En erklæring eller et certifikat fra en AI-leverandør dækker bestemte tjenester, et bestemt selskab og en bestemt periode, og den tjeneste, I vil købe, er ikke nødvendigvis med. Når I læser leverandørens sikkerhedsside, skal I derfor have svar på tre spørgsmål: hvilken tjeneste erklæringen omfatter, hvilket selskab den er udstedt til, og om selve modellen og dens drift er med.
De fleste store AI-leverandører har en sikkerhedsside, ofte kaldet et trust center, med logoer for standarder og en mulighed for at bede om rapporter. Siden giver et hurtigt indtryk. Den svarer sjældent på, om netop jeres brug er dækket.
Det, I typisk finder
Sådan så oplysningerne ud, da vi læste dem 8/11 2026:
- En amerikansk modeludvikler oplyser, at den revideres årligt mod kendte og etablerede standarder, og at rapporter eller certifikater udleveres på skriftlig anmodning under fortrolighed.
- En stor cloudplatform oplyser, at dens certificeringer og rapporter dækker de tjenester, der står som omfattet på en særskilt liste.
- En europæisk oversættelsestjeneste oplyser en revisionsrapport af typen SOC 2 Type II for sikkerhed, tilgængelighed og fortrolighed og en ekstern penetrationstest.
- En europæisk udbyder af en assistent skriver, at assistenten er bakket op af selskabets certificeringer efter ISO 27001 og SOC 2, uden at omfanget for assistenten er oplyst.
Flere sikkerhedssider kunne ikke læses uden en browser, og nogle viser først indhold efter login eller underskrift af en fortrolighedsaftale. Det er i sig selv intet dårligt tegn. Det betyder, at I skal bede om dokumenterne.
Fem spørgsmål til hver erklæring
1. Hvilken tjeneste? En erklæring kan dække leverandørens cloudplatform eller API, men ikke dens chattjeneste, eller omvendt. Find listen over omfattede tjenester, og se, om den tjeneste, I køber, står der.
2. Hvilket selskab? Erklæringen er udstedt til et bestemt selskab. Er jeres aftalepart et datterselskab eller en partner, er det ikke sikkert, at erklæringen gælder den.
3. Er modellen med? Det er det spørgsmål, der er særligt for AI. Dækker erklæringen kun den infrastruktur, modellen kører på, eller også processerne for udvikling, test og ændring af modellen? Kører tjenesten en model fra en tredje virksomhed, er den virksomheds processer sjældent med.
4. Hvilken type og periode? En certificering viser, at et ledelsessystem er indført. En revisionsrapport af typen Type II beskriver, om kontrollerne har virket over en periode. Se, hvilken periode rapporten dækker, og om der er afvigelser eller forbehold.
5. Hvad er undtaget? Rapporter nævner ofte, hvilke kontroller kunden selv skal stå for, og hvilke underleverandører der er holdt uden for. De undtagelser er en del af jeres eget arbejde.
Metodepunktet om modellen er vores eget. Vi har ikke fundet det beskrevet som citat i de læste kilder.
Det, erklæringerne ikke viser
En erklæring siger noget om leverandørens processer og kontroller. Den siger ikke noget om, hvordan tjenesten klarer prompt-injektion i jeres opsætning, om svarene er rigtige, eller hvilken jurisdiktion data er underlagt. De spørgsmål skal besvares på anden vis, bl.a. ved egen afprøvning, som beskrevet i er europæisk AI mere sikker.
Hvordan en ledelse læser en ISAE-erklæring fra en IT-leverandør, forklares på ciso-as-a-service.dk. Hvordan omfang og udeladte led læses i erklæringer fra hosting og datacenter, står på europaeisk-cloud.dk. For AI er det nye spørgsmålet om modellen.
Sådan bruger I dokumentationen i valget
Bed om dokumentationen tidligt, for det kan tage uger at få den, og det kan kræve en fortrolighedsaftale. Læs den med de fem spørgsmål, og skriv svarene ind i jeres spørgeark. Hvor dokumentationen ikke dækker den tjeneste, I køber, så spørg leverandøren, hvad den har for netop den.
Brug dokumentationen ens for alle leverandører. En europæisk udbyder uden erklæringer er ikke nødvendigvis usikker, og en amerikansk med mange er ikke nødvendigvis dækket for jeres brug. Det, I sammenligner, er, hvor meget af jeres faktiske brug der er dokumenteret.
Hvad det kræver, og hvad det koster at lade være
At bede om og læse dokumentationen for én leverandør tager en sikkerhedsansvarlig eller IT-ansvarlig en dag, når dokumenterne er modtaget. Ventetiden kan være længere. En revisor eller rådgiver kan hjælpe med at læse rapporterne, hvis I ikke har erfaring med dem.
Lader I være, stoler I på logoerne. Opdager I senere, at den tjeneste, I bruger, ikke var omfattet, eller at modellen kom fra en tredje virksomhed uden for erklæringen, har I et hul i jeres egen dokumentation over for kunder, revisor eller tilsyn.
Det skal I lade være med
- At læse et logo som dækning · find listen over omfattede tjenester.
- At gå ud fra, at modellen er med · spørg til udvikling og ændring af modellen.
- At lade manglende erklæringer afgøre valget alene · sammenlign, hvor meget af jeres brug der er dokumenteret.
Det skal valget kunne vise
- ☐ Hvilken dokumentation leverandøren har, med type, periode og selskab.
- ☐ Om den tjeneste, I køber, er omfattet.
- ☐ Om modellens udvikling og drift er med.
- ☐ De kontroller, I selv skal stå for.
Kilder
- Sikkerheds- og databeskyttelsesdokumentation hos en amerikansk modeludvikler, en stor cloudplatform, en europæisk oversættelsestjeneste og en europæisk udbyder af en assistent, læst 8. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed jeres vigtigste AI-leverandør om den sikkerhedsdokumentation, der dækker netop den tjeneste, I bruger, og stil de fem spørgsmål.
Læs også: Er europæisk AI mere sikker? · Tjenesten bygger på en andens model
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
