Den voksende kløft mellem AI-politik og håndhævelse i praksis

AI har ikke én samlet regelsamling

AI tages i brug på tværs af brancher og anvendelsesområder hurtigere, end de politikker og styringsrammer, der skal føre tilsyn med teknologien, kan nå at modnes. Historisk har AI-anvendelser i vid udstrækning været reguleret gennem eksisterende regler om forbrugerbeskyttelse, privatliv og specifikke brancher samt virksomhedernes egne interne politikker. Regeringer indfører nu krav, der specifikt retter sig mod AI, men kravene er fortsat fragmenterede og giver ofte kun begrænset vejledning i, hvordan systemerne rent faktisk skal fungere. Virksomhederne må derfor afveje eksterne krav over for deres egen risikovillighed, produktmål og operationelle virkelighed.

EU håndhæver nu aktivt dele af AI Act, mens den amerikanske føderale politik udtrykkeligt går ind for en mindre byrdefuld national ramme. Executive Order 14365 søger at begrænse modstridende krav fra delstaterne, samtidig med at delstaterne i 2025 indførte mere end 1.000 AI-relaterede tiltag. Hver af disse myndigheder beskriver en forskellig retning, og arbejdet med at få dem til at hænge sammen påhviler de virksomheder, der udvikler og udruller systemerne.

Men fastlæggelse af lovkrav er kun en del af udfordringen. Efterhånden som AI tages i brug i flere anvendelser og sammenhænge, skal virksomheder omsætte brede krav og interne politikker til operationelle kontroller og konkrete beslutninger truffet af AI. Ingen lovgivningsmæssig ramme kan forudse enhver anvendelse, sammenhæng eller afvejning. Organisationer skal derfor finde en vej fra de overordnede krav og interne politikker til systemadfærd, målbare resultater samt revision eller gennemgang. NIST AI Risk Management Framework anlægger en lignende tilgang ved at lægge vægt på løbende måling og styring frem for at behandle governance som en isoleret complianceøvelse. Krav føres ned gennem organisationen, mens dokumentation føres tilbage op: Tilsynsmyndigheder og ledere kan fastlægge de ønskede resultater, men organisationerne skal dokumentere, om deres systemer rent faktisk leverer dem.

Det betyder, at en stor del af det praktiske ansvar for AI-governance ligger hos de organisationer, der udruller systemerne.

Governance bliver vanskelig på implementeringsniveau

Regler og governance-rammer fastlægger generelt principper, forpligtelser og ønskede resultater. Produktionssystemer skal imidlertid omsætte dem til konkrete beslutninger, og det er her, governance bliver vanskelig. En politik kan sige, at man skal forebygge diskrimination, beskytte brugerne, sikre gennemsigtighed eller give mulighed for meningsfuld menneskelig kontrol, men et system i drift skal besvare langt mere konkrete spørgsmål: Ved hvilken tærskel skal det gribe ind, på grundlag af hvilke oplysninger og med hvilken grad af sikkerhed, hvornår kræves menneskelig gennemgang, hvad skal logføres, og hvad sker der, når systemet er usikkert?

Tilsynsmyndigheder forventer allerede svar på de spørgsmål. FTC, DOJ, CFPB og EEOC erklærede i fællesskab, at de vil håndhæve deres eksisterende beføjelser i forbindelse med automatiserede systemer. Det betyder, at nogen før eller siden vil bede en virksomhed forklare, hvordan dens system træffer beslutninger.

Forestil dig en platform med en tydelig politik mod chikane. En besked med bandeord kan være harmløs drilleri mellem venner, mens en tilsyneladende uskyldig besked kan være led i en vedvarende kampagne rettet mod en anden bruger. Systemet skal afgøre, hvilken kontekst det pålideligt kan bruge, hvor mange oplysninger der er tilstrækkelige til at gribe ind, og hvilket indgreb der er passende: Skal beskeden blokeres, afsenderen advares, sagen sendes videre til menneskelig gennemgang, eller skal der ikke foretages noget? Hvis detektionsgrænserne sænkes, kan det opfange mere skadelig adfærd, men også undertrykke legitim samtale. Krav om menneskelig gennemgang kan forbedre vurderingen, men forsinke indgrebet. Ingen af disse beslutninger er fastlagt i en generel politik mod chikane, men tilsammen afgør de, hvordan politikken rent faktisk håndhæves.

Intet politikdokument afgør disse afvejninger på forhånd, så nogen i virksomheden må træffe beslutningerne, dokumentere dem og tage dem op igen. Den person udformer i praksis politik, uanset om det fremgår af organisationsdiagrammet.

Hvad ansvarlig AI faktisk kræver

Hvis det i praksis er dem, der implementerer et system, som udformer politikken, kan ansvarlig AI ikke blot være en hensigtserklæring, for det skal kunne ses i systemets daglige adfærd. Det kræver, at man over tid styrer, hvordan AI bruges, måles og korrigeres, ikke blot godkender en politik eller består en indledende evaluering. Tre idéer er særligt vigtige i praksis, og hver af dem følger af de ovenstående afvejninger:

• Governance bør stå mål med konsekvenserne. Et AI-system, der foreslår tekst, godkender et lån, markerer en sikkerhedstrussel eller understøtter en medicinsk beslutning, indebærer meget forskellige risici. Organisationer skal afgøre, hvor der er behov for stærkere kontroller, gennemgang og tilsyn, ud fra de potentielle konsekvenser.
• Nøjagtighed alene er ikke tilstrækkeligt. Forskellige fejl har forskellige omkostninger. En falsk positiv i moderering kan undertrykke legitim tale, mens en fejl i forbindelse med långivning, sundhedspleje eller sikkerhed kan få langt alvorligere konsekvenser. Governance skal afspejle en beslutnings indvirkning på virkeligheden, ikke kun modellens ydeevne.
• Løbende evaluering og feedback er afgørende. Tilsidesættelser, klager, hændelser, grænsetilfælde og efterfølgende resultater bør alle indgå i den løbende evaluering.

En praktisk ramme for intern AI-styring

Hvis disse principper skal omsættes til praksis, skal styring indarbejdes i måden, AI-systemer designes, implementeres og forvaltes på. Fire praksisser er særligt vigtige:

• Behandl krav til styring som krav til produktet og systemet fra begyndelsen. Kontroller for efterlevelse, der tilføjes efter implementeringen, er ofte dyre og skrøbelige. Det er langt nemmere at indarbejde privatliv, gennemsigtighed, revisionssporbarhed og evalueringsmekanismer i et system fra start end at føje dem til senere.
• Skab en revisionssporbar kæde fra politik til beslutning. Organisationer skal kunne forbinde det styrende krav eller den interne politik med den anvendte kontrol og den efterfølgende beslutning. De har også brug for den dokumentation, der skal til for at evaluere kontrollen.
• Placér et tydeligt ansvar og en klar ansvarspligt. Fastlæg, hvem der ejer politikken, hvem der afgør, hvilken risiko der er acceptabel, og hvem der overvåger resultaterne. Nogen skal også have beføjelse til at gribe ind, når systemet opfører sig uden for de fastlagte grænser.
• Opbyg en fælles og fleksibel infrastruktur til styring. Datakontroller, revisionsspor, konfigurerbare politikker, arbejdsgange for evaluering og måling bør understøtte flere regulatoriske krav og anvendelsesområder. Kontroller og tærskelværdier bør kunne tilpasses efter jurisdiktion, anvendelse og risiko, så organisationer kan reagere på ændrede krav uden at genopbygge deres systemer.

Styring skal fungere i praksis

Regulering kan fastlægge forpligtelser og principper, men virksomheder skal stadig omsætte dem til systemer, der træffer reelle beslutninger i stor skala. Derfor er intern styring et driftsansvar og ikke blot en øvelse i at efterleve regler. Alle virksomheder, der implementerer AI i stor skala, fastlægger allerede politik gennem deres tærskelværdier, evalueringsregler og eskalationsveje. Det eneste åbne spørgsmål er, om de gør det bevidst.

Tilsynsmyndighederne vil fortsat fastlægge de resultater, de ønsker, og de vil ikke altid være enige. Derfor skal virksomheden beslutte, hvordan forventningerne omsættes til kontroller, og derefter dokumentere, at kontrollerne fungerer. Virksomheder, der allerede nu etablerer et tydeligt ansvar, målbare kontroller, revisionssporbarhed og en fleksibel infrastruktur, vil stå bedre rustet, efterhånden som reguleringen udvikler sig.

Jeg har set dette problem fra flere vinkler: i cybersikkerhedsmiljøer, under udviklingen af risikomodeller og nu i forbindelse med drift af AI-systemer i stor skala. Erfaringen er den samme på tværs af områderne: En ramme fungerer kun, hvis den kan omsættes til klare beslutninger, måles i praksis og forbedres, når virkeligheden afdækker manglerne.