AI governance for små og mellemstore virksomheder: det enkle setup, der er nok

I artiklen 8 afsnit

1. Hvad er AI governance?
2. Hvad sker der, hvis I ikke gør noget?
3. Har en SMV brug for ISO 42001 eller NIST AI RMF?
4. Hvordan ser et enkelt AI governance framework ud?
5. Hvad er minimum for en SMV, og hvornår skal I gøre mere?
6. Hvad betyder AI-forordningen for jeres AI governance?
7. Kan I gøre det selv?
8. Ofte stillede spørgsmål

Denne artikel handler om det enkle setup i fem dele. Til første skridt, at finde og beskrive AI-brugen: Jeg fik ansvaret for AI. Til selve reglerne på skrift: AI-politik i virksomheden.

Hvad er AI governance?

AI governance er de aftaler, roller og rutiner, der skal sikre, at jeres brug af AI sker bevidst, med en ansvarlig og med styr på data. På dansk kan man kalde det styring af AI. Det handler mindre om teknik end om ledelse: Hvem må tage et nyt AI-værktøj i brug? Hvem har ansvaret, hvis noget går galt? Hvem opdager det, hvis et værktøj pludselig bruges til noget andet end aftalt?

Digitaliseringsstyrelsen skriver i sin guide til virksomheder, at det er et ledelsesmæssigt ansvar at sikre, at generativ AI bruges på en ansvarlig måde (Digitaliseringsstyrelsen, set 5. oktober 2026). Det er en god måde at forstå governance på. Ansvaret ligger hos ledelsen, også selvom det daglige arbejde kan uddelegeres.

Behovet er reelt. I en kortlægning af mere end 2.100 danske SMV'er, lavet ultimo 2024 og udgivet af CAISA, Det Nationale Center for AI i Samfundet, oplevede kun 26 %, at roller og ansvar i arbejdet med AI er klart defineret (CAISA, december 2025). Problemet er sjældent, at medarbejderne bruger AI. Problemet er, når virksomheden ikke ved hvordan, og ingen har ansvaret.

AI governance er heller ikke det samme som en AI-politik. Politikken er ét dokument med reglerne. Governance er hele setuppet omkring den: overblikket, ansvaret, beslutningerne og opfølgningen. Læs mere om, hvad en AI-politik skal indeholde.

Hvad sker der, hvis I ikke gør noget?

Uden aftaler om AI holder brugen ikke op. Den vokser bare uden retning, og konsekvenserne viser sig typisk først, når nogen stiller et spørgsmål, I ikke kan svare på:

• Nye værktøjer kommer ind ad bagdøren. Medarbejdere tager værktøjer i brug på egen hånd, og leverandører slår AI-funktioner til i systemer, I allerede har, uden at nogen tager stilling.
• Ingen ejer brugen. Går noget galt, er det uklart, hvem der skal reagere, og hvem der skal have besked.
• Viden sidder i hovedet på én person. Stopper den medarbejder, der ved, hvilke værktøjer der bruges til hvad, forsvinder overblikket med vedkommende.
• I kan ikke svare kunder og samarbejdspartnere. Spørger en kunde, hvordan I bruger AI og deres data, bliver svaret et skøn uden et overblik.
• Vigtige anvendelser glider igennem. AI til fx rekruttering kan være omfattet af strengere krav, men det opdager I kun, hvis nogen spørger, før værktøjet tages i brug.

Intet af det kræver et stort projekt at undgå. Det kræver et lille, fast setup, som resten af artiklen beskriver.

Har en SMV brug for ISO 42001 eller NIST AI RMF?

De kendte rammeværk for AI governance er grundige, og de kan bruges af organisationer af alle størrelser. Et rammeværk er en færdig struktur for, hvordan man styrer et område. Men et fuldt ledelsessystem, dvs. et fast sæt af politikker, roller og processer, som organisationen dokumenterer, vedligeholder og løbende forbedrer, kræver folk og tid til at drive det. For de fleste SMV'er er rammeværkene et godt opslagsværk, ikke et sted at starte.

• ISO/IEC 42001 er en international standard fra december 2023. Den stiller krav til, hvordan en organisation etablerer, implementerer, vedligeholder og løbende forbedrer et ledelsessystem for AI (ISO, 2023). Den har samme grundstruktur som andre ledelsessystemstandarder, fx ISO/IEC 27001 om informationssikkerhed, og en virksomhed kan vælge at blive certificeret efter den ved en uafhængig audit (en gennemgang foretaget af et eksternt certificeringsorgan) (ISO).
• NIST AI Risk Management Framework (AI RMF 1.0) er udgivet af det amerikanske standardiseringsinstitut NIST i januar 2023. Det er frivilligt og bygger på fire funktioner: Govern, Map, Measure og Manage (NIST, 2023). NIST oplyser, at rammeværket er ved at blive revideret (tjekket 3. oktober 2026).

Begge er frivillige. AI-forordningen (EU's regler for kunstig intelligens) stiller ikke krav om at følge eller blive certificeret efter nogen af dem, og I behøver ikke en certificering for at bruge AI ordentligt.

Udfordringen for en SMV er omfanget. Et ledelsessystem efter ISO 42001 indebærer blandt andet en AI-politik, risikovurderinger, interne audits og ledelsens evaluering, alt sammen dokumenteret og vedligeholdt. Det giver mening for en virksomhed, der udvikler AI-produkter, eller som har kunder, der kræver en certificering. For en virksomhed med 30 ansatte, der bruger en chatassistent og AI-funktioner i sine eksisterende systemer, er det mere, end brugen kræver. Risikoen er, at governance bliver et dokumentprojekt, der aldrig bliver færdigt, mens brugen fortsætter uden styring.

Brug dem i stedet som inspiration. Tanken i NIST's rammeværk om, at ledelse og ansvar går på tværs af alt andet, passer fint til en SMV. Det gør idéen i ISO 42001 om løbende forbedring også.

Hvordan ser et enkelt AI governance framework ud?

Et enkelt AI governance framework består af fem dele: overblik, roller, beslutning, kontrol og opfølgning. Et setup i fem dele dækker det, de fleste SMV'er har brug for, og hver del kan laves med værktøjer, I allerede har. Rækkefølgen betyder noget: overblikket kommer først, fordi resten bygger på det.

1. Overblik over anvendelser

Overblikket er en liste over jeres AI-anvendelser: hvilket værktøj, hvad det bruges til, hvilke data der indgår, og hvem der er ansvarlig. Uden listen ved I ikke, hvad I skal styre. Et regneark er nok. Se, hvordan I får overblik over jeres AI-brug trin for trin.

2. Roller og ansvar

Roller og ansvar betyder, at der står navne på. Tre roller er nok i de fleste SMV'er:

• Ledelsen beslutter rammerne og har det overordnede ansvar. Hvad ledelsen kan bede om at få svar på, står i Ledelsen vil have styr på AI.
• En koordinator, fx driftschefen eller den it-ansvarlige, holder overblikket opdateret og er den, medarbejderne spørger.
• En ejer pr. anvendelse, typisk lederen af det team, der bruger den, sørger for, at anvendelsen bruges som aftalt.

I en lille virksomhed kan rollerne godt samles hos få personer. Det vigtige er, at alle ved, hvem der har ansvaret for AI i virksomheden, og hvem de skal spørge. Hvordan ejerskab afgøres pr. system, står i Hvem ejer AI-systemet?.

3. Beslutning om nye anvendelser

En fast og kort beslutningsgang sikrer, at nye anvendelser bliver vurderet, før de tages i brug, ikke bagefter. Fire spørgsmål rækker ofte:

1. Hvad skal det bruges til, og af hvem?
2. Hvilke data kommer ind i værktøjet, og hvad gør leverandøren med dem?
3. Påvirker resultatet beslutninger om personer, fx ansættelse eller vurdering af medarbejdere?
4. Hvem bliver ejer?

Er svarene enkle, kan koordinatoren godkende. Indgår der persondata eller beslutninger om personer, går sagen til ledelsen. Så skal ikke alt op på et møde, og medarbejderne har en vej at gå i stedet for at finde deres egne løsninger uden om. Det sidste kaldes ofte skygge-AI.

4. Kontrol af data og output

Kontrol betyder to ting: styr på, hvilke data der kommer ind, og at et menneske tjekker det, der kommer ud, før det bruges. For data er en enkel regel nok. Offentlige og interne oplysninger må bruges i godkendte værktøjer. Fortrolige oplysninger og persondata kun i værktøjer, hvor I har tjekket vilkårene, fx om data bruges til træning, og hvor der ved persondata er en databehandleraftale. Digitaliseringsstyrelsen anbefaler også, at fortrolige oplysninger kun indtastes i generative AI-værktøjer, hvis der er foretaget en risikovurdering af den valgte løsning (Digitaliseringsstyrelsen, set 5. oktober 2026).

For output gælder, at AI kan tage fejl og lyde overbevisende, mens den gør det. Aftal, at den, der bruger et resultat, også står inde for det. Jo større betydning resultatet har, jo grundigere skal det tjekkes.

5. Opfølgning

Opfølgning er det, der gør governance til en vane og ikke et dokument i en mappe. Sæt et fast tidspunkt, fx hvert halve år, hvor koordinatoren og ledelsen gennemgår listen. Er der kommet nye anvendelser? Er nogle stoppet? Har leverandørerne ændret vilkår eller tilføjet AI-funktioner? Er der sket fejl, I kan lære af? Brug også gennemgangen til at se, om medarbejderne har de AI-færdigheder, brugen kræver.

Hvad er minimum for en SMV, og hvornår skal I gøre mere?

Tabellen viser det minimum, de fleste SMV'er kan nøjes med, og tegnene på, at en del skal bygges ud. Brug den som tjekliste ved næste ledelsesmøde.

Ser I flere tegn i højre kolonne, er det her, de store rammeværk bliver relevante. Så kan I låne de dele af ISO 42001 eller NIST AI RMF, der passer til jeres situation, uden at tage det hele.

Hvad betyder AI-forordningen for jeres AI governance?

AI-forordningen beskriver ikke et bestemt governance-setup for en virksomhed, der bruger almindelige AI-værktøjer, men flere af dens krav er lettere at håndtere, når setuppet er på plads. Virksomheder, der bruger AI-systemer, skal træffe foranstaltninger, der støtter udviklingen af AI-færdigheder hos dem, der bruger systemerne (artikel 4, som ændret i 2026). Med et overblik over anvendelser er det nemmere at se, hvem der har brug for hvad. Læs mere om kravet om AI-færdigheder.

Visse anvendelser, fx inden for rekruttering og vurdering af medarbejdere, kan være højrisiko. Højrisiko betyder i AI-forordningen, at et AI-system er omfattet af en række ekstra krav, fordi det kan påvirke menneskers rettigheder eller sikkerhed. Efter ændringen i 2026 gælder kravene til højrisiko-systemer i forordningens bilag III fra 2. december 2027 og til AI i produkter omfattet af bilag I fra 2. august 2028 (Europa-Kommissionen, 2026). Beslutningsgangen i del 3 er stedet, hvor sådanne anvendelser bliver fanget. Se, hvornår jeres brug af AI er højrisiko.

Et governance-setup er ikke en garanti for, at alle krav er opfyldt. Men det viser jer, hvor I skal kigge nærmere, og hvem der skal gøre det. Om en konkret anvendelse er højrisiko, eller hvilke krav der gælder, kan kræve en juridisk vurdering.

Kan I gøre det selv?

Ja, de fleste SMV'er kan sætte det enkle setup op selv. Det kræver ikke særlig viden om AI, men at nogen tager ansvaret og afsætter tid. Fire ting kan de fleste gøre på egen hånd allerede denne måned:

• Udpege en koordinator og en ejer for hver anvendelse.
• Lave listen over anvendelser i et regneark.
• Skrive de fire spørgsmål ned og aftale, hvem der godkender hvad.
• Sætte den halvårlige gennemgang i kalenderen. Se hvornår I bør vurdere et AI-værktøj igen.

Skal en AI-løsning fra prototype til drift, viser go-live-tjekken for AI-løsninger, hvad der skal være på plads. Se også hvad I skal dokumentere, når I bygger selv. Er I lige gået i gang med AI, så start med AI i små virksomheder. Skal der bygges noget nyt, hjælper software efter go-live.

Hjælp udefra giver mening i nogle situationer. Det gælder, når I har mange systemer og afdelinger, når der indgår persondata eller beslutninger om personer, når I er i tvivl om, hvilke krav der gælder for en bestemt anvendelse, eller når ingen internt har tid. Så kan en system- og AI-gennemgang være et sted at starte.

Med tiden bliver de fem dele til en række spørgsmål, som skal kunne besvares hurtigt: Hvor ligger beslutningen om et værktøj? Hvem ejer det? Hvilke data bruger det? Hvornår blev det sidst vurderet? Og hvad sker der, når leverandøren ændrer noget? Et regneark kan svare på det i starten. Når listen vokser, eller når kunder og ledelse begynder at spørge, er det det forarbejde, SPOR skal tage, når det åbner: holde styr på værktøjer og systemer med formål og ansvarlig ud fra jeres egne oplysninger, forberede beslutningen om nye anvendelser og følge op, så I kan se, hvad der mangler. SPOR er endnu ikke åbnet for kunder.

Kort sagt: AI governance i en SMV er ikke et dokumentprojekt. Det er en liste, nogle navne, fire spørgsmål og en fast gennemgang. Start med regnearket, og byg ud, når brugen kræver det.

Et enkelt setup bliver stærkere, når I ved, hvad der er lov, aftale og god praksis. Regler, der allerede gælder for virksomheders brug af AI, er samlet i én artikel.

Ofte stillede spørgsmål

Hvad er forskellen på AI governance og en AI-politik?

En AI-politik er et dokument med reglerne for, hvordan jeres virksomhed bruger AI. AI governance er hele setuppet, der får reglerne til at virke: overblik, roller, beslutninger, kontrol og opfølgning. Politikken er altså én del af jeres governance.

Skal en lille virksomhed være certificeret efter ISO 42001?

Nej, ISO/IEC 42001 er en frivillig standard, og AI-forordningen stiller ikke krav om en ISO 42001-certificering. Det kan give mening, hvis I udvikler AI-produkter, eller hvis jeres kunder kræver det. For de fleste SMV'er, der bruger AI i hverdagen, er et enkelt setup nok at starte med.

Hvem skal have ansvaret for AI i virksomheden?

Det overordnede ansvar ligger hos ledelsen. I praksis giver det mening at udpege én koordinator, fx driftschefen eller den it-ansvarlige, og en ejer for hver anvendelse i det team, der bruger den. Det vigtigste er, at ansvaret står med navn.

Hvordan det føles at få opgaven uden en manual, kan du læse i Jeg fik ansvaret for AI.

Kræver AI-forordningen, at vi har AI governance?

AI-forordningen beskriver ikke et bestemt governance-setup for virksomheder, der bruger almindelige AI-værktøjer. Men den stiller krav om at støtte medarbejdernes AI-færdigheder, og visse anvendelser kan være højrisiko med flere krav. Et enkelt setup gør det lettere at se, hvilke krav der kan gælde for jer.

Hvilket AI governance framework skal en SMV vælge?

De fleste SMV'er har ikke brug for et færdigt rammeværk. Start med de fem dele i denne artikel, og lån fra ISO/IEC 42001 eller NIST AI RMF, når brugen vokser, eller når kunder beder om mere dokumentation.

Artiklen er generel vejledning og ikke juridisk rådgivning. Udgivet 26. september 2026. Opdateret 5. oktober 2026.