Smarte systemløsninger til danske virksomheder — siden 1999. Admind ERP, webshop, hosting og IT-service samlet ét sted.
Smarte systemløsninger til danske virksomheder — siden 1999. Admind ERP, webshop, hosting og IT-service samlet ét sted.
Skrevet til bestyrelsesmedlemmet i en virksomhed med 100–200+ ansatte. Hvad I skal spørge om, hvad der skal ligge som bilag, og hvordan punktet formuleres, så det kan bære et tilsyn og et erstatningskrav.
Ikke AI-forordningen. Selskabslovens § 115, nr. 2 pålægger bestyrelsen at påse, at der er etableret de fornødne procedurer for risikostyring og interne kontroller. AI er blevet en af de procedurer. Ét dagsordenspunkt, fem spørgsmål og en protokoltekst er det, der skal til.
AI-forordningen retter sig mod virksomheden som udbyder eller idriftsætter. Bestyrelsens personlige ansvar står et andet sted: i selskabslovens § 115, nr. 2 og nr. 4, og i § 361 om erstatningsansvar. Derfor er AI et risikostyringspunkt, før det er et compliancepunkt.
Det er den vigtigste skelnen i hele dette emne, og den bliver næsten altid blandet sammen. AI-forordningen — forordning (EU) 2024/1689 — lægger forpligtelser på virksomheden. Den taler om udbydere (artikel 3, nr. 3) og idriftsættere (artikel 3, nr. 4), om AI-kompetence (artikel 4), forbudte praksisser (artikel 5) og gennemsigtighed (artikel 50). Den siger intet om, hvad en bestyrelse skal gøre.
Bestyrelsens forpligtelse står i selskabslovens § 115, nr. 2, hvorefter bestyrelsen skal påse, at der er etableret de fornødne procedurer for risikostyring og interne kontroller
. Og i nr. 4, hvorefter bestyrelsen skal påse, at direktionen udøver sit hverv på en behørig måde og efter bestyrelsens retningslinjer
. Det er en pligt til at påse — ikke til selv at udføre. Men det er en pligt, der kan efterprøves bagefter, og som kun kan dokumenteres med et referat.
Hvis man vil vide, hvorfor det ikke er ligegyldigt, skal man læse én paragraf mere. § 361, stk. 1 siger, at stiftere og medlemmer af ledelsen, som under udførelsen af deres hverv forsætligt eller uagtsomt har tilføjet kapitalselskabet skade, er pligtige til at erstatte denne
, og at det samme gælder, når skaden er tilføjet kapitalejere eller tredjemand
. Uagtsomhed er nok. Og den, der skal bevise, at bestyrelsen gjorde det, den skulle, er bestyrelsen.
Det er derfor denne artikel handler om en dagsorden og en protokoltekst frem for om teknologi. Bestyrelsen skal ikke kunne forklare, hvordan en sprogmodel er trænet. Den skal kunne fremvise, at den har stillet de rigtige spørgsmål, fået svar, og truffet en beslutning med en dato på. Grundlaget for hele serien — hvad AI-forordningen i det hele taget kræver af en dansk virksomhed — står samlet på vores oversigt over AI-forordningens krav til danske virksomheder.
Fordi brugen er blevet almindelig, mens procedurerne ikke er. Dansk Erhverv opgjorde i sit analysenotat Danske virksomheders brug af AI fra 17. februar 2026, at 70 pct. af medlemsvirksomhederne bruger AI-værktøjer mod 44 pct. i 2023, at seks ud af ti bruger ChatGPT eller en anden avanceret sprogmodel, og at det gælder 96 pct. af virksomhederne over 250 ansatte. Analytiker Kasper Lynge Jacobsen formulerer det sådan: AI er på rekordtid blevet et helt almindeligt arbejdsredskab i danske virksomheder.
Et arbejdsredskab, der er almindeligt i hele huset, men ikke beskrevet nogen steder, er præcis definitionen på en manglende intern kontrol. Det er ikke en teknisk mangel. Det er den slags, § 115 handler om.
Fem spørgsmål dækker hele feltet: hvor bruges AI, hvilken rolle har vi, hvilke data går ind, hvem har godkendt rammen, og hvad sker der, når det går galt. Hvert spørgsmål skal have et skriftligt svar med en dato og en ansvarlig. Uden dato og navn er svaret ikke et svar.
Rækkefølgen er ikke tilfældig. Spørgsmål 1 er det eneste, der ikke kan springes over, fordi de fire andre ikke kan besvares uden det. Erfaringen fra kundemøder er, at direktionen typisk kan svare på to af dem med det samme, kan finde svaret på to mere i løbet af en uge, og aldrig har svaret på det femte klar.
Spørgsmålet skal stilles sådan, fordi det er den gratis brug, der er risikoen. Datatilsynet beskriver i sit sikkerhedstip Forhold dig til AI-værktøjer en stigning i brud på persondatasikkerheden, hvor ansatte har brugt persondata fra deres arbejde som input og prompts i værktøjerne
— ofte uden at arbejdspladsen er klar over det. Det er ikke en dårlig vane. Det er et databrud, der skal vurderes efter databeskyttelsesforordningen.
Et godt svar er en liste med tre kolonner: afdeling, værktøj, formål. Et dårligt svar er vi bruger Copilot
. Vi har beskrevet, hvordan listen laves, og hvad den typisk afslører, i artiklen om skygge-AI og medarbejdere, der bruger værktøjer I ikke har godkendt.
Til sammenligning: Cato Networks fandt i december, at over 60 pct. af IT-ledere i Europa, Nordamerika og Asien havde fundet uautoriserede AI-værktøjer i deres IT-miljø, og Darktrace registrerede i oktober en 39 pct. stigning i afvigende datauploads til generative AI-tjenester. Begge er leverandørtal og skal læses som sådan, men de peger samme vej som Datatilsynets observation.
Det er ikke et akademisk spørgsmål. Rollen afgør, hvilke pligter virksomheden har, og den kan skifte uden at nogen beslutter det. Digitaliseringsstyrelsens hovedvejledning om artikel 5 fra oktober 2025 gør opmærksom på, at en idriftsætter kan blive udbyder ved væsentlige ændringer
. Sætter man sit eget navn på en chatbot, eller bygger man et produkt oven på en model, er man som regel udbyder — og så gælder et helt andet sæt pligter.
Bestyrelsen skal ikke afgøre det. Den skal påse, at nogen har afgjort det, skriftligt, system for system, med en begrundelse. Et svar pr. system, ikke ét samlet svar for virksomheden.
Her mødes AI og databeskyttelse. Spørgsmålet har tre dele: hvilke kategorier af data bliver brugt som input, findes der en databehandleraftale med leverandøren, og er kontoen en erhvervskonto eller en gratiskonto oprettet med en arbejdsmail. Det sidste er det hurtigste at tjekke og det, der oftest er galt.
Selve aftalen er sjældent problemet. Det er bilagene — og hvad der står i dem om træning, logning og underdatabehandlere. Vi har gennemgået dem felt for felt i artiklen om databehandleraftalen med AI-leverandøren.
Datatilsynet skriver i samme sikkerhedstip, at arbejdspladsen bør fastsætte organisatoriske rammer for, om — og eventuelt hvordan — medarbejdere må bruge generativ AI
, og at man kan overveje at blokere offentligt tilgængelige generative AI-værktøjer i arbejdspladsens firewall
. Det er den tekniske del, og den kan laves på en eftermiddag med en hosted firewall. Det er også et af de få steder i hele dette emne, hvor et værktøj faktisk løser problemet frem for blot at beskrive det.
En AI-politik uden dato og uden godkender er et udkast, uanset hvor god den er. Bestyrelsen skal have svar på, hvem der har godkendt den, hvornår, hvornår den sidst er revideret, og hvordan medarbejderne er blevet instrueret i den. Det sidste er samtidig virksomhedens dokumentation for artikel 4 om AI-kompetence, som har været gældende siden 2. februar 2025.
Digitaliseringsstyrelsens egen side om AI-færdigheder er klar på et punkt, der ofte misforstås: Der skelnes altså ikke mellem grader af risiko i AI-systemer.
Kravet gælder uanset, hvor ufarligt værktøjet er. Til gengæld er der ingen krav om certificering, og styrelsens vejledning fra januar 2025 siger selv, at det er ikke specificeret i lovgivningen
, hvilke tiltag der kræves. Hvad det i praksis betyder, og hvordan en halv time på et personalemøde bliver gyldig dokumentation, står i artiklen om hvad "tilstrækkelig AI-kompetence" betyder efter artikel 4.
Det spørgsmål er næsten altid ubesvaret. Det har to dele, og de hører til hos to forskellige personer.
Den første del er anmeldelsespligten. Datatilsynet skriver, at man skal uden unødig forsinkelse og om muligt inden 72 timer foretage anmeldelse af bruddet til Datatilsynet via Virk.dk
, medmindre det er usandsynligt, at bruddet medfører en risiko for personers rettigheder eller frihedsrettigheder
. Bestyrelsen skal vide, hvem der træffer den vurdering klokken 22 en fredag, og hvem der anmelder.
Den anden del er, om der er dækning. Mange cyberforsikringer stiller konkrete krav til de tekniske foranstaltninger, før de dækker — og AI-hændelser er et nyt område, hvor policeteksten sjældent er skrevet med dem i tankerne. Vi har samlet de krav, der typisk stilles, i artiklen om cyberforsikringens it-sikkerhedskrav.
Protokolteksten skal vise tre ting: at bestyrelsen har fået et grundlag, at den har vurderet det, og at den har truffet en beslutning med en frist og en ansvarlig. Fem til otte linjer er nok. Formuleringen bestyrelsen tog orienteringen til efterretning
er ikke nok — den dokumenterer, at nogen talte, ikke at nogen påså.
Vi får spørgsmålet i næsten hver gennemgang: hvad skal der stå i referatet? Nedenfor er tre versioner, der dækker de tre situationer, en bestyrelse realistisk befinder sig i. De er skrevet til at kunne skrives ind direkte og rettes til. De er ikke juridisk rådgivning, og de erstatter ikke selskabets egen advokat — men de rammer de elementer, som § 115, nr. 2 forudsætter.
Bestyrelsen gennemgik direktionens oversigt af [dato] over virksomhedens anvendelse af AI-værktøjer, herunder rollefordelingen efter forordning (EU) 2024/1689 artikel 3, samt den gældende AI-politik godkendt af direktionen [dato]. Bestyrelsen konstaterede, at der for hvert anvendt system er truffet en skriftlig afgørelse om, hvorvidt virksomheden er idriftsætter eller udbyder, at der foreligger databehandleraftale for de systemer, der behandler personoplysninger, og at medarbejderne er instrueret [dato] med referat. Bestyrelsen vurderede på det grundlag, at de fornødne procedurer for risikostyring og interne kontroller på området er etableret, jf. selskabslovens § 115, nr. 2. Bestyrelsen besluttede, at [navn] årligt fremlægger en opdateret oversigt, næste gang senest [dato], og at væsentlige ændringer i anvendelsen forelægges bestyrelsen forud for idriftsættelse.
Det er langt den hyppigste situation, og den er ikke et problem, så længe referatet siger det. Det, der skader bestyrelsen, er ikke en mangel. Det er en mangel, der ikke er registreret.
Bestyrelsen gennemgik direktionens foreløbige oversigt over virksomhedens anvendelse af AI-værktøjer og konstaterede, at oversigten endnu ikke er fuldstændig, idet [afdeling/område] ikke er kortlagt, og at der for [antal] systemer ikke er truffet afgørelse om rollefordelingen efter forordning (EU) 2024/1689 artikel 3. Bestyrelsen vurderede, at de nuværende procedurer ikke er tilstrækkelige, jf. selskabslovens § 115, nr. 2. Bestyrelsen pålagde direktionen at færdiggøre kortlægningen, udarbejde og godkende en AI-politik samt instruere medarbejderne inden [dato], og at status fremlægges på bestyrelsesmødet [dato]. [Navn] er ansvarlig. Indtil kortlægningen er afsluttet, må personoplysninger og kundedata ikke anvendes som input i værktøjer uden databehandleraftale.
Den version er værd at skrive alligevel, og den tager to minutter. Pointen er, at en bestyrelse, der aldrig har behandlet spørgsmålet, ikke kan vise, at den har påset noget. En bestyrelse, der har behandlet det og konkluderet, at der ikke er noget at behandle, kan.
Bestyrelsen behandlede virksomhedens anvendelse af AI-værktøjer. Direktionen oplyste, at virksomheden ikke anvender generative AI-værktøjer erhvervsmæssigt, og at medarbejderne [dato] er instrueret i, at sådanne værktøjer ikke må anvendes til virksomhedens opgaver uden forudgående godkendelse. Bestyrelsen konstaterede, at der dermed ikke aktuelt er behov for yderligere procedurer på området, jf. selskabslovens § 115, nr. 2, og besluttede at genoptage punktet senest [dato] eller tidligere, hvis anvendelsen ændres.
Tre forhold er fælles for alle tre versioner, og de er dem, der afgør, om teksten holder. For det første en dato på hvert bilag og hver handling. For det andet et navn — ikke direktionen
, men en person. For det tredje en frist for næste gennemgang, så det fremgår, at bestyrelsen betragter det som løbende og ikke som afsluttet.
Punktet bliver kort, hvis bilagene er klar. Det bliver en halv times ørkenvandring, hvis de ikke er. Fem bilag dækker behovet, og ingen af dem behøver at være lange.
| Bilag | Hvad det er | Hvem laver det | Omfang |
|---|---|---|---|
| 1. AI-oversigten | Afdeling, værktøj, formål, kontotype. Også de gratis værktøjer. | Direktionen, med input fra alle afdelinger | 1 side |
| 2. Rolleafgørelsen | Pr. system: idriftsætter eller udbyder, med begrundelse og dato. | Direktionen, evt. med ekstern vurdering | ½ side |
| 3. AI-politikken | Hvad må bruges, til hvad, med hvilke data. Dateret og godkendt. | Direktionen godkender | 2 sider |
| 4. Instruktionsreferatet | Hvem er instrueret, hvornår, i hvad. Dokumentationen for artikel 4. | HR eller den mødeansvarlige | 5 linjer |
| 5. Hændelsesvejen | Hvem vurderer et brud, hvem anmelder inden 72 timer, hvem orienterer bestyrelsen. | Direktionen, sammen med it-leverandøren | ½ side |
Alle fem bilag findes i en form i den guide, vi har samlet til formålet. Den er to sider og indeholder rollefordelingen, de spørgsmål, der skal stilles, og den tekst, der kan føres til protokols — den kan hentes længere nede på siden.
Fire datoer er relevante for en dansk virksomhed lige nu: 2. februar 2025 (AI-kompetence og forbudte praksisser gælder), 2. august 2025 (dansk håndhævelse i kraft), 2. december 2026 (mærkning af ældre systemer) og 2. december 2027 (højrisiko efter bilag III). Resten kan vente.
Datoerne blev flyttet med den såkaldte digitale omnibus, og flere oversigter på nettet er ikke opdateret. Digitaliseringsstyrelsens egen AI Omnibus-side bekræfter ordret, at kravet om mærkning af AI-genereret materiale i maskinlæsbart format gælder først fra 2. december 2026
for systemer, der var på markedet før 2. august 2026, og at de to nye artikel 5-forbud gælder fra 2. december 2026
.
| Dato | Hvad gælder | Hvad bestyrelsen skal have på bordet |
|---|---|---|
| 2. februar 2025 | Artikel 4 (AI-kompetence) og artikel 5 (forbudte praksisser) gælder. | Instruktionsreferatet. Kravet er allerede gældende, ikke kommende. |
| 2. august 2025 | Dansk håndhævelse i kraft, lov nr. 467 af 14. maj 2025. Kapitel V om modeller til almen brug. | Hvem er myndighed for os, og hvad kan de kræve. |
| 2. august 2026 | Artikel 50 om gennemsigtighed gælder for nye systemer. | Chatbot, AI-telefoni og AI-genereret materiale: er der oplysning ved første interaktion. |
| 2. december 2026 | Maskinlæsbar mærkning for systemer på markedet før 2. august 2026. To nye artikel 5-forbud. | Leverandørsvarene på skrift. Se artiklen om mærkningsfristen. |
| 2. december 2027 | Højrisikosystemer efter bilag III, herunder ansættelse og HR. | Bruger vi AI i rekruttering? Beslutningen tages nu, ikke i 2027. |
| 2. august 2028 | Højrisiko i produkter, bilag I. | Kun relevant for producenter af fysiske produkter med indbygget AI. |
Det, der oftest overses i den tabel, er den første linje. Artikel 4 har været gældende i mere end halvandet år. Der er ingen frist at nå — der er en pligt, der er misligholdt, indtil instruktionen er gennemført og skrevet ned.
Er virksomheden omfattet af NIS 2-loven, er bestyrelsens pligter ikke længere en fortolkning af § 115. Så står de direkte i loven: ledelsesorganet skal godkende foranstaltningerne, føre tilsyn med at de gennemføres, og deltage i relevante kurser. Og uddannelsen skal kunne dokumenteres.
Styrelsen for Samfundssikkerhed udgav i maj 2025 en vejledning om ledelsens rolle og opgaver efter NIS 2-loven. Den er den klareste danske tekst om, hvad et ledelsesorgan faktisk skal gøre på cybersikkerhedsområdet, og den er værd at læse også for en bestyrelse, der ikke er omfattet — fordi den beskriver den standard, en domstol vil se som god praksis.
Vejledningen fastslår, at foranstaltningerne skal være godkendt af enhedens ledelsesorgan
efter lovens § 7, stk. 1, og at ledelsesorganet i enheden skal føre tilsyn med, at de godkendte cybersikkerhedsforanstaltninger gennemføres
. Tilsynet kan ske gennem periodiske ledelsesrapporter, intern revision eller ekstern revision. Om ansvaret skriver den, at ledelsesorganet har ansvaret for styringen af cybersikkerhedsrisici
, og at ansvaret kan uddelegeres til udvalg, men at det samlede ledelsesorgan bevarer det kollektive ansvar.
Uddannelseskravet i § 7, stk. 2 er det punkt, der oftest overraskes over: medlemmerne skal deltage i relevante kurser om styring af cybersikkerhedsrisici
. Vejledningen præciserer, at kravet ikke gælder hvert enkelt medlem, men at ledelsesorganet samlet skal have de nødvendige kompetencer — og at aktiviteterne skal kunne dokumenteres, for eksempel med et kursusbevis eller en bekræftelse af deltagelse.
Dansk Erhverv formulerede det samme i februar 2026 kort og uden forbehold: NIS2 placerer ansvaret tydeligt hos virksomhedens ledelse.
Og med en sætning, der er værd at tage med i et referat: Det er ikke tilstrækkeligt at ’notere sig’, at der arbejdes med sikkerhed.
Dansk Erhverv peger desuden på, at hverken direktivet eller den danske NIS2-lov giver adgang til personlige bøder til ledelsen, men at manglende opfyldelse kan medføre et personligt erstatningsansvar
over for de skadelidte. Det er den samme mekanisme som selskabslovens § 361.
Når tilsynsmyndigheden kommer, er det efter Dansk Erhvervs gennemgang fire ting, de beder om: risikovurderinger, beslutninger truffet på ledelsesniveau, opfølgning på identificerede risici og intern rapportering. Alle fire er referatstof. Ingen af dem er teknik. Er I underleverandør til en omfattet virksomhed, møder I ofte kravene som et spørgeskema — vi har gennemgået de typiske spørgsmål i artiklen om NIS2-spørgeskemaet til underleverandører.
Det er præcis den sammenkobling, Finanstilsynet gjorde i sin pressemeddelelse af 21. august 2026. Tilsynet skriver, at avancerede AI-modeller kan gøre det lettere for angribere at finde og udnytte sårbarheder hurtigere og i større skala end tidligere, og opfordrer virksomhederne til at placere tydeligt ansvar hos bestyrelsen og direktionen for AI-risici, så AI-risici indgår i virksomhedens governance og it-risikostyring.
»Ledelsen skal have et klart billede af sårbarhederne og sikre, at virksomhedens beredskab er afprøvet.«
— Mette Tams Kitaj, vicedirektør, Finanstilsynet, 21. august 2026
Finanstilsynet henviser til ESRB’s vurdering af 7. juli 2026 og de europæiske tilsynsmyndigheders fælles udtalelse af 31. juli 2026, og understreger samtidig, at der ikke findes én standardløsning for hele sektoren. Udmeldingen gælder formelt kun finansielle virksomheder. Men formuleringen — AI-risici hører i governance og i it-risikostyringen, med tydeligt ansvar hos bestyrelsen — er den retning, hele feltet bevæger sig i, og den er værd at kende for enhver bestyrelse.
Det er sjældent relevant, men bestyrelsen bør vide det. Lov nr. 467 af 14. maj 2025 om supplerende bestemmelser til AI-forordningen trådte i kraft 2. august 2025. Efter § 2 er Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen nationale kompetente myndigheder, og Digitaliseringsstyrelsen er bemyndigende myndighed og centralt kontaktpunkt. Loven giver myndigheden adgang til at kræve alle nødvendige oplysninger (§ 5), adgang til erhvervsmæssige lokaliteter uden retskendelse (§ 6, stk. 1), mulighed for tekniske undersøgelser af AI-systemer på stedet (§ 6, stk. 2), offentliggørelse af afgørelser (§ 7) samt påbud og midlertidige forbud (§ 8). Efter § 3 kan afgørelser ikke indbringes for anden administrativ myndighed.
Om beløbene skal man være forsigtig. Loven selv fastsætter ingen bødebeløb. Advokatfirmaet Kromann Reumert angiver for overtrædelser af artikel 50 en ramme på op til 15 mio. EUR eller op til 3 % af virksomhedens samlede globale årlige omsætning
, hvad der er højest. Dansk Industri bemærker, at der for artikel 4 ikke er fastsat EU-dækkende bøder, og at det er overladt til medlemsstaterne — samt at risikoen er svær at kvantificere, da der endnu ikke findes retspraksis. Det er den ærlige status: rammen findes, praksis gør ikke.
»Vi sparer det, der svarer til en hel arbejdsdag om ugen på administration.«— Westwind, Admind-kunde i over 10 år
Denne artikel er skrevet til bestyrelsen i en virksomhed med 100–200+ ansatte, hvor der typisk er et formelt årshjul og en it-ansvarlig at spørge. I de mindre størrelser er det samme spørgsmål stadig relevante — de bliver bare stillet af ejeren til sig selv, og svaret skrives i et ejerbogsreferat i stedet for en bestyrelsesprotokol.
| Hvem | Hvad opgaven er | Hvor det skrives ned | Tid |
|---|---|---|---|
| Indehaver, 1–9 ansatte | Fem spørgsmål til dig selv. Vigtigst: hvilke værktøjer bruger I, og på hvilken konto. | Et dateret notat i mappen ved siden af årsregnskabet | 1 time |
| 10–49 ansatte | Oversigt pr. afdeling, en politik på to sider, instruktion på et personalemøde. | Direktionsreferat, evt. ejerbogsreferat | ½ dag |
| 50–99 ansatte | Som ovenfor, plus rolleafgørelse pr. system og databehandleraftaler gennemgået. | Direktionsreferat og et punkt til bestyrelsen | 1 dag |
| 100–200+ ansatte (denne artikel) | Fast punkt i årshjulet, fem bilag, protokoltekst, navngiven ansvarlig og dato for næste gennemgang. Er I omfattet af NIS2: også godkendelse, tilsyn og dokumenteret kursusdeltagelse. | Bestyrelsesprotokollen | 20–30 min. pr. møde, når bilagene er klar |
| Direktionen | Leverer alle fem bilag. Udpeger én ansvarlig. Rapporterer status, også når status er "ikke færdig". | Direktionsreferat | To møder |
| Bestyrelsen | Påser, at procedurerne findes — ikke at de er perfekte. Træffer en beslutning med frist. Grundlaget er selskabslovens § 115, nr. 2 og nr. 4. | Protokollen | Ét punkt |
Den praktiske forskel mellem de to yderpunkter er ikke indholdet. Det er, hvem der kan holdes ansvarlig. I enkeltmandsvirksomheden er svaret ejeren, uanset hvad der står på papir. I selskabet med en bestyrelse er svaret de personer, der sad i bestyrelsen på det tidspunkt — og der afgør protokollen sagen.
Bilagene skal laves hos jer, fordi det kun er jer, der ved, hvad der bruges. Vi kan lave gennemgangen sammen med direktionen, og vi kan lukke de tekniske huller, listen afdækker: adgangsstyring, blokering i firewall, overvågning af endpoints, backup og drift.
Det er værd at være præcis om arbejdsdelingen, for den er ofte vendt om. Den del, der kræver ekstern hjælp, er sjældent dokumentet. Det er de tekniske foranstaltninger, dokumentet afslører at man mangler.
Vi sætter os ned med direktionen og går de fem spørgsmål igennem, system for system. Resultatet er de fem bilag i en form, bestyrelsen kan behandle. Rådgivningen leveres i forbindelse med gennemgangen — vi sælger ikke en pakke, og omfanget afhænger af, hvor mange systemer der er.
Blokering af offentlige AI-værktøjer med hosted firewall, overvågning af endpoints med SentinelOne, adgangsstyring og drift af Microsoft 365 samt online backup i danske datacentre.
Arbejder I efter ISO 27001-principper, hører AI-oversigten og rolleafgørelsen naturligt ind i det arbejde, I allerede laver. Vi hjælper med at få det ind i de eksisterende dokumenter frem for at lave et parallelt spor. Se informationssikkerhed.
Skal AI bruges på virksomhedens data, er forskellen mellem en godkendt løsning og en gratiskonto hele pointen. Vi bygger AI-agenter på jeres egne systemer, og vi har beskrevet et konkret eksempel i artiklen om Admind og ChatGPT.
To sider, der kan lægges direkte på bordet til et bestyrelses- eller direktionsmøde. Rollefordelingen, de spørgsmål, der skal stilles, og den tekst, der kan føres til protokols.
Vi sender guiden som PDF. Ingen opkald, ingen nyhedsbreve du ikke har bedt om.
Vi går jeres AI-brug igennem sammen med direktionen og afleverer bilagene i en form, bestyrelsen kan behandle på næste møde. Vi siger også til, hvis svaret er, at I ikke har noget at udfylde.
»Vi sparer det, der svarer til en hel arbejdsdag om ugen på administration.«
— Westwind, Admind-kunde i over 10 årFast punkt, men ikke på hvert møde. Én gang årligt i årshjulet, plus ad hoc når anvendelsen ændres væsentligt — for eksempel, hvis virksomheden begynder at bruge AI på kundedata eller sætter sit eget navn på en chatbot. Protokolteksten bør altid indeholde en dato for næste gennemgang, så det fremgår, at bestyrelsen betragter området som løbende.
Så er svaret "ikke kortlagt", og det skal i protokollen med en frist. Det er en helt legitim konklusion på et første møde om emnet. Det, der kan kritiseres bagefter, er ikke en mangel, der er registreret og fulgt op — det er en mangel, der ikke står nogen steder.
Selskabslovens § 361, stk. 1 gør ledelsesmedlemmer erstatningsansvarlige for skade, de forsætligt eller uagtsomt tilføjer selskabet, kapitalejerne eller tredjemand. Dansk Erhverv bemærker samtidig, at hverken NIS2-direktivet eller den danske NIS2-lov giver adgang til personlige bøder til ledelsen, men at manglende opfyldelse kan medføre et personligt erstatningsansvar. Der findes endnu ikke dansk retspraksis om AI specifikt, så ingen kan sige, hvor grænsen ligger. Dokumentationen er det, der flytter sagen.
Ja, på to punkter. Artikel 4 om AI-kompetence gælder uanset risikoniveau — Digitaliseringsstyrelsen skriver, at der ikke skelnes mellem grader af risiko. Og hvis mailene indeholder kundeoplysninger, er inputtet en behandling af personoplysninger, der kræver et grundlag og en databehandleraftale. Begge dele er hurtige at løse. Ingen af dem løser sig selv.
Efter lov nr. 467 af 14. maj 2025 er Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen nationale kompetente myndigheder. Digitaliseringsstyrelsen er bemyndigende myndighed og centralt kontaktpunkt og fører markedsovervågning for artikel 5, stk. 1, litra a-c, e og f, mens Datatilsynet dækker litra d og g. Digitaliseringsstyrelsens FAQ bemærker, at det endnu er uafklaret
, hvem der kommer til at føre tilsyn med gennemsigtighedsforpligtelsen i artikel 50.
Det afhænger af, hvor mange systemer der er, og om der skal laves databehandleraftaler. Vi giver et fast tilbud efter en kort samtale, hvor vi hører, hvad der er i brug. Vi sælger ikke en navngiven governance-pakke, og vi kan ikke sætte en pris på en side, før vi ved, hvad opgaven er.
Ikke efter AI-forordningen — artikel 4 retter sig mod personale og personer, der anvender systemerne på organisationens vegne. Men er virksomheden omfattet af NIS 2-loven, skal ledelsesorganets medlemmer efter § 7, stk. 2 deltage i relevante kurser om styring af cybersikkerhedsrisici. Styrelsen for Samfundssikkerheds vejledning fra maj 2025 præciserer, at kravet gælder ledelsesorganet samlet og ikke hvert enkelt medlem, og at deltagelsen skal kunne dokumenteres.
Få listen over, hvad der faktisk bruges i huset — også de gratis værktøjer, ingen har købt. Alle fire andre spørgsmål bliver lette, når listen findes, og ingen af dem kan besvares uden den. Spørg alle afdelinger, og forvent at blive overrasket.
To timer med direktionen, fem bilag til bestyrelsen, og en ærlig melding om, hvad der mangler. Ring, eller skriv og få guiden først.