejdede sammen med, en variant af dette: »AI-ejerskab er på vores dagsorden næste kvartal.« Det var tredje gang, jeg hørte den sætning fra den virksomhed. Kvartalet før var det »vi er stadig ved at blive enige om den rigtige struktur.« Kvartalet før det, »vi venter på at se, hvordan markedet falder på plads.« Det, ingen af dem sagde højt, er det, en myndighed, et forsikringsselskab eller en enterprise-kunde hører, når spørgeskemaet lander, og de får det samme svar: ikke at virksomheden er omhyggelig, men at ingen er ansvarlig. Det hul er dokumenteret nu. Det var det ikke før.
Pointen er enkel. AI-ejerskab er et ansvarsspørgsmål. Svaret er ikke en titel, et udvalg eller et transformationsprogram. Det er en navngiven person, et dokument på én side og en rapporteringslinje, som bestyrelsen har set. Det, de fleste virksomheder i vækst bliver ved med at springe over, er netop det mandat, og de springer det over helt frem til det øjeblik, hvor spørgsmålet lander i en købers due diligence, en forsikringsfornyelse eller en audit.
Hvem ejer AI i jeres organisation?
Når nogen spørger »hvem ejer AI i jeres organisation«, er instinktet at gribe efter en jobtitel. CTO. CDO. Digital chef. Den, der står for platformsteamet. Det svar er fint til en middag. Det er ikke fint i en auditors spørgeskema.
Et organisationsdiagram fortæller dig, hvem der refererer til hvem. Det fortæller dig ikke, hvem der har bemyndigelsen til at godkende en ny AI-leverandør, hvem der afgør, om en bestemt anvendelse er acceptabel, eller hvem der bærer ansvaret, når et AI-system frembringer et resultat, der skader en kunde eller udløser en regulatorisk forespørgsel. Det er governance-spørgsmål, og forskellen mellem »vi har en CTO« og »vi har en navngiven AI-ejer med definerede beslutningsrettigheder« er præcis det hul, som myndigheder, forsikringsselskaber og enterprise-indkøbsteams nu leder efter.
Og AI-ejerskab er ikke bare almindelig ansvarshygiejne med en ny etiket. Tre ting gør det til sit eget problem: medarbejdere tager AI-værktøjer i brug hurtigere, end indkøb kan nå at gennemgå dem, man kan ikke auditere en model, som man auditerer en SaaS-kontrakt, og kompetencepligten knytter sig til de mennesker, der bruger systemet, ikke kun til systemet selv. Derfor holdt »vi har en CTO« stille og roligt op med at være et tilstrækkeligt svar.
EU’s AI-forordning gør ejerskabshullet sværere at ignorere. Artikel 4 i EU’s AI-forordning, som har været gældende siden 2. februar 2025, kræver, at udbydere og idriftsættere så vidt muligt træffer foranstaltninger for at sikre et tilstrækkeligt niveau af AI-færdigheder hos deres personale og andre personer, der håndterer drift og brug af AI-systemer på deres vegne, afpasset efter rolle og kontekst. De nationale markedsovervågningsmyndigheder begynder at føre tilsyn og håndhæve fra 2. august 2026. Forpligtelsen gælder for idriftsættere, der bruger AI-værktøjer i en professionel sammenhæng; for almindelig kommerciel brug er der ingen størrelsesbaseret undtagelse. Jeg har skrevet mere detaljeret om de konkrete compliance-spørgsmål til artikel 4, som de fleste virksomheder i vækst er bagud med. Pointen her er snævrere: artikel 4 nævner ingen jobtitel, men den skaber en organisatorisk forpligtelse, som nogen i praksis må eje.
Den navngivne person med mandat findes ikke i de fleste virksomheder i vækst, jeg arbejder med. Ikke fordi lederne er forsømmelige, men fordi spørgsmålet er blevet rammesat som et organisationsdiagram-problem (hvem skal vi oprette en rolle til, hvilken funktion er den rigtige) frem for et ansvarsproblem (hvem hænger på den, hvis det går galt i dag). Ofte er den rigtige ejer den person, der allerede uformelt hænger på den, hyppigt CTO’en. Løsningen er ikke en anden person. Det er den person, på skrift, med beslutningsret og en rapporteringslinje, som bestyrelsen har set.
En Chief AI Officer-titel er ikke et AI-governance-mandat
Der findes en version af denne samtale, der ender med ansættelsen af en CAIO. Jeg har set det ske i større organisationer, og i den rette sammenhæng -- en langt større virksomhed med flere højrisiko-AI-implementeringer og et betydeligt regulatorisk fodaftryk -- er det et fornuftigt strukturelt svar. For de virksomheder i vækst, der udgør størstedelen af mit rådgivningsarbejde, er det ikke.
CAIO-modellen har et bestemt fejlmønster: den frembringer en stillingsbeskrivelse, før den frembringer et governance-mandat. Virksomheder skriver titlen ind i organisationsdiagrammet, scoper en rekrutteringsproces og opererer i hullet i månedsvis, mens de søger. I det vindue fortsætter udbredelsen af AI, leverandørkontrakter underskrives, og anvendelser sættes i drift uden det governance-tilsyn, ansættelsen skulle levere. Titlen er planen, og titlen findes endnu ikke, så planen er endnu ikke trådt i kraft. Det er et governance-hul forklædt som governance-fremskridt.
En CAIO-ansættelse har også en tendens til at overspecificere, hvad du har brug for, og underspecificere, hvad personen faktisk er ansvarlig for. Stillingsbeskrivelsen dækker strategi, kulturforandring, teknisk vision og interessentkommunikation. Når rollen først er defineret og besat, har den ofte intet klart mandat til de operationelle beslutninger, som governance reelt kræver: hvilke AI-værktøjer der er godkendt, hvordan acceptabel brug ser ud, hvordan organisationen reagerer, når noget går galt.
For at være retfærdig over for modellen: en velkørende CAIO-proces udpeger en midlertidig ejer undervejs i søgningen, hvilket er præcis det mandat, jeg beskriver. Pointen er ikke, at man aldrig skal ansætte en Chief AI Officer. Den er, at det er mandatet, ikke titlen, som governance og auditorer har brug for, og de fleste virksomheder af denne størrelse når aldrig det punkt, hvor titlen tjener sin omkostning ind. For dem er governance-behovet enklere, end CAIO-rammen antyder, og enklere ting er hurtigere at få på plads, lettere at drive og nemmere at forsvare over for en auditor end en senioransættelse, der stadig er i sit første kvartal, når håndhævelsen begynder.
En syndebuk er ikke en ejer
Her er den indvending, jeg hører, når jeg foreslår at udpege en person: »Gør det dem ikke bare til skydeskiven, hvis noget går galt? Vi ville jo hænge nogen ud.« Det er en rimelig bekymring, og den peger på et reelt fejlmønster -- men fejlmønstret er ikke den navngivne ejer. Det er en navngiven ejer uden bemyndigelse.
En syndebuk er, hvad man får, når man sætter et navn på et ansvar uden at give personen beslutningsretten til at handle på det. Hvis »AI-ejeren« ikke kan godkende eller blokere en leverandør, ikke kan fastsætte politik for acceptabel brug, ikke kan eskalere en risiko til bestyrelsen og ikke kan sige nej, når en anvendelse krydser en grænse -- så har man ikke bygget governance. Man har bygget en skydeskive. Det er værd at undgå.
Der findes en anden og mere rimelig version af bekymringen, og den handler om den navngivne person, ikke om virksomheden: udsætter det mig personligt at sætte mit navn på et ansvarsdokument, som bestyrelsen har set? Et godt mandat svarer også på det. Det definerer ansvarets omfang og grænser frem for at lade det stå åbent, det ligger ved siden af virksomhedens bestyrelses- og direktionsansvarsforsikring (D&O), og eskalationsvejen flytter de reelt højrisikable beslutninger op ad linjen frem for at parkere dem på ét skrivebord. At udpege en ejer med reel bemyndigelse og klare grænser beskytter den person. At udpege personen uden nogen af delene er det, der skaber eksponeringen.
Så løsningen er ikke at undgå at udpege nogen. Den er at sikre, at navnet følges af et mandat. Reel beslutningsret. En rapporteringslinje, der har vægt. Et dokumenteret omfang, som organisationen har tilsluttet sig. Når de elementer er til stede, er den navngivne ejer ikke en syndebuk. Det er personen, der får governance til at fungere, og som har positionen til at gøre det.
Det hænger sammen med en bredere pointe om, hvordan AI-governance fejler i praksis. Jeg har skrevet særskilt om hvorfor AI-governance og datastyring er forskellige mandater, og hvorfor det at slå dem sammen -- at lade CDO’en eje AI, fordi data og AI hænger sammen -- har en tendens til at frembringe præcis det ansvarshul, der er beskrevet ovenfor. Datateamet ender med at eje AI af navn, mens AI-governance-arbejdet ligger i hullet mellem deres datamandat og de teknologibeslutninger, CTO’en træffer. Ingen er ansvarlig. Alle er i nærheden.
Hvor AI-ejerskabsvakuummet viser sig
Ansvarshullet er ikke hypotetisk. Det viser sig tre steder, og mindst ét af dem er sandsynligvis allerede på din radar.
Det første er enterprise-indkøb. Sælger du til større organisationer -- inden for finans, sundhed, den offentlige sektor eller enhver reguleret branche -- dukker spørgsmål om leverandørers AI-governance op i indkøbsspørgeskemaer. Ikke som et flueben til sidst, men som et reelt afsnit. »Hvem i jeres organisation er ansvarlig for AI-governance? Hvad er personens mandat? Hvordan vurderer I AI-værktøjer, før de tages i brug?« De spørgsmål kom før august 2026. De kunder, der stiller dem, venter ikke på datoen for håndhævelse.
Det andet er forsikring. Underwritere inden for cyber- og teknologiansvar indarbejder AI-governance i deres vurderingsproces. Tidligere i min karriere, i en PE-ejet servicekoncern hvor jeg havde governance-ansvar på CIO-niveau, var forsikringsselskabets AI-governance-spørgeskema den udløsende faktor, der gjorde ejerskabsspørgsmålet konkret. Ikke en myndighed. Ikke en kunde. En underwriter, der kiggede på fornyelsesvilkår. Dér blev en udokumenteret governance-struktur til en fornyelsessamtale og en prisfaktor. Om det er mønstret hos jeres forsikringsgiver, afhænger af selskabet og policen, men retningen er konsistent: omkostningen ved at udpege nogen er lav, og omkostningen ved ikke at have et svar, når spørgeskemaet lander, er det ikke.
Det tredje er bestyrelsen. I takt med at AI-systemer får mere operationel vægt -- i kundeservice, i rekruttering, i den finansielle rapportering -- begynder bestyrelser at stille de spørgsmål, deres governance-forpligtelser kræver. En Deloitte-analyse offentliggjort på Harvard Law School Forum on Corporate Governance kortlægger dette i detaljer: AI-governance er ved at blive et ansvarsspørgsmål på bestyrelsesniveau, ikke kun et operationelt et. Når bestyrelsen spørger, hvem der ejer AI, og svaret er »CTO’en, sådan da, men vi er stadig ved at definere mandatet«, er det en governance-konstatering på bestyrelsesniveau.
I alle tilfælde er det hul, der dukker op, det samme: et navn uden mandat, eller slet intet navn. Løsningen er i alle tilfælde den samme.
Mandatet på én side -- jeres udgangspunkt for artikel 4
Det dokument, jeg bygger sammen med kunder, er ikke en politik. Det er ikke en strategi. Det er én side. Det har fem komponenter, og mangler bare én af de fem, gør dokumentet ikke det, det skal.
Den første komponent er den navngivne ejer og personens nuværende rolle. Ikke en kommende ansættelse. Ikke et udvalg. Én person, ved navn, i sin nuværende stilling. Det kan være CTO’en, COO’en, CFO’en, en senior sikkerheds- eller compliance-ansvarlig -- den, der har positionen og nærheden til AI-beslutningerne. Rollen behøver ikke være AI-specifik. Den skal bære bemyndigelse.
Den anden komponent er beslutningsret: hvad personen kan godkende, hvad personen kan blokere, og hvad personen eskalerer og til hvem. Godkende at en ny AI-leverandør kommer på listen over godkendte værktøjer. Blokere en anvendelse, der ikke opfylder kriterierne for acceptabel brug. Eskalere et højrisikosystem til direktøren eller bestyrelsen før idriftsættelse. Uden eksplicit beslutningsret er ejerskabet kun af navn.
Den tredje komponent er rapporteringslinjen. Hvem refererer AI-ejeren til i governance-spørgsmål? Direkte til direktøren? Til bestyrelsens revisionsudvalg? Et risikoudvalg? Rapporteringslinjen afgør, om AI-ejeren har positionen til at rejse en sag, der går på tværs af funktioner, og om personens eskalering bliver hørt. Skriv det ned. Sørg for, at personen i toppen af den linje har set dokumentet.
Den fjerde komponent er godkendelsesomfanget: hvilke AI-systemer, leverandører og anvendelser der falder ind under dette mandat. Du behøver ikke at opliste hvert eneste værktøj i virksomheden på dag ét. Du skal definere kategorierne: alle eksternt indkøbte AI-værktøjer over en vis tærskel for dataeksponering; alle anvendelser, der involverer kundedata eller automatiseret beslutningstagning; alle AI-systemer indlejret i produkter, der leveres til eksterne parter. Når en anvendelse omfatter automatiserede afgørelser om personoplysninger, hører den også under GDPR (artikel 22) og jeres DPO; AI-ejeren koordinerer med det eksisterende ansvar, det erstatter det ikke. Omfanget er ansvarets grænse. Hvor omfanget slutter, slutter mandatet.
Den femte komponent er revurderingskadencen og udløseren. En kvartalsvis gennemgang af listen over godkendte værktøjer. En årlig gennemgang af selve mandatet. En revurdering uden for den faste rytme, udløst af en væsentlig hændelse, en betydelig ny idriftsættelse eller en regulatorisk ændring. Kadencen holder styringen i live. Udløseren holder den ærlig.
Ét forbehold hører til på siden ved siden af de fem: en navngiven ejer uden afsat tid er en langsommere udgave af ingen ejer. Mandatet bør angive den tid, rollen faktisk får, og hvor det er nødvendigt en stedfortræder, der udfører benarbejdet, ikke kun den bemyndigelse, rollen bærer.
Vær tydelig om, hvad dette dokument gør og ikke gør. Det er det ansvarslag, der gør governance til artikel 4 auditerbar. Det gør dig ikke i sig selv compliant med artikel 4. Det kræver stadig de faktiske foranstaltninger: en AI-fortegnelse, en rollebaseret kompetenceplan, registrering af træning eller briefinger og et grundlag for revurdering. Mandatet på én side er det, de hænger på, dokumentet, der siger, hvem der er ansvarlig for at frembringe og vedligeholde dem. EU’s AI-forordning og Kommissionens spørgsmål og svar om AI-færdigheder lægger forpligtelsen på idriftsætteren som organisation. Artikel 4 kræver ikke en navngiven ejer; det står der ikke i forordningen. En navngiven ejer er ganske enkelt den praktiske mekanisme, der gør resten auditerbar og forsvarlig.
En bemærkning om timing: en foreløbig politisk aftale om Digital Omnibus om AI, indgået den 7. maj 2026, ville lempe ordlyden i artikel 4 fra »sikre« til »træffe foranstaltninger for at understøtte udviklingen af« AI-færdigheder (se Rådets kompromistekst). Den tekst er endnu ikke vedtaget eller offentliggjort i Den Europæiske Unions Tidende, og den præcise endelige ordlyd kan stadig flytte sig, så den nuværende forpligtelse står ved magt som skrevet. Selv under den lempede standard forsvinder spørgsmålet om, hvem der er ansvarlig for governance af AI-færdigheder, ikke; det bliver bare lettere at forsvare på marginen. Jeg ville ikke bygge en vent-og-se-strategi på en tekst, der endnu ikke er lov. Jeg har skrevet mere detaljeret om hvordan virksomheder i vækst bør gribe AI Act-parathed an for dem, der vil have et fyldigere billede af compliance-omfanget.
Testen er, om du kunne række det til en auditor i morgen
Her er den praktiske test, jeg kører, før jeg betragter governance-arbejdet som færdigt. Forestil dig, at en auditor, et forsikringsselskab eller en enterprise-indkøbsansvarlig ringer til dig i morgen og spørger: hvem i jeres organisation ejer AI-governance, hvad er personens mandat, og hvordan opfylder jeres organisation sine forpligtelser efter artikel 4? Kunne du besvare det spørgsmål klart, ud fra et dokument, der allerede findes, med et navn og et omfang knyttet til?
Hvis svaret er »vi har en CTO«, er det ikke et tilstrækkeligt svar. Hvis svaret er »vi er i gang med at definere det«, er det et svar, der dokumenterer hullet. Hvis svaret er »ja, her er mandatet på én side, her er rapporteringslinjen, her er godkendelsesomfanget«, er det en governance-position.
Forskellen mellem de to første svar og det tredje er ikke en seks måneder lang CAIO-rekrutteringsproces. Beslutningen om at udpege en ejer tager en eftermiddag. At få beslutningsretten, rapporteringslinjen og godkendelsesomfanget rigtigt nok til at overleve et forsikringsselskabs spørgeskema er den del, der som regel kræver et ekstra par øjne. Ingen af delene er et transformationsprogram. Derfor bliver det ved med at blive udskudt: det ser for småt ud til at være svaret på et spørgsmål, der føles stort. Men det spørgsmål, en myndighed stiller, er ikke »hvad er jeres AI-strategi?« Det er tættere på »hvilke foranstaltninger traf I, hvorfor var de proportionale, og hvem kan forklare grundlaget?« Det kræver vidt forskellige svar, og de starter alle med et navn.
Efter min erfaring på tværs af mandater i virksomheder op til 6.000+ medarbejdere er de virksomheder, der står stærkest ved en audit, ikke dem med de mest avancerede AI-programmer. Det er dem, der kan besvare ansvarsspørgsmålet med det samme, uden at skulle ringe til tre personer for at finde ud af det.
Spørgsmålet kommer
»Det er vi stadig ved at finde ud af« er en sætning, det er værd at læse i stemmen fra den person, der vil skrive den ind i en auditrapport. Den registrerer ikke tvetydighed. Den registrerer fravær. Én person. Én side. En rapporteringslinje, som bestyrelsen har set. Det er forskellen mellem et governance-hul og en governance-position -- og hullet er mindre, end hver eneste konsulentvirksomhed, der sælger CAIO-transformationsprogrammer, vil have dig til at tro.
Hvis et købsspørgeskema, en forsikringsfornyelse eller en bestyrelsesgennemgang allerede ligger på dit bord, og dit svar på ejerskab ikke ville overleve det, er det det arbejde, jeg laver med virksomheder i vækst. En kort samtale er som regel nok til at fortælle dig, om det, du har, er forsvarligt. Siden om AI-governance-rådgivning har detaljerne, eller kom i kontakt.