AI-compliance: styring af AI-systemer og brug af AI i compliancearbejdet

AI-compliance betyder to ting: det løbende arbejde med at sikre, at de AI-systemer, din organisation udvikler eller bruger, overholder gældende love, standarder og interne politikker, og brugen af AI til rutinepræget compliancearbejde i store mængder.

Denne artikel dækker begge betydninger: de risici, AI-compliance adresserer, de vigtigste rammeværker, hvordan man opbygger et complianceprogram, kontroller for AI-agenter, og hvor AI hjælper complianceteams. Den afsluttes med spørgsmål, du bør stille, før du køber et complianceværktøj.

Hvad er AI-compliance?

AI-compliance dækker over to ting: at få AI-systemer til at overholde de regler, der er fastsat i AI-regulering, og at bruge AI til compliancearbejde.

I den første betydning sikrer AI-compliance, at et AI-system følger love, regler, etiske standarder og interne politikker i hele AI-livscyklussen, fra træningsdata til ydeevne og brug.

For eksempel kræver New York Citys Local Law 144, at arbejdsgivere, der bruger et automatiseret værktøj til ansættelsesbeslutninger, får det bias-auditeret inden for et år i forhold til brugen, offentliggør oplysninger om auditten og underretter medarbejdere eller jobkandidater.

Arbejdet med regulatorisk AI-compliance er løbende, fordi AI-applikationer bliver opdateret, de data, de arbejder med, ændrer sig, og reguleringen udvikler sig.

I den anden betydning bruger complianceteams AI til rutinepræget arbejde i store mængder, såsom overvågning af transaktioner, gennemgang af dokumenter og sporing af regulatoriske ændringer.

Nogle finansielle institutioner bruger for eksempel AI til at gennemgå transaktioner og reducere antallet af falske positiver i alarmer fra transaktionsovervågningen, før analytikere beslutter, hvilke der kræver en indberetning af mistænkelig aktivitet.

AI-compliance vs. AI-governance vs. AI-risikostyring

De tre begreber overlapper hinanden, men dækker forskellige områder: Governance fastlægger reglerne, risikostyring finder ud af, hvad der kan gå galt, og compliance sikrer, at reglerne overholdes.

Hvorfor AI-compliance er vigtigt

Når du opnår AI-compliance, begrænser du din risiko for bøder, beskytter privatlivet for de personer, hvis oplysninger din AI behandler, og gør det muligt for din organisation at redegøre for sin brug af AI-systemer i tilfælde af en audit.

• Sanktioner fra myndighederne: I henhold til EU's AI-forordning kan brug af en forbudt AI-praksis, såsom at udlede medarbejderes følelser på arbejdspladsen, koste op til 35 mio. euro eller 7 % af den globale årlige omsætning. Udbydere og idriftsættere kan få bøder på op til 15 mio. euro eller 3 % for overtrædelser af forordningen.
• Databeskyttelse: Et AI-system, der behandler personoplysninger, er omfattet af databeskyttelseslovgivning, såsom GDPR i EU. Det gælder træningsdata, prompts og output, der indeholder personoplysninger.
• Auditparathed: Registreringer af, hvilke AI-systemer du bruger, hvem der har godkendt dem, og hvordan du overvåger dem, gør det muligt for dig at stå til ansvar over for tilsynsmyndigheder, auditorer og kunder.

De vigtigste risici, som AI-compliance adresserer

AI-compliance adresserer fem hovedrisici: algoritmisk bias, manglende forklarbarhed, hallucinationer i regulerede processer, databeskyttelse og datalæk samt skygge-AI.

Udvid

Her kan du se, hvordan de vigtigste risici kommer til udtryk, og eksempler på kontroller, der holder dem i skak:

• Algoritmisk bias: En model gengiver mønstre i sine træningsdata, der stiller bestemte grupper ringere. Et rekrutteringsværktøj kan for eksempel rangere kandidater lavere ud fra en stedfortrædende indikator for alder eller etnicitet, såsom dimissionsår eller postnummer. Bias-audits, der sammenligner resultater på tværs af demografiske grupper, hjælper med at opdage disse mønstre.
• Manglende forklarbarhed: Organisationen kan ikke vise, hvordan en model nåede frem til en beslutning. Hvis en långiver ikke kan forklare, hvorfor en model afviste et lån, kan den ikke forsvare resultatet. Organisationer forebygger det ved at dokumentere modellens input og beslutningslogik og ved at vælge modeller med sporbart output.
• Hallucinationer i regulerede processer: Et generativt AI-værktøj fremsætter noget forkert med stor selvsikkerhed. En advokat kan for eksempel bede et AI-værktøj om retspraksis, der understøtter et argument, og få henvisninger til domme, der ikke findes. Krav om kilder til alt output, og at en kvalificeret person verificerer dem, fanger den slags fejl.
• Databeskyttelse og datalæk: Fortrolige oplysninger eller kundeoplysninger havner i et værktøj uden for organisationens kontrol. En medarbejder kan for eksempel indsætte kundedata i et offentligt AI-værktøj, der gemmer input til træning af fremtidige modeller. Kun at bruge godkendte værktøjer med kontraktlige begrænsninger for træning og dataopbevaring reducerer risikoen.
• Skygge-AI: Medarbejdere bruger AI-værktøjer, som organisationen ikke har godkendt eller ikke har indsigt i. I en Compliance Week-undersøgelse fra 2026 rapporterede 42 % af deltagerne om ukontrolleret brug af AI blandt medarbejdere. Mulige løsninger omfatter en liste over godkendte værktøjer kombineret med en hurtig godkendelsesproces for AI-værktøjer samt webgateways.

Vigtige rammeværker for AI-compliance

AI-compliance bygger på bindende rammer for AI-governance, såsom EU's AI-forordning, og frivillige rammeværker, såsom NIST AI Risk Management Framework og ISO/IEC 42001, der hjælper organisationer med at overholde dem.

EU's AI-forordning

EU's AI-forordning (forordning (EU) 2024/1689) har en risikobaseret tilgang til AI-regulering: Nogle praksisser er direkte forbudt, højrisikosystemer er underlagt strenge restriktioner, mens andre kun er omfattet af lette gennemsigtighedsregler. Den gælder for udbydere og idriftsættere overalt, »hvor det output, der produceres af AI-systemet, anvendes i Unionen«.

Forpligtelserne i henhold til EU's AI-forordning afhænger af organisationens rolle:

• Dem, der udvikler et højrisiko-AI-system eller markedsfører det under eget navn (udbydere), skal gennemføre en overensstemmelsesvurdering, anbringe CE-mærkningen, registrere systemet, opbevare teknisk dokumentation og overvåge det efter lanceringen.
• Dem, der bruger et system, som en anden har udviklet (idriftsættere), skal følge udbyderens brugsanvisning, overdrage tilsynet til personer med »den nødvendige kompetence, uddannelse og myndighed«, opbevare logfiler i mindst seks måneder og informere arbejdstagere og andre, der berøres af systemets beslutninger.

Udvid

Forordningen indføres i etaper. Forbudte praksisser, AI-færdigheder og regler for AI til almen brug har været gældende siden 2025, mens forpligtelserne for højrisikosystemer træder i kraft den 2. december 2027 og den 2. august 2028 for AI, der er indbygget i produkter, som er omfattet af EU's produktsikkerhedslovgivning.

EN 18286:2026 om kvalitetsstyringssystemer er den første europæiske standard, der understøtter forordningen. Udbydere, der følger den, formodes at opfylde forordningens krav om kvalitetsstyring.

NIST AI Risk Management Framework

NIST AI RMF (Risk Management Framework), der blev offentliggjort i januar 2023, er et frivilligt amerikansk rammeværk bygget op omkring fire funktioner: Govern, Map, Measure og Manage.

Dets Generative AI Profile, der blev udgivet i juli 2024, anvender rammeværket på risici ved generativ AI.

ISO/IEC 42001

ISO/IEC 42001 er den internationale standard for ledelsessystemer for AI og dækker de politikker, roller og processer, der styrer ansvarlig udvikling og brug af AI. Certificering er frivillig og udstedes af uafhængige certificeringsorganer, ikke af ISO selv.

Et certifikat dækker organisationens ledelsessystem, ikke et specifikt AI-produkt.

Amerikanske og sektorspecifikke regler, der gælder for AI

USA har ingen samlet føderal AI-lov. Reglerne kommer fra byer, delstater og eksisterende love og regler, der gælder for AI.

For eksempel regulerer Colorados SB26-189, der træder i kraft den 1. januar 2027, teknologi til automatiseret beslutningstagning, og privatlivslove som California Consumer Privacy Act (CCPA) eller HIPAA gælder, når AI behandler beskyttede data.

Sådan opbygger du et AI-complianceprogram

Opbygningen af et AI-complianceprogram omfatter seks trin: Registrér dine AI-systemer, klassificér dem efter risiko, knyt kontroller til de gældende regler, udpeg ejere, dokumentér hvert system, og overvåg det med registreringer, som en auditor kan kontrollere.

Udvid

Hvert trin nedenfor slutter med den dokumentation, det resulterer i:

1. Registrér alle AI-systemer. Lav en liste over de systemer, din organisation udvikler, køber eller bruger, herunder AI-funktioner i eksisterende software og værktøjer, som medarbejdere har taget i brug uden godkendelse. Notér, hvad hvert system gør, hvem der bruger det, og hvilke data det berører.
   Resultat: En AI-fortegnelse.
2. Klassificér hver anvendelse efter risiko. Vurder hvert system ud fra den skade, det kan forvolde, med en model som risikoniveauerne i EU's AI-forordning. For eksempel er et værktøj, der fastsætter præmier for livsforsikringer, højrisiko i henhold til forordningen, mens et værktøj, der opsummerer interne møder, ikke er det.
   Resultat: Et risikoregister.
3. Knyt kontroller til de gældende regler. Lav en liste over de love, standarder og interne politikker, der gælder for hvert system, og den kontrol, der opfylder hvert compliancekrav. For eksempel hjælper en dokumenteret menneskelig gennemgang med at opfylde kravene om menneskeligt tilsyn med højrisikosystemer i EU’s AI-forordning og NIST AI RMF’s opfordring til dokumenterede processer for menneskeligt tilsyn.
   Resultat: Et kontrolkort.
4. Udpeg ejere og punkter for menneskeligt tilsyn. Udpeg en ejer for hvert system, og beslut, hvor en person gennemgår dets output. For eksempel ejer jura og compliance forpligtelserne, sikkerhed ejer de tekniske kontroller, forretningsejerne ejer deres anvendelser, og én leder har det overordnede ansvar. Sørg for, at medarbejdere i hele organisationen er bekendt med det, og etabler klare kommunikationslinjer.
   Resultat: Navngivne ejere for hvert system.
5. Dokumentér hvert system. Registrér hvert systems formål, træningsdata, test og kendte begrænsninger i formater som modelkort og konsekvensanalyser. Udbydere af højrisikosystemer skal også udarbejde den tekniske dokumentation i bilag IV til EU's AI-forordning.
   Resultat: Et sæt systemdokumentation.
6. Overvåg, log og opbevar dokumentation. Design logfiler som auditdokumentation fra starten, så de viser, hvad et system har gjort, og hvem der har gennemgået det. EU's AI-forordning kræver, at højrisikosystemer automatisk registrerer hændelser i hele deres levetid. Et revisionsspor bør indeholde:
   • Den model og version, der er i brug
   • Input og output eller et defineret udsnit af dem
   • Trænings- eller finjusteringsdata
   • Punkter for menneskelig gennemgang og deres resultater
   • Handlinger, som en agent har udført, og de tilladelser, den har brugt
   • Hvor længe hver registrering opbevares

Resultat: Overvågningsregistreringer og et revisionsspor.

Specialiserede værktøjer til AI-compliance, såsom IBM watsonx.governance og OneTrust AI Governance, kan overtage dele af dette program, herunder AI-fortegnelsen, risikovurderinger i forhold til EU's AI-forordning og dokumentation.

Sådan godkender du AI-værktøjer, som medarbejdere må bruge

Før du godkender et AI-værktøj, skal du kontrollere fire ting:

• Dataadgang: Hvilke filer, systemer og tilknyttede vidensbaser værktøjet kan læse, og om de indeholder personoplysninger, som det kan eksponere.
• Træning på input: Om leverandøren bruger prompts, filer eller output til at træne sine modeller, og om din kontrakt med leverandøren forbyder det.
• Opbevaring: Hvor længe leverandøren opbevarer prompts, filer og samtalehistorik, og om du kan forkorte perioden.
• Hosting og overførsler: Hvor leverandøren opbevarer og behandler data, herunder overførsler uden for din region.

Compliancekontroller for AI-agenter

AI-agenter kræver flere kontroller end chatværktøjer, fordi de selv bestemmer deres trin og handler via de værktøjer og tilladelser, de har fået tildelt. Tre kontroller holder dem i skak:

• Adgang efter mindste privilegium: Giv en agent kun de værktøjer og tilladelser, som dens opgave kræver. Excessive Agency (overdreven handlefrihed), hvor en agent kan gøre mere, end dens opgave kræver, er en af de største sikkerhedsrisici ifølge OWASP Top 10 for LLM Applications 2026.
• En log over alle handlinger: Registrér hvert værktøjskald, de data, der er tilgået, og de tilladelser, der er brugt, så du kan spore, hvad en agent har gjort, og for hvem.
• Menneskelig godkendelse af handlinger med stor betydning: Kræv, at en person bekræfter trin, der sender data uden for organisationen, flytter penge eller ikke kan fortrydes.

Sådan bruges AI i compliancearbejde

Compliance- og risikostyringsteams bruger AI til at overvåge kontroller, vurdere risici, spore regulatoriske ændringer, gennemgå dokumenter og triagere alarmer om økonomisk kriminalitet.

I en Compliance Week-undersøgelse fra 2026 blandt 193 ledere inden for compliance, etik, risiko og audit svarede mere end 83 %, at de bruger AI, og næsten 40 % sagde, at deres virksomheder har taget det i brug til risikovurdering og overvågning.

Almindelige anvendelser af AI inden for compliance omfatter:

• Løbende complianceovervågning og indsamling af dokumentation: AI udfører kontroller og indsamler bevis for, at de virker (f.eks. forfaldne sikkerhedseftersyn af udstyr på en fabrik).
• Risikovurdering og prioritering: AI rangerer forretningsenheder eller tredjeparter efter risiko (f.eks. leverandører med nye sanktioner eller eksponering for retssager).
• Overvågning af regulatoriske ændringer: AI følger med i myndighedernes publikationer og opsummerer ændringer (f.eks. reviderede retningslinjer mod bestikkelse, der sænker gavegrænsen i udgiftspolitikken).
• Gennemgang af dokumenter og politikker: AI sammenholder kontrakter og politikker med krav (f.eks. leverandørkontrakter uden en klausul om ret til audit).
• Screening for økonomisk kriminalitet: AI triagerer alarmer fra transaktionsovervågning og kundekontrol (f.eks. navnematch på sanktionslister, der viser sig at være en anden person).

AI, der bruges til compliance, kræver samme governance som andre AI-systemer. Som Storbritanniens Financial Conduct Authority udtalte i oktober 2026: »virksomheder er ansvarlige for de AI-systemer, de udvikler, indkøber og implementerer – herunder deres output og resultater«, og myndigheden advarede mod at gøre den menneskelige gennemgang til »en ›afkrydsningsøvelse‹«.

I praksis kan AI-værktøjer håndtere rutineopgaver som indsamling af dokumentation eller markering af regulatoriske ændringer, men ikke beslutninger, der indebærer juridisk ansvar, som at beslutte, om mistænkelig aktivitet skal indberettes, eller hvordan politikker skal udformes.

Datakontroller i Perplexity Enterprise

Perplexity Enterprise giver administratorer kontroller, der dækker træning på input, dataadgang og opbevaring:

• Ingen træning på dine data: Perplexity bruger aldrig virksomhedsindhold til at træne sine AI-modeller, og Perplexitys aftaler med tredjepartsudbydere af modeller forbyder dem at træne på det.
• Adgangskontrol: SSO, SCIM og rollebaserede tilladelser bestemmer, hvem der kan uploade filer og dele svar.
• Opbevaring og auditlogs: Filer, der er vedhæftet sessioner, slettes efter syv dage. Organisationer med 50 eller flere licenser eller mindst én Enterprise Max-licens kan også indstille opbevaring af sessioner og modtage auditlogs over brugeraktivitet.
• Certificeringer: Perplexity er SOC 2 Type II-certificeret, overholder GDPR og tillader kun arbejde med beskyttede helbredsoplysninger under en underskrevet Business Associate Agreement.

Hvis du vil have en gennemgang af disse kontroller, kan du kontakte vores salgsteam og booke en personlig demo.

Ofte stillede spørgsmål

Hvad er EU AI-compliance?

EU AI-compliance betyder at opfylde de forpligtelser, som EU's AI-forordning fastsætter for din rolle (udbyder eller idriftsætter) og for hvert systems risikoniveau. Forpligtelserne indfases gradvist, og forpligtelserne for højrisikosystemer gælder fra den 2. december 2027.

Hvad er en HIPAA-kompatibel AI?

En HIPAA-kompatibel AI er et værktøj, der bruges inden for HIPAA's sikkerhedsforanstaltninger for beskyttede helbredsoplysninger. Hvis leverandøren opbevarer eller behandler disse oplysninger, kræver det amerikanske sundhedsministerium (US Department of Health and Human Services) først en underskrevet Business Associate Agreement.

Gælder EU's AI-forordning for amerikanske virksomheder?

Ja. AI-forordningen omfatter amerikanske virksomheder, der bringer AI-systemer i omsætning på EU-markedet, samt virksomheder, hvis AI-output anvendes i EU.

Kan AI erstatte complianceansvarlige?

AI kan ikke erstatte complianceansvarlige. Organisationer er ansvarlige for deres arbejde, og AI-teknologier kan begå fejl, så complianceansvarlige skal stadig granske og godkende AI-output.