AI-governance er den disciplin, der hjælper organisationer med at forklare, styre og dokumentere brugen af kunstig intelligens på tværs af forretning, teknologi, risiko og compliance. Behovet bliver særligt tydeligt, når AI-løsninger flytter sig fra eksperimenter i data science-teams til drift, kundevendte processer, leverandørkæder og beslutningsstøtte.
ISO/IEC 42001 er en ledelsessystemstandard for AI, der hjælper organisationer med at etablere, drive og forbedre et AI Management System, ofte forkortet AIMS. En ISO/IEC 42001 Lead Implementer arbejder ikke primært med at bygge modeller, men med at gøre AI-anvendelsen styrbar: at afgrænse systemet, fordele ansvar, etablere processer, skabe evidens og sikre, at risici bliver håndteret i praksis.
Det gør rollen relevant for AI-ledere, compliance- og risikochefer, CISO’er, data science- og MLOps-ansvarlige, IT-ledere og rådgivere, der skal omsætte AI-principper til et fungerende ledelsessystem. Standarden kan også være et naturligt næste skridt for organisationer, der allerede arbejder med ISO/IEC 27001, ISO 9001 eller andre ledelsessystemer og nu har brug for en tilsvarende struktur omkring AI.
Opdateret: 2026. Artiklen bygger på kendte strukturer i ISO/IEC 42001, relationen til ISO/IEC 23894 for AI-risikostyring, EU AI Act som regulatorisk kontekst og PECB’s certificeringsskema for Lead Implementer-rollen. Indholdet er skrevet som praktisk vejledning og bør ikke læses som juridisk rådgivning.
Hvad ISO/IEC 42001 betyder i praksis
ISO/IEC 42001 handler om ledelse af AI-systemer, ikke om at certificere en enkelt algoritme som “godkendt”. Standarden giver en ramme for, hvordan organisationen fastlægger politikker, roller, processer, risikostyring, kontrolaktiviteter, målinger og forbedringer omkring AI. Den hjælper dermed med at gøre AI-styring gentagelig, reviderbar og forankret i ledelsen.
En vigtig styrke er, at ISO/IEC 42001 følger den ledelsessystemlogik, som mange organisationer allerede kender fra andre ISO-standarder. Annex SL-strukturen gør det lettere at integrere AIMS med et informationssikkerhedsledelsessystem efter ISO/IEC 27001 eller et kvalitetsledelsessystem efter ISO 9001. Det betyder ikke, at implementeringen bliver enkel, men det reducerer risikoen for parallelle governance-spor, hvor AI, sikkerhed, kvalitet og compliance udvikler hver deres dokumentation uden fælles drift.
ISO/IEC 23894 passer ind som en mere specialiseret risikomotor i arbejdet. Hvor ISO/IEC 42001 beskriver ledelsessystemet omkring AI, fokuserer ISO/IEC 23894 på processer for AI-risikostyring. I en moden implementering bruges de to derfor ofte sammen: 42001 giver rammen for ansvar, beslutninger og forbedring, mens 23894 kan styrke selve metoden til at identificere, analysere, evaluere og behandle AI-risici.
Hvornår giver ISO/IEC 42001 mening som næste skridt?
Organisationer bør ikke vælge ISO/IEC 42001, fordi AI er strategisk vigtigt i en præsentation. Standarden giver størst værdi, når der allerede findes flere AI-brugssager, når løsningerne påvirker kunder, medarbejdere eller væsentlige beslutninger, eller når ledelsen har brug for dokumenterbar styring på tværs af teams og leverandører. I de situationer kan et AIMS skabe en fælles struktur for ansvar, risici, ændringer, målinger og forbedring.
Ved tidlige piloter kan det derimod være mere hensigtsmæssigt at starte smallere. Hvis organisationen kun har få eksperimenter, uklare AI-politikker og begrænset produktionsdrift, kan første skridt være at formulere AI-politik, etablere et modelinventar, definere risikokriterier og bruge ISO/IEC 23894 som grundlag for risikovurdering. Det kan senere modnes ind i et egentligt AIMS efter ISO/IEC 42001, når behovet for tværgående ledelse bliver tydeligere.
Et finansielt miljø med mange modeller til kreditvurdering, svindeldetektion og kundesegmentering vil typisk have brug for stærk dokumentation af modelændringer, bias-målinger, adgangsstyring og leverandørkontrol. Her kan ISO/IEC 42001 give en fælles ramme, der forbinder modelrisiko, informationssikkerhed, compliance og forretningsansvar. En mindre produktionsvirksomhed, der kun tester generativ AI til intern videnssøgning, kan omvendt få mere ud af en kort AI-politik, dataklassifikation og konkrete brugerregler, før den etablerer et fuldt ledelsessystem.
Lead Implementer-rollen er anderledes end Lead Auditor-rollen
En Lead Implementer bygger og modner ledelsessystemet. Rollen kræver forståelse for standardens krav, men den praktiske opgave er at få governance til at fungere i organisationens processer. Det indebærer typisk workshops med interessenter, scope-afklaring, risikovurderinger, procesdesign, dokumentation, træning, intern koordinering og forberedelse til senere audit.
En Lead Auditor vurderer derimod, om et ledelsessystem opfylder kravene og er effektivt implementeret. De to roller overlapper i standardforståelse, men de har forskelligt formål. En implementer skal skabe løsninger, der kan fungere i hverdagen; en auditor skal kunne evaluere dem uafhængigt. Den skelnen er vigtig, fordi organisationer ofte undervurderer, hvor meget implementeringsarbejde der ligger mellem en politik på papir og et AIMS, der faktisk styrer AI-anvendelsen.
I praksis fungerer Lead Implementer-rollen ofte som bindeled mellem ledelse, jura, informationssikkerhed, data science, indkøb og forretningsområder. Den person behøver ikke være den dybeste modeludvikler, men skal kunne stille de rigtige spørgsmål: Hvilke AI-systemer er omfattet? Hvem ejer risikoen? Hvilke data bruges? Hvordan opdages modeldrift? Hvilke leverandører indgår? Hvilken evidens viser, at kontrollerne virker?
Implementeringsrejsen fra scope til forbedring
Et AIMS bør begynde med en tydelig afgrænsning. Uklart scope er en af de mest almindelige årsager til, at AI-governance bliver tung uden at blive effektiv. Hvis organisationen ikke kan forklare, hvilke AI-systemer, datakilder, forretningsprocesser, leverandører og geografier der er omfattet, bliver det vanskeligt at lave meningsfulde risikovurderinger eller måle systemets effekt.
- Fastlæg scope ved at identificere AI-brugssager, berørte processer, dataområder, leverandører og organisatoriske grænser.
- Etabler governance med politikker, roller, beslutningsfora, eskalationsveje og ledelsesansvar.
- Byg risikoprocessen med kriterier, vurderingsmetoder, behandlingstiltag og kobling til ISO/IEC 23894.
- Integrer driften gennem MLOps-change, dokumentation, monitorering, hændelseshåndtering og leverandørstyring.
- Skab forbedring via interne audits, ledelsesevaluering, KPI’er, korrigerende handlinger og læring fra hændelser.
Den største udfordring ligger ofte i overgangen fra dokumentation til drift. Mange organisationer kan skrive en AI-politik, men færre kan vise, hvordan en modelændring godkendes, hvordan bias overvåges over tid, hvordan en leverandør bliver vurderet, eller hvordan en AI-hændelse bliver eskaleret. Et stærkt AIMS gør disse arbejdsgange konkrete nok til, at de kan gentages og forbedres.
De artefakter en Lead Implementer skal få på plads
Implementeringen bliver mere håndgribelig, når den oversættes til de artefakter, der understøtter daglig styring. Et modelinventar er et godt eksempel. Uden et opdateret overblik over modeller, ejere, formål, datakilder, afhængigheder og risikoklassifikation vil organisationen ofte mangle grundlaget for både risikostyring, incident response og ledelsesrapportering.
Modelinventar med ejerskab, formål, status, risikokategori og afhængigheder.
Data lineage, der viser væsentlige datakilder, transformationer og anvendelser.
Risikoregister for AI-brugssager med behandlingstiltag og ansvarlige ejere.
MLOps-change-proces for ændringer i modeller, features, træningsdata og deployment.
Leverandørkrav for transparens, sikkerhed, dokumentation, support og underleverandører.
Bias-, robustheds- og performance-metrics med tærskler og opfølgningsrutiner.
Beredskab for AI-relaterede hændelser, herunder eskalation, kommunikation og læring.
Artefakterne bør ikke opfattes som en papirøvelse. De skal hjælpe organisationen med at træffe bedre beslutninger, opdage problemer tidligere og dokumentere, at kontrollerne har en driftseffekt. Hvis et risikoregister ikke påvirker prioriteringer, eller hvis bias-målinger ikke fører til handling, er AIMS’et svagt, uanset hvor pænt dokumentationen ser ud.
KPI’er og evidens for at AIMS virker
Et AI-ledelsessystem bør måles på mere end antallet af dokumenter eller gennemførte workshops. Relevante KPI’er afhænger af organisationens AI-brug, men de bør vise, om governance reducerer risiko og forbedrer kontrol i praksis. Det kan være andelen af AI-systemer med opdateret ejer, antal uafklarede højrisiko-observationer, tid til behandling af AI-hændelser, resultater fra modeldrift-monitorering eller leverandørers overholdelse af dokumentationskrav.
For modeller i drift kan evidens omfatte ændringslogs, testresultater, bias- og robusthedsrapporter, godkendelser før release, hændelsesregistreringer og dokumenteret opfølgning efter afvigelser. For generativ AI kan relevante målepunkter være databeskyttelsesafvigelser, brug af godkendte værktøjer, kvaliteten af menneskelig kontrol i kritiske processer og mønstre i fejlrapporter fra brugerne. Pointen er ikke at måle alt, men at vælge indikatorer, der viser, om de væsentligste risici bliver styret.
En anonymiseret offentlig organisation, der bruger AI til sagsprioritering, vil for eksempel typisk have brug for evidens for datakvalitet, forklarbarhed, menneskelig godkendelse og løbende vurdering af uønskede skævheder. En SaaS-virksomhed, der integrerer tredjeparts-AI i et produkt, vil ofte fokusere mere på leverandørkrav, ændringsvarsling, sikkerhed, kundedokumentation og hurtig håndtering af driftsafvigelser. Begge kan bruge ISO/IEC 42001, men deres KPI’er og kontroller bør ikke være identiske.
Forholdet til EU AI Act
EU AI Act og ISO/IEC 42001 bør ikke blandes sammen. EU AI Act er lovgivning med juridiske forpligtelser for bestemte aktører og AI-systemer. ISO/IEC 42001 er en frivillig ledelsessystemstandard, der kan hjælpe organisationer med at strukturere AI-governance, dokumentation, risikostyring og forbedring. En ISO/IEC 42001-implementering er derfor ikke i sig selv en garanti for juridisk overholdelse.
Standarden kan dog være praktisk relevant i arbejdet med regulatoriske krav, fordi den skaber en organisatorisk ramme for ansvar, evidens og kontrol. Hvis et AI-system er omfattet af særlige krav i EU AI Act, skal organisationen stadig vurdere de konkrete juridiske forpligtelser, roller og dokumentationskrav. ISO/IEC 42001 kan understøtte den styring, men juridiske vurderinger bør håndteres særskilt af relevante rådgivere.
Datagrundlaget er en central del af den diskussion. Beslutninger om datakvalitet, dataminimering, repræsentativitet, adgang og sporbarhed har direkte betydning for både risiko og tillid. Læsere, der ønsker en bredere forståelse af datarollens betydning, kan se denne introduktion til data i kunstig intelligens.
Hvor organisationer typisk fejler
Den første fejl er at definere AIMS’et for bredt eller for uklart. Et scope, der blot siger “alle AI-systemer”, uden at forklare grænser, processer og ansvar, skaber usikkerhed i både implementering og auditforberedelse. Det er bedre at starte med en tydelig afgrænsning og udvide systemet kontrolleret end at etablere en stor governance-model, som ingen kan operationalisere.
Den anden fejl er at overse målinger. AI-risici ændrer sig over tid, især når data, brugeradfærd, modeller eller integrationspunkter ændrer sig. Hvis organisationen ikke monitorerer modeldrift, bias, performance, hændelser og leverandørændringer, kan AIMS’et miste forbindelsen til den virkelige risiko. Governance bør derfor kobles tæt til MLOps, incident management, indkøb og sikkerhedsprocesser.
Den tredje fejl er overdokumentation uden beslutningskraft. Mange dokumenter kan give en følelse af kontrol, men de skaber ikke nødvendigvis bedre styring. Et effektivt AIMS gør det tydeligt, hvem der kan godkende en højrisiko-brugssag, hvornår en model skal revurderes, hvilke leverandørkrav der er ufravigelige, og hvordan afvigelser fører til korrigerende handlinger.
Hvordan et kursus passer ind i arbejdet
Formel træning er mest nyttig, når organisationen allerede har en praktisk opgave at løse. En deltager får mere ud af et Lead Implementer-forløb, hvis vedkommende kan relatere standardens krav til konkrete AI-brugssager, eksisterende ledelsessystemer, risikoregistre og interne beslutningsprocesser. Det gælder især i organisationer, der skal integrere AIMS med ISO/IEC 27001, ISO 9001 eller etablerede compliance- og sikkerhedsprocesser.
Readynez tilbyder et ISO/IEC 42001 Lead Implementer-kursus for fagfolk, der skal forstå standarden fra et implementeringsperspektiv og forberede sig på PECB Certified ISO/IEC 42001 Lead Implementer-eksamenen. Det bør ses som en måde at strukturere læringen på, ikke som en erstatning for ledelsesopbakning, datagrundlag, procesarbejde og intern forankring.
Den praktiske forberedelse bør begynde før kursusstart. Deltagere kan med fordel samle eksempler på organisationens AI-brugssager, eksisterende politikker, risikometoder, leverandørkrav og eventuelle model- eller dataprocesser. Det gør det lettere at omsætte standardens begreber til beslutninger, der kan bruges efter træningen.
At gøre AI-styring operationel
ISO/IEC 42001 giver mest værdi, når den bruges som en driftsramme for ansvarlig AI, ikke som et isoleret certificeringsprojekt. En Lead Implementer skal derfor kunne oversætte krav til arbejdsgange, evidens og beslutninger, der passer til organisationens AI-risici. Den stærke implementering er den, hvor ledelsen kan se, hvilke AI-systemer der findes, hvilke risici der er accepteret, hvilke kontroller der virker, og hvor forbedringer er nødvendige.
Det mest realistiske næste skridt er at vurdere modenheden: hvor mange AI-systemer er i brug, hvor klart er ansvaret placeret, hvilke målinger findes allerede, og hvordan håndteres leverandører og modelændringer? Hvis svaret peger på behov for et egentligt AIMS, kan et struktureret Lead Implementer-forløb hos Readynez være et relevant skridt videre fra analyse til implementering.
