Hvad gør vi, hvis en kunde vil auditere vores brug af AI?

I artiklen 10 afsnit

1. Hvordan forløber en kundeaudit typisk?
2. Hvad kan en kunde kræve?
3. Hvad skal ligge i dokumentationsmappen?
4. Min model: Hvem spørger, hvad vil de vide, hvad kan vi vise, hvem svarer
5. Hvad bør I ikke love i en kundeaudit?
6. Hvad hvis I ikke har noget endnu?
7. Hvad med myndighederne?
8. Hvad sker der, hvis I ikke gør noget?
9. Hvad kan I gøre nu?
10. Ofte stillede spørgsmål

Hvordan forløber en kundeaudit typisk?

En kundeaudit forløber ofte i tre trin, hvor hvert trin går dybere end det forrige. Forløbet varierer fra kunde til kunde. Det her er en forenklet model og ikke et krav:

Kunden kan gennemføre gennemgangen selv eller bede en ekstern revisions- eller rådgivningsvirksomhed om det. Det ændrer ikke, hvad I skal kunne vise. Det ændrer, hvor grundigt der bliver spurgt, og hvor formelt det foregår.

Hvad kan en kunde kræve?

Hvad en kunde kan kræve, afhænger af jeres aftale med kunden. Der er ikke én regel, der gælder alle. Tjek derfor aftalen først, og spørg en jurist, hvis I er i tvivl.

Er I databehandler for kunden, altså behandler I personoplysninger på kundens vegne, indeholder jeres databehandleraftale typisk en bestemmelse om kontrol. I GDPR artikel 28, stk. 3, litra h skal databehandleren stille alle de oplysninger til rådighed, der er nødvendige for at påvise, at forpligtelserne er overholdt, og muliggøre og bidrage til audits, herunder inspektioner, foretaget af den dataansvarlige eller en anden revisor, som den dataansvarlige har bemyndiget. Formuleringen er min egen gengivelse af bestemmelsen. Kunden kan altså som udgangspunkt vælge, at en anden udfører kontrollen.

Derudover kan kontrakten stille egne krav, fx til sikkerhed, certificeringer eller rapportering. Det er aftalt mellem jer og kunden og ikke noget, jeg kan udtale mig om uden at se aftalen.

Hvad skal ligge i dokumentationsmappen?

En dokumentationsmappe i seks dele dækker de spørgsmål, en kunde oftest stiller, og hver del har et spørgsmål, kunden kan stille. Tabellen viser, hvad der hører til:

Del 1 og 2 er beskrevet i Hvad skal et AI-register indeholde? og AI-politik i virksomheden. Har I bygget en AI-løsning selv, står de ekstra dokumentationspunkter i Hvad skal I dokumentere, når I bygger jeres egen AI-løsning?. Og kan en anvendelse være højrisiko, så læs hvornår brug af AI er højrisiko.

Min model: Hvem spørger, hvad vil de vide, hvad kan vi vise, hvem svarer

Min model er fire spørgsmål, I stiller, hver gang nogen beder om dokumentation. Den er en struktur og ikke en garanti for, at kunden er tilfreds:

Det tredje spørgsmål er det vigtigste. Her opdager I, hvad I mangler, mens I stadig kan nå at finde det.

Hvad bør I ikke love i en kundeaudit?

I bør ikke love noget, I ikke kan dokumentere, og slet ikke, at I består. Undgå især:

• “Vi er fuldt compliant.” Det er en juridisk konklusion, og et overblik eller en politik kan ikke alene give den.
• “Vi består selvfølgelig en audit.” Det afhænger af, hvad kunden måler jer op imod.
• Dokumenter, I ikke har. Er et dokument under udarbejdelse, så skriv det og giv en dato.

Det er også min erfaring fra at arbejde med compliance i et værktøj: En politik, der er uploadet et sted, er ikke det samme som dokumentation for de konkrete systemer, I bruger. Det er historien i Jeg fik ansvaret for AI, men der fandtes ingen mappe, der hed “Sådan gør vi”. Hvad I må og skal sige til en kunde, kan også afhænge af persondata og aftale, og det kan kræve en jurist.

Hvad hvis I ikke har noget endnu?

Hvis I ikke har noget endnu, er det bedste svar et ærligt svar med en plan og en dato. Skriv til kunden, hvad I har, hvad I er i gang med, og hvornår I kan levere resten. Det er bedre end at gætte eller udskyde svaret.

Brug derefter tiden på de to første trin: Find det AI, I bruger, og beskriv hvert system. Fremgangsmåden står i Sådan får I overblik over jeres AI-brug, og den personlige vinkel i artiklen om at få ansvaret for AI.

Hvad med myndighederne?

Myndigheder spiller en mindre rolle i den situation, artiklen handler om, men de er ikke fraværende. Digitaliseringsstyrelsen er udpeget som markedsovervågningsmyndighed for dele af AI-forordningens forbud mod bestemte AI-anvendelser, og Datatilsynet for andre dele (kilde: Digitaliseringsstyrelsens vejledning om forbudte former for AI-praksis). Hvilke krav der gælder jeres brug, afhænger af, hvad I bruger AI til. Start med kravet om AI-færdigheder.

Dokumentationsmappen hjælper også her, men den er ikke et bevis for, at I opfylder bestemte krav.

Hvad sker der, hvis I ikke gør noget?

Uden en dokumentationsmappe bliver hver kundeaudit en brandslukning. Konsekvenserne vokser stille:

• Dokumentationen samles i panik. Nogen leder efter aftaler og vilkår, mens fristen løber.
• Svarene modsiger hinanden. Spørgeskemaet siger én ting, og dokumenterne en anden.
• Kunden mister tilliden. Et svar, der ikke kan dokumenteres, virker som et svar uden styr.
• Ingen ved, hvad der er besluttet hvornår. Så kan I ikke forklare, hvorfor I bruger et system.

Hvad kan I gøre nu?

1. Opret en mappe med de seks dele, og læg det ind, I allerede har.
2. Skriv “mangler” ved hver del, hvor der ikke er noget endnu, og giv en person opgaven med en frist.
3. Aftal, hvornår mappen gennemgås, fx hvert halve år og når et system ændrer sig.

Når kunden beder om beviset for, hvad der er besluttet, af hvem og hvornår, melder spørgsmålet sig: Hvor ligger det, så det er til at finde og holde ved lige, når flere kunder spørger? Første gang kan en mappe og et regneark klare det. Det er den del, SPOR, min egen platform, er bygget til: et register over software, AI-værktøjer og egne løsninger med formål, ansvarlig, aftaler og dokumentation, hvor mangler bliver til opgaver med en ansvarlig og en frist. SPOR afgør ikke, om I består en kundeaudit. Det giver jer et fast sted at holde dokumentationen og følge op.

Kort sagt: Når en kunde vil auditere jeres AI, begynder det ofte med et spørgeskema. Har I en dokumentationsmappe i seks dele og en person, der svarer, kan I forberede jer roligt. Mangler I den, så start med overblikket.

Ofte stillede spørgsmål

Kan en kunde kræve at auditere os?

Det afhænger af jeres aftale. Er I databehandler for kunden, skal databehandleraftalen ifølge GDPR give mulighed for audits, herunder inspektioner. Andre krav står i kontrakten. Det er ikke juridisk rådgivning, og en jurist bør se jeres konkrete aftale.

Hvem udfører en kundeaudit?

Det kan være kunden selv eller en ekstern revisions- eller rådgivningsvirksomhed, som kunden har bemyndiget. Spørg, hvem der kommer, og hvad omfanget er, før I går i gang.

Hvor lang tid tager en kundeaudit?

Det varierer meget mellem kunder. Aftal omfang og frist skriftligt, før I går i gang, så I ved, hvad der skal leveres hvornår.

Er en ISO-certificering nok?

En certificering kan være en del af det, kunden vil se, men den dækker ikke nødvendigvis jeres konkrete brug af AI. Det afhænger af certificeringens omfang. Kunden vil ofte også se, hvilke AI-systemer I bruger, og hvem der er ansvarlig.

Artiklen er generel vejledning og ikke juridisk rådgivning. Udgivet 4. oktober 2026.