Svakt AI-styresett koster opptil 35 millioner euro i bøter

Mangelfull AI-styring kan ha konkrete konsekvenser, fra bøter og søksmål til datatap og tapt tillit. Selskap risikerer bøter på opptil 35 millioner euro, eller 7 prosent av global årsomsetning, under EUs AI-lov, i tillegg til mulige GDPR-saker. Dette gjelder ikke bare utviklere, men også virksomheter som bruker AI-systemer. Styresett handler om mer enn bare sikkerhet; det handler om etiske og juridiske grenser. Som Air Canada-saken viste i februar 2024, kan en domstol holde et selskap ansvarlig for feilinformasjon fra en chatbot, selv om selskapet hevder at AI-enheten handlet på egen hånd. Dette viser at en distribuert AI representerer virksomheten og krever testing og eierskap på lik linje med andre offisielle kanaler. En fersk undersøkelse fra World Economic Forum for 2025 avdekket at 66 prosent av organisasjonene forventet at AI ville påvirke cybersikkerheten betydelig, men kun 37 prosent hadde prosesser for å vurdere sikkerheten til AI-verktøy før de ble tatt i bruk. Selv om dette tallet nesten doblet seg til 64 prosent innen 2026-utgaven, er det fortsatt om lag en tredjedel av organisasjonene som ruller ut AI uten sikkerhetskontroller. Samsung opplevde datalekkasje da ansatte i 2023 limte inn konfidensielle data, inkludert kildekode, i offentlige AI-verktøy, noe som understreker behovet for klare retningslinjer for akseptabel bruk. For norske virksomheter betyr dette at ledelsen må ta eierskap til AI-risiko, slik NIS2-direktivet (som omsettes til Cybersäkerhetslagen i Sverige) allerede pålegger styret ansvaret for å godkjenne og overvåke sikkerhetstiltak. En skriftlig AI-policy alene er ikke nok; styring forutsetter et kontinuerlig inventar, tilsyn og overvåking av alle AI-systemer som er i bruk. Dette innebærer også å kartlegge verktøy ansatte har tatt i bruk «stille», og å sette begrensninger for hva slags data som kan mates inn i offentlige verktøy.