En bestyrelse behøver ikke forstå sprogmodeller for at stille de rigtige spørgsmål til valget af AI-leverandør. Fem spørgsmål dækker det, der betyder noget for virksomhedens risiko: hvad der afhænger af tjenesten, hvem der kan få adgang til data, hvordan virksomheden kommer ud, hvem der ejer leverandøren, og hvem der følger op.
Spørgsmålene handler om selve leverandørvalget. Hvordan AI skal styres løbende, rapporteres og indgå i virksomhedens strategi, er en anden sag, som gennemgås på cio-as-a-service.dk. De fem spørgsmål nedenfor er dem, en bestyrelse kan stille, når direktionen fremlægger et valg af model eller tjeneste.
1. Hvad stopper, hvis tjenesten stopper?
Det første spørgsmål handler om afhængighed. Hvilke processer bruger tjenesten, og hvad sker der, hvis den er væk i en dag, en uge eller for altid? En tjeneste, der hjælper medarbejderne med at skrive udkast, kan undværes. En tjeneste, der svarer kunder eller behandler ordrer, kan ikke.
Et godt svar nævner de konkrete processer og beskriver, hvad virksomheden gør i mellemtiden. Et svar som “den er meget stabil” svarer ikke på spørgsmålet. Udfasningsplaner findes hos samtlige udbydere i vores gennemgang fra november 2026, så “for altid” er et realistisk scenarie, også hos en stabil leverandør.
2. Hvem kan få adgang til vores data?
Det andet spørgsmål handler om data og jurisdiktion. Hvilke oplysninger sendes til tjenesten, hvor behandles og gemmes de, hvem er aftaleparten, og under hvilket lands lov kan myndigheder kræve data udleveret? Bruges data til at træne leverandørens modeller?
Et godt svar skelner mellem typer af data og kan vise, hvilke indstillinger der er valgt. Svaret “leverandøren overholder GDPR” gengiver leverandørens egen påstand. Bestyrelsen kan bede om at se den sortering af data, valget bygger på.
3. Hvordan kommer vi ud?
Det tredje spørgsmål handler om binding. Hvad kan virksomheden tage med, hvis den skifter: prompter, instruktioner, testsæt, tilpasninger, dokumentindekser og historik? Hvor lang tid vil et skifte tage, og hvad vil det kræve?
Et godt svar har en vurdering i tid og arbejde med en lav og en høj værdi. Det nævner, hvad der ikke kan tages med, og hvad virksomheden gør ved det. Hvis svaret er, at det ikke er undersøgt, er det et svar, bestyrelsen kan bede direktionen om at følge op på.
4. Hvem ejer leverandøren, og hvad sker der, hvis det ændrer sig?
Det fjerde spørgsmål handler om ejerskab. Hvem ejer selskabet, og har store investorer indflydelse? Hvad siger aftalen ved et opkøb eller en fusion? AI-markedet er præget af kapitalrunder, opkøb og sammenlægninger, også blandt europæiske leverandører.
Et godt svar er dateret og bygger på selskabets egne oplysninger. Det siger også, hvad virksomheden gør, hvis ejerskabet skifter: ser aftalen igen, tester en reserve eller lever med det. Metoden står i artiklen om udenlandske investorer.
5. Hvem hos os ejer valget?
Det femte spørgsmål handler om ansvar. Hvem har truffet valget, hvem følger med i leverandørens ændringer af vilkår og modeller, og hvornår ses valget igen? Et AI-valg forælder hurtigere end de fleste IT-valg, fordi modellerne skifter.
Et godt svar nævner en person og en dato. Det nævner også, hvordan bestyrelsen hører om væsentlige ændringer, fx at en model udfases, at vilkårene ændres, eller at ejerskabet skifter.
Sådan bruger bestyrelsen spørgsmålene
Spørgsmålene kan sendes til direktionen før det møde, hvor valget fremlægges, så svarene kan forberedes. Svarene kan stå på én side som bilag til indstillingen. Bestyrelsen skal ikke vurdere de tekniske detaljer. Den skal se, at spørgsmålene er stillet og besvaret, og at svarene hænger sammen med virksomhedens risiko.
Spørgsmål om cybersikkerhed i bredden, som bestyrelsen kan stille direktionen, står på ciso-as-a-service.dk. De fem spørgsmål her er afgrænset til valget af AI-leverandør.
Er virksomheden omfattet af særlige regler, fx som finansiel virksomhed, kan der være krav til bestyrelsens rolle ved væsentlige leverandøraftaler. Det er et spørgsmål til virksomhedens egen rådgiver.
Hvad det kræver, og hvad det koster at lade være
At besvare de fem spørgsmål tager direktionen og en IT-ansvarlig en til to dage for en tjeneste, hvis valget er forberedt med en sortering af data og et spørgeark til leverandøren. Er valget ikke forberedt, viser spørgsmålene det, og så er det det, de skal.
Lader bestyrelsen være at spørge, træffes et valg med betydning for virksomhedens data og drift uden den overordnede ledelses blik. Det opdages, når noget går galt, og så er spørgsmålene de samme, men svarene skal findes under pres.
Det skal I lade være med
- At spørge til teknik i stedet for risiko · bestyrelsen skal se afhængighed, adgang, vej ud, ejer og ansvar.
- At acceptere leverandørens egne ord som svar · bed om den vurdering, direktionen har lavet.
- At godkende et valg uden dato for næste gennemgang · AI-valg forælder hurtigt.
Det skal valget kunne vise
- ☐ Hvilke processer afhænger af tjenesten, og hvad der sker ved stop.
- ☐ Hvilke data der sendes, hvor de behandles, og om de bruges til træning.
- ☐ En vurdering i tid og arbejde af et skifte.
- ☐ Leverandørens ejere med dato og kilde.
- ☐ En ansvarlig person og en dato for næste gennemgang.
Senest gennemgået: november 2026.
Næste skridt
Send de fem spørgsmål til direktionen før næste bestyrelsesmøde, hvor AI er på dagsordenen, og bed om svarene på én side.
Læs også: Fem beslutninger, før I vælger AI · Hvem er aftaleparten på jeres AI-konto?
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
