AI risiko-management: 7 ting der får CFO\'en til at sove godt

Hver gang en virksomhed accelererer sit AI-arbejde, dukker CFO\'en og legal op med spørgsmål. Hvis I ikke har gode svar, stopper projekterne. Her er den risiko-ramme vi etablerer for kunder så projekter får grønt lys.

De 7 risici I skal kunne adressere

1. Datalækage via tredjeparts AI

Risiko: Medarbejdere indtaster fortrolige data i ChatGPT/Claude og data ender hos AI-leverandøren.

Mitigation:

• Brug enterprise-tier (ChatGPT Team/Enterprise, Claude Team — data bruges IKKE til træning)
• Klar AI-politik der definerer hvad må og må ikke deles
• Blokér gratis-versionen af AI-tools på firmaets devices
• Brug EU-region versioner (Azure OpenAI EU, Vertex AI EU)

2. GDPR-brud i AI-løsninger

Risiko: AI-bot behandler persondata uden lovligt grundlag eller uden DPA med leverandør.

Mitigation:

• DPA med alle AI-leverandører
• Klar dokumentation af hvilket lovligt grundlag (Art. 6 GDPR) der bruges
• Privatlivserklæring opdateret med AI-brug
• Data minimization (send kun det AI har brug for)
• Anonymisering hvor muligt før AI-kald

3. Hallucinationer i kunde-vendt AI

Risiko: AI giver forkert svar til kunde, der skader brand eller skaber juridisk ansvar.

Mitigation:

• Test-suite med 100+ "tricky" spørgsmål før lancering
• Eksplicitte system-prompts der siger "sig 'jeg ved det ikke' i tvivlstilfælde"
• Citations til kilder så svar kan verificeres
• Human escalation-path når confidence er lav
• Ansvarsfraskrivelse hvor relevant ("dette er AI-genereret, ikke juridisk rådgivning")

4. AI-bias og diskriminering

Risiko: AI bruges i HR (CV-screening), lending, eller andre regulerede områder og diskriminerer.

Mitigation:

• Aldrig AI alene som beslutningstager i regulerede afgørelser
• Test for bias på sensitive attributter (køn, alder, etnicitet)
• EU AI Act-compliance hvis I opererer i regulerede sektorer
• Audit-logs af AI-beslutninger

5. Operational dependency / single point of failure

Risiko: Hele jeres workflow afhænger af én AI-leverandør. Hvis de har outage eller priser stiger, lider I.

Mitigation:

• Multi-provider arkitektur hvor relevant (kan failover mellem Claude/GPT/Gemini)
• Cache responses for common queries
• Graceful degradation (hvad sker hvis AI er nede?)
• Long-term contracts med priscaps for kritiske afhængigheder

6. Cost runaway

Risiko: AI-omkostninger eksploderer udenfor budget — typisk pga. lange prompt-contexts, dyre modeller, eller bots der kalder API loops.

Mitigation:

• Per-user / per-API-key spending limits
• Alerting når månedsbudget er 80% brugt
• Tier-baseret routing (brug Haiku/billig model til simple opgaver)
• Caching af identiske queries
• Rate-limiting på public-facing AI-funktioner

7. IP og copyright

Risiko: AI-genereret content (kode, design, tekst) er ikke automatisk jeres ejendom — og kan i visse jurisdiktioner krænke andres rettigheder.

Mitigation:

• Forstå hver AI-leverandørs IP-policy
• For mission-critical IP (kode, brand): human review obligatorisk
• Klar internt politik: AI-output skal flagges hvor det matter
• Følg EU AI Act-krav om transparens (mærke AI-genereret content offentligt)

EU AI Act i praksis

EU AI Act trådte fuldt i kraft i 2026 og kategoriserer AI-systemer:

• Forbudte: Social scoring, real-time biometrisk identifikation
• Højrisiko: AI i ansættelse, kredit, sundhed, kritisk infrastruktur — kræver compliance-dokumentation, risk assessment, human oversight
• Begrænset: Chatbots, deepfakes — kræver transparens (synlig "dette er AI")
• Lav: Resten — frie tøjler

For de fleste SMV\'er er det meste i "begrænset" eller "lav" kategorierne. Men I skal vurdere — og dokumentere vurderingen.

Praktisk governance-struktur

• AI-policy (1-2 sider) — godkendte værktøjer, hvad må deles, eskalation
• AI-register — liste over alle AI-systemer i brug, ejere, risikoniveau
• Indkøbsproces — checkliste før nye AI-værktøjer godkendes (DPA, EU-region, fitness for purpose)
• Kvartal-review — alle AI-systemer review\'es kvartalsvist
• Incident response plan — hvad gør I hvis AI fejler kritisk?

Hvad CFO\'en skal se

Vores tjekliste til board-pakker omkring AI:

• Antal AI-projekter live + status
• Månedlige AI-omkostninger (med trend)
• Målbar ROI fra hvert pilot
• Risk-register (top 5 risici + mitigation status)
• Compliance-status (GDPR, AI Act)
• Incident-rapport (hvis nogen)

Når den slags rapportering er etableret, går AI fra "scary" til "controlled" — og pludselig får projekter grønt lys.