Gerald Kierce, administrerende direktør og medstifter af Trustible – Intervju-serie

Gerald Kierce, administrerende direktør og medstifter af Trustible, er en teknologi- og politikleder, der fokuserer på at operationalisere ansvarlig AI. Han leder Trustibles mission om at hjælpe organisationer med at opbygge tillid, håndtere risiko og overholde fremvoksende AI-reguleringer. Tidligere fungerede han som vicepræsident og direktør for AI-løsninger i FiscalNote, hvor han overvågede enterprise AI-produkter og havde seniorroller på tværs af virksomhedsudvikling, produkt, kundesucces og direktionsoperationer. Hans karriere har konsekvent været placeret i skæringspunktet mellem teknologi, regulering og skalerbar virksomhedsudførelse.

Trustible tilbyder en AI-styringsplatform, der hjælper organisationer med at opbygge en oversigt over AI-systemer, vurderer og afværger risiko samt operationaliserer overholdelse gennem strukturerede arbejdsprocesser og dokumentation. Designet til juridiske, compliance- og AI-hold, centraliserer platformen styringsaktiviteter, tilpasser AI-brugsændringer til regulatoriske rammer og muliggør en hurtigere og mere gennemsigtig udvikling af ansvarlig AI på tværs af virksomheden.

I løbet af de sidste 8+ år hos FiscalNote, hvor du startede som tidlig medarbejder og forlod virksomheden som seniordirektør efter børsnoteringen, hvad var det, du så i disse roller, der overbeviste dig om, at AI-styring havde brug for en dedikeret platform, og hvilket problem var du fast besluttet på at løse først, da du lancerede Trustible?

Jeg havde held til at have mange roller under mine 8+ år hos FiscalNote, hvor jeg startede som tidlig medarbejder og forlod virksomheden som seniordirektør efter børsnoteringen.

Under mit arbejde med produktmarkedsføring, som chef for staben og senere som leder af AI-løsninger hos FiscalNote, så jeg konstant det samme problem opstå fra forskellige vinkler. AI-styring er grundlæggende et socioteknisk problem, men de fleste organisationer tilgangen til det på en fragmenteret måde. Holdene behandlede AI-ydelse, sikkerhed, privatliv, etik og juridiske gennemgange som separate spor, ofte ejet af forskellige funktioner med lidt fælles operationel rygrad, der binder dem sammen. Disse fem dimensioner er absolut vigtige, og de skal behandles samarbejdende. Men hvor organisationerne kæmpede, var med at oversætte dette sociotekniske formål til noget varigt, når AI gik ind i rigtige beslutninger.

På samme tid var den regulatoriske omgang med AI tydeligt under forandring. EU’s AI-lov og relaterede standarder signalerede en skiftning mod at regulere AI som en regulering af infrastruktur i stedet for eksperimentel teknologi. Det blev tydeligt, at mange virksomheder forsøgte at tilpasse politik og regulatoriske forventninger til AI-systemer efter udviklingen, i stedet for at designe styring, der kunne kontinuerligt operationalisere regulatorisk formål på tværs af disse sociotekniske dimensioner.

Min erfaring hos FiscalNote var vigtig, fordi vi anvendte AI til selv det juridiske, politiske og regulatoriske landskab. Vi hjalp organisationer med at forstå, hvordan love udvikler sig, hvordan krav fortolkes og hvordan regulatoriske forventninger oversættes til operationelle forpligtelser over tid. Denne erfaring gjorde det klart, at effektiv AI-styring kræver samme disciplin i omvendt retning: at anvende politik og regulatorisk tænkning direkte til, hvordan AI-systemer bygges, udvikles, overvåges og tilpasses, når forholdene ændrer sig.

Kunderne beskrev konsekvent de samme smertepunkter. De kunne ikke med sikkerhed svare, hvilke AI-systemer der var i produktion, hvilke der var højrisiko under fremvoksende reguleringer, hvem der var ansvarlig, når systemerne krydsede funktionelle grænser, eller hvordan de kunne demonstrere kontinuerlig overholdelse, når modeller, data, leverandører og reguleringer udviklede sig samtidigt.

Da vi lancerede Trustible, var det første problem, vi satte os for at løse, at omdanne socioteknisk styring fra teori til operationel virkelighed. Vi fokuserede på at skabe et system, der forbinder teknisk adfærd, brugsændringskontekst, ejerskab og regulatoriske forventninger på ét sted. Trustible blev bygget til at give organisationer en levende system af registrering for AI med kontinuerlig synlighed og ansvarlighed, så styring kunne holde trit med både teknologisk udvikling og regulatorisk evolution i stedet for at være efter.

Set fra frontlinjen, hvad har du lært i løbet af det sidste år om, hvorfor styringsprogrammer stopper, når AI går ind i rigtige beslutninger, arbejdsgange og kundevendte oplevelser?

Når AI går ud af eksperimenter og ind i rigtige arbejdsgange, har styring tilbøjelighed til at stoppe af meget praktiske årsager og ikke filosofiske. De fleste organisationer ved simpelthen ikke, hvordan de skal evaluere AI-risiko på en måde, der kan kobles til, hvordan systemerne faktisk bruges. De kan evaluere modeller i abstrakt, men de kæmper med at evaluere risiko på brugsændringsniveau, hvor kontekst, indvirkning og nedstrømsbeslutninger betyder langt mere end tekniske målinger alene.

Dette problem bliver endnu mere udtalt med generativ AI. En enkelt grundmodel kan bruges til kundesupport, intern forskning, beslutningsstøtte eller indholdsgenerering, hver med meget forskellige risikoprofiler. Uden en struktureret måde at evaluere og sammenligne disse brug på, kan holdene enten overreagere på forsigtighed eller gå videre uden rigtig tillid.

Tredjeparts-AI komplicerer tingene yderligere. Organisationer er afhængige af leverandører og indbyggede AI-kapaciteter, men mangler konsekvente metoder til at evaluere disse systemer, forstå opstrømskontrol og bestemme, hvordan leverandørrisiko oversættes til deres egen regulatoriske og operationelle eksponering. Som følge heraf bliver gennemgange subjektive og langsomme.

Disse udfordringer forstærkes af huller i ekspertise og ejerskab. Styringsansvar er ofte spredt over juridiske, compliance-, sikkerheds-, data- og produktteam uden en fælles ramme eller en tydelig ansvarlig ejer, når systemerne når produktion. Kombineret med uheldigt værktøj som regneark, dokumentarkiver eller legacy GRC-platforme mister styringsteam synet for, hvad der ændrer sig, og hvorfor det betyder noget.

I sin kerne stopper styring, fordi organisationer anvender gamle spilleregler designet til statiske systemer til dynamiske AI-systemer. AI kræver kontinuerlig risikovurdering, tydeligt ejerskab forbundet med resultater og værktøj, der afspejler, hvordan systemer faktisk opfører sig i produktion, i stedet for hvordan de blev godkendt på papir. Styringsteam kan ikke se, hvad der ændrer sig, hvornår det ændrer sig, eller hvorfor det betyder noget.

Til sidst er ejerskab ofte uløst. I mange organisationer er der ingen tydelig ansvarlig ejer for et AI-system, når det går fra eksperimenter til produktion. Uden en navngivet forretnings ejer, der er ansvarlig for resultater, når et AI-system tager eller påvirker beslutninger, bliver styring rådgivende, og fremgangen langsommes.

Den fælles tråd er, at organisationer anvender gamle styringsregler til en grundlæggende ny teknologi. Disse regler var bygget til statiske systemer og periodiske gennemgange. AI kræver kontinuerlig risikovurdering, tydeligere ejerskab og værktøj, der forbinder styring direkte til, hvordan systemer faktisk opererer i produktion.

Hvordan definerer du Year Two-styring, og hvad ændrer sig, når en organisation skifter fra initial adoption til kontinuerlig overvågning, driftsændringsstyring og kontinuerlig overholdelse?

Year Two AI-styring er det øjeblik, hvor AI ophører med at behandles som en række projekter og begynder at behandles som en underliggende infrastruktur for beslutningstagning. Det, jeg mener med dette, er, at i det første år er AI-styring overvejende om enablement. Teamene er fokuseret på at godkende brugsændringer, dokumentere modeller og etablere gennemgangsprocesser, så AI kan gå videre ansvarligt.

Da AI-systemer skalerer og bliver integreret i kerneforretningsprocesser, skifter fokus. Spørgsmålet er ikke længere, om noget skal udvikles, men om det kan opereres sikkert og pålideligt over tid, når data, brugere, leverandører og reguleringer ændrer sig. AI-styring bliver kontinuerlig i stedet for episodisk, udløst af ændringer i adfærd eller kontekst i stedet for kalenderbaserede gennemgange.

Risiko bliver også dynamisk. I stedet for at tildele en statisk risikovurdering ved lancering, skal organisationer forstå, hvordan risiko udvikler sig, når modeller ændrer sig, omfang udvides eller nye interessenter interagerer med systemet. Overholdelse følger den samme skift. Regulatoriske krav flytter sig fra at blive koblet til politik til at blive gennemført gennem livekontrol, overvågnings-signaler og kontinuerligt indsamlet bevis.

En anden vigtig aspekt af Year Two AI-styring er introduktionen af reel AI-incidentstyring. Organisationer skal vide, hvilke systemer der overvåges, prioritere dem baseret på indre risiko, integrere den rette data for at fremhæve meningsfulde signaler og definere tydelige advarsel- og eskalationskriterier. Dette tillader team at intervenere tidligt, før problemer udvikler sig til incidenter.

Med fragmenterede systemer og begrænsede ressourcer, hvilke er de første styringsfunktioner, du mener, virksomheder skal standardisere på tværs af organisationen?

Når ressourcer er begrænsede, skal organisationer være bevidste om, hvor de starter, fordi tidlige valg sætter retningen for alt, der følger. Første prioritet er at opnå pålidelig synlighed i, hvor AI faktisk findes i forretningsområdet. Mange team tror, de har kun et fåtal AI-systemer, blot for at opdage skygge-AI, indbyggede leverandørkapaciteter og stille skalerede brugsændringer, der aldrig blev formelt gennemgået. Uden en levende oversigt over, hvad der er i produktion, forbliver styringsdiskussioner teoretiske og frakoblet fra virkeligheden.

Når synlighed findes gennem din AI-inventar, handler det om at drive ansvarlighed ind i AI-brugsændringer. Styring bryder sammen hurtigt, når ansvar er spredt over komiteer eller funktioner. Organisationer skal tydeligt tildele, hvem der er ansvarlig for resultater, når et AI-system tager eller påvirker beslutninger, ikke kun hvem byggede det eller gennemgik det initialt. Denne klarhed bliver særligt vigtig, når incidenter opstår eller modeller udvikler sig ud over deres oprindelige omfang.

Herefter skal teamene have en praktisk måde at tænke over risiko på. Dette indebærer at etablere en fælles tilgang til risikoklassificering, der fungerer på tværs af internt byggede systemer, generativ AI-brugsændringer og tredjepartsleverandører. Uden en fælles risikolens vil organisationer enten overgennemgå lav-risiko-systemer eller undergennemgå de, der betyder mest.

Til sidst skal styring generere bevis som en biprodukt af normal drift. Vi taler ofte om “Sig det, Gør det, Bevis det” som en måde at demonstrere tillidsværdighed i din AI-styring på. At indsamle godkendelser, ændringer og overvågnings-signaler, når systemer kører, tillader organisationer at reagere på revisioner, incidenter, kunde-anmodninger og regulatoriske spørgsmål med tillid i stedet for rekonstruktion. Disse grundlag behøver ikke at være perfekte fra starten, men de skal være koherente og gentagne, hvis styring skal skale.

Hvorfor tror du, AI-styring skal behandles med samme alvor som cybersikkerhed eller GRC, og hvor undervurderer ledere mest den operationelle arbejdsbyrde?

AI-styring medfører systemisk risiko, der er sammenlignelig med cybersikkerheds- og GRC-risiko, men med tilføjet kompleksitet. Ligesom cybersikkerhedsfejl kan AI-fejl sprede sig hurtigt og usynligt på tværs af en organisation. Ligesom GRC krydser AI juridiske, etiske og operationelle forpligtelser. Ulig både, kan AI-systemer ændre adfærd over tid uden eksplizit menneskelig handling.

Hvor ledere tendere til at undervurdere arbejdsbyrden, er i de kontinuerlige operationelle krav. Overvågning er kontinuerlig i stedet for periodisk. Koordination omfatter produkt-, data-, IT-, juridiske, compliance- og indkøbs-team. Ændringsstyring er konstant, fordi modeller, leverandører, brugsændringer og reguleringer udvikler sig samtidigt.

Organisationer, der behandler AI-styring som en engangs overholdelsesøvelse, kæmper uvægerligt. De, der tilgangen som operationel infrastruktur, ligesom sikkerheds- eller pålidelighedsingeniørarbejde, er langt bedre positioneret til at skale AI sikkert og bæredygtigt.

Da amerikanske stater skubber fremad med AI-regler, mens den føderale politik forbliver kontroversiel, hvordan skal virksomheder designe styring, der forbliver robust gennem regulatorisk usikkerhed?

Den regulatoriske omgang med AI er usikker og under udvikling. De mest robuste styringsprogrammer er bygget omkring krav i stedet for enkeltstående reguleringer. I stedet for at reagere på hver ny lov med tilpassede processer, skal organisationer fokusere på de fælles forventninger, der viser sig på tværs af jurisdiktioner, såsom inventar, gennemsigtighed, ansvarlighed, risikovurdering, menneskelig oversigt og dokumentation.

Når styringssystemer er modulære, kan nye regulatoriske krav kobles på til eksisterende kontroller i stedet for at tvinge team til at genopfinde deres tilgang hver gang landskabet skifter. Dette reducerer friktion og hjælper styring med at holde trit med politikændringer.

Målet er ikke at optimere for overholdelse med i dagens regler, men at tilpasse det, når forventninger udvikler sig.

Set mod 2026, hvilke AI-styringsfunktioner forventer du bliver uafviselige, når organisationer skalere AI på tværs af flere forretningsenheder?

Da AI bevæger sig fra isolerede pilotprojekter til systemer, der former rigtige verdensbeslutninger, ændrer styringsforventningerne sig lige så hurtigt. I 2026 vil organisationer ikke længere kunne stole på spillereglerne, der fungerede i 2024 og 2025, hvor AI-overvågning ofte var manuel, episodisk og centreret omkring enkeltstående gennemgange. Kontinuerlig overvågning bliver en grundlæggende fordring, fordi statisk dokumentation og punkt-i-tiden-vurderinger ikke vil tilfredsstille regulatoren, bestyrelser, medarbejdere eller kunder i et dynamisk AI-miljø.

Da AI bliver integreret på tværs af flere team og arbejdsgange, skal organisationer også have konsekvent styring på tværs af stadig mere komplekse AI-leverandørkæder. Interne modeller, tredjepartsleverandører, indbyggede AI-funktioner og autonome komponenter skal alle styrkes gennem samme linse, i stedet for at behandle leverandør-AI som en blind plet eller antage, at ansvar slutter ved indkøb.

Revisionssikre bevis skal være tilgængelige påkrævet, når regulatorisk gennemførelse strammes og offentlige forventninger til gennemsigtighed stiger. Dette indebærer at indsamle styringsaktivitet, når AI-systemer designes, udvikles og overvåges, i stedet for at genskabe beslutninger efter en incident eller revisionsanmodning.

Hvis du skulle rådgive en virksomhed, der allerede har AI i produktion, men ingen formel styringsprogram, hvordan ville en realistisk første 90 dage se ud?

De første 30 dage skal fokusere på at opnå grundlæggende synlighed. Det indebærer at identificere, hvilke AI-systemer der er i produktion, forstå, hvor de påvirker rigtige beslutninger, og tildele tydeligt ejerskab.

Næste fase handler om at etablere grundlæggende kontroller. Organisationer skal definere, hvordan de klassificerer risiko, introducere godkendelseskontrolpunkter for høj-risiko-systemer og begynde at overvåge de områder, der betyder mest.

I den sidste fase skal styring gå fra opsætning til drift. Overvågning skal integreres i eksisterende arbejdsgange, eskalationsveje skal være tydeligt defineret, og bevis skal begynde at akkumulere naturligt, når systemer kører.

Målet over de første 90 dage er ikke perfektion. Det er momentum. Et styringsprogram, der fungerer uperfekt i praksis, er langt mere værdifuldt end et, der kun eksisterer på papir.”

Tak for det gode interview. Læsere, der ønsker at lære mere, kan besøge Trustible.