Hvad bør bestyrelser gøre nu? Singapores nye AI-guide peger på syv klare krav

En ny guide fra Singapore Institute of Directors (SID) skal hjælpe bestyrelser med at føre tilsyn med AI-strategi, værdiskabelse, governance, robusthed og risici. Den 116 sider lange AI Guide for Boards in Singapore er udarbejdet sammen med Infocomm Media Development Authority (IMDA), Microsoft og OpenAI og blev lanceret den 31. juli 2026.

Guidens vigtigste budskab er, at AI ikke længere bør behandles som et rent teknisk implementeringsprojekt. Det er et spørgsmål om forretning, ledelse og ansvar på bestyrelsesniveau. Direktører skal forstå, hvor AI kan skabe værdi, udfordre ledelsens antagelser og sikre, at anvendelsen er ansvarlig og robust.

Det første spørgsmål bør være: Hvilket resultat skal AI forbedre?

Bestyrelsen bør vurdere AI-investeringer ud fra deres forventede bidrag til organisationen. Det kan for eksempel være højere omsætning, større produktivitet, bedre service, bedre beslutninger, lavere risiko eller større driftsmæssig robusthed. Det afgørende er at definere det ønskede resultat, før investeringen godkendes – og bagefter måle, om resultatet faktisk blev nået.

Det kræver, at man skelner mellem reelle effektmål og aktivitetsmål. Antallet af lancerede pilotprojekter, købte softwarelicenser eller medarbejdere på AI-kursus kan vise, at der sker noget. Men ingen af delene dokumenterer i sig selv, at et AI-program skaber værdi.

Bestyrelsen bør derfor bede ledelsen rapportere om opnåede resultater, omkostninger, begrænsninger og risici sammen med tal for anvendelse og udbredelse.

Tilgangen kan samtidig forebygge to klassiske fejl: at godkende en række løsrevne eksperimenter uden en plan for opskalering – eller at blokere nyttige løsninger, fordi ingen har defineret, hvordan succes ser ud. Guidens fokus på strategi, valg af anvendelsesområder og afkast skal koble AI-forbruget til organisationens overordnede prioriteter.

Få medarbejdernes eksperimenter ind under fælles regler

Medarbejdere bruger måske allerede AI-værktøjer uformelt eller udvikler egne arbejdsgange. Guidens anbefaling er ikke at lade som om, det ikke sker, men at omdanne den nyttige eksperimenteren til en styret organisatorisk kompetence.

Bestyrelsen bør forvente, at ledelsen ved, hvilke værktøjer og anvendelser der er i brug, hvem der ejer dem, hvilke data de håndterer, og hvilke kontroller der gælder. Guiden peger blandt andet på behovet for at dokumentere AI-byggede værktøjer, etablere governance omkring anvendelsen og sikre, at sikkerhedskrav overholdes.

I praksis kræver det fælles regler for godkendte værktøjer, følsomme oplysninger, ansvar, overvågning og eskalering. Det handler også om at anerkende og udvikle de AI-kompetencer, medarbejderne allerede har – i stedet for at se implementering som noget, der udelukkende kommer fra toppen.

En strategi uden en plan for kompetencer, ejerskab og arbejdsgange vil have svært ved at bevæge sig sikkert fra eksperiment til drift.

Hele bestyrelsen skal være AI-kompetent nok til at stille kritiske spørgsmål

Guiden behandler AI-forståelse som en egentlig bestyrelseskompetence. Det betyder ikke, at alle direktører skal være maskinlæringsingeniører. Men bestyrelsen som helhed bør forstå, hvordan AI kan påvirke brancher, forretningsmodeller, konkurrence, beslutninger og risici.

Flere bestyrelsesmedlemmer bør kunne udfordre ledelsens antagelser, værdiberegninger og risikovurderinger. Samtidig bør bestyrelsen have adgang til mindst én person – eksempelvis en direktør, rådgiver eller udvalgsmedlem – med tilstrækkelig teknisk dybde til at stille kritiske spørgsmål til systemer, data, test og kontroller.

Det er mere vidtgående end blot at placere AI hos et teknologiudvalg og modtage en statusrapport med jævne mellemrum. AI bliver dermed en del af bestyrelsens strategiske og forvaltningsmæssige ansvar, samtidig med at specialistbistand fortsat er nødvendig, når de tekniske spørgsmål bliver for komplekse.

Fastlæg beslutningsrettigheder, før systemerne tages i brug

AI-governance bliver først operationel, når organisationen har fastlagt, hvem der må godkende, drive, overvåge og stoppe et AI-system. Bestyrelsen bør kræve risikobaserede beslutningsgrænser, der skelner mellem:

• beslutninger, som ledelsen kan træffe inden for godkendte rammer;
• beslutninger, der skal eskaleres til bestyrelsen eller et udvalg; og
• beslutninger, som AI ikke må træffe selvstændigt.

Jo større konsekvenserne er, desto stærkere bør kontrollerne være. Ved AI-anvendelser med stor betydning for medarbejdere – herunder rekruttering, forfremmelse, afskedigelse og præstationsvurdering – bør bestyrelsen fastsætte klare grænser for meningsfuld menneskelig kontrol og tydeligt placeret ansvar.

Et AI-output må ikke udvikle sig til en ukontrolleret, automatiseret afgørelse om et menneskes levebrød.

Princippet stemmer overens med den bredere forventning om, at AI skal understøtte menneskelig dømmekraft – ikke ubemærket erstatte den. Før et system går i drift, bør det derfor være klart, hvem der ejer det, hvornår godkendelse kræves, hvor den menneskelige kontrol finder sted, og hvordan systemet kan stoppes.

Kræv test af fairness, datakvalitet og mulighed for at klage

En ansvarlig godkendelsesproces kan ikke nøjes med at spørge, om en model fungerer godt i gennemsnit. Bestyrelsen bør spørge, hvordan organisationen tester datakvalitet, dokumenterer begrænsninger, undersøger mulig skævhed og overvåger systemets resultater efter lancering.

Når et AI-system kan påvirke mennesker væsentligt, bør de berørte have en reel mulighed for at forstå beslutningen, gøre indsigelse mod resultatet og bede om en menneskelig genvurdering.

Forklaringen behøver ikke afsløre virksomhedens tekniske forretningshemmeligheder. Men den skal være tilstrækkelig til, at en ansvarlig person kan gennemgå afgørelsen og behandle en klage.

Det er en del af et bredere kontrolmiljø. Singapores materiale om corporate governance fremhæver behovet for gennemsigtige og ansvarlige AI-beslutninger samt opmærksomhed på regulatoriske og etiske standarder. Bestyrelsens opgave er at sikre, at principperne bliver omsat til dokumenterede processer med en navngiven ejer og konkret dokumentation.

Se AI som en del af cyber- og driftsrobustheden

AI skaber et sikkerhedsproblem med to sider. Organisationer skal være forberedt på AI-understøttet phishing, social engineering, svindel, automatiserede angreb og hurtigere opdagelse af sårbarheder. Samtidig skal selve AI-systemerne beskyttes mod datalæk, prompt injection, manipulation af modeller og svagheder hos leverandører eller andre tredjeparter.

Bestyrelsen bør derfor sikre, at AI-risici indgår i rapportering om cyberrobusthed, assurance-arbejde og beredskabsplaner – ikke placeres i en isoleret teknologisøjle.

De centrale spørgsmål er blandt andet: Hvem kan deaktivere systemet? Hvordan rapporteres en hændelse? Hvordan undersøges berørte data og beslutninger? Og hvordan kommer organisationen videre, hvis en AI-tjeneste bliver utilgængelig eller kompromitteret?

Fokus ligger i forlængelse af bestyrelsens eksisterende ansvar for cyberrobusthed og risikostyring. SID’s vejledning om cyberområdet behandler ligeledes robusthed som noget, der skal indarbejdes i virksomhedens strategi, ikke som en rent teknisk opgave.

Skærp kravene til kritiske og konsekvenstunge systemer

Konsekvenserne af en AI-fejl varierer markant fra anvendelse til anvendelse. Et internt værktøj med lav risiko kræver ikke samme tilsyn som et system, der understøtter væsentlige tjenester, kritisk infrastruktur eller andre funktioner med store konsekvenser ved svigt.

I sådanne miljøer bør bestyrelsen forvente skærpede krav til robusthed, sikkerhed, test, overvågning, eskalering og genopretning. Et systemsvigt eller et kompromitteret system kan påvirke mere end virksomhedens økonomi eller omdømme. Det kan også forstyrre vigtige tjenester og få bredere driftsmæssige konsekvenser.

Den risikobaserede tilgang betyder, at alle AI-applikationer ikke skal behandles ens. I stedet skal beslutningskompetence og kontroller afspejle den mulige skade, hvis systemet fejler.

Et praktisk bestyrelsesdashboard for væsentlige AI-anvendelser

Guidens anbefalinger kan omsættes til et kort register eller dashboard på bestyrelsesniveau. For hver væsentlig AI-anvendelse bør ledelsen kunne identificere:

1. Ejeren, som har ansvaret for systemet og dets resultater.
2. Det forventede forretningsresultat, herunder hvordan succes måles.
3. Beslutningsrettighederne og grænserne for eskalering.
4. Datakilderne og reglerne for datahåndtering.
5. Risikokategorien og begrundelsen for placeringen.
6. Kontrollerne, herunder sikkerheds-, fairness- og datakvalitetstests.
7. Punktet for menneskelig kontrol og den person, der har ansvaret for den endelige beslutning.
8. Resultater af test og overvågning, inklusive kendte begrænsninger.
9. Hændelser, klager eller indsigelser og hvordan de blev håndteret.
10. Den næste revisionsdato eller den hændelse, der udløser en ny vurdering.

Strukturen samler værdiskabelse og risikostyring i samme dokument. Den giver også direktørerne konkret dokumentation at spørge ind til i stedet for brede forsikringer om, at organisationen »bruger AI ansvarligt«.

Konklusionen til virksomheders bestyrelser

SID’s guide fremstiller ikke AI-anvendelse og AI-governance som modsætninger. Den opfordrer bestyrelser til at forfølge nyttige anvendelser med den samme disciplin, som gælder for andre væsentlige strategiske investeringer: Definér værdien, placér ansvaret, forstå risiciene, test kontrollerne, og følg op på resultaterne.

Den umiddelbare opgave for direktører er at sætte AI på den faste bestyrelsesdagsorden, gennemgå organisationens væsentlige anvendelser og finde huller i AI-forståelse, ejerskab, beslutningsrettigheder, menneskelig kontrol, test og robusthed.

Den stærkeste AI-strategi er ikke nødvendigvis den, der har mest aktivitet. Det er den, bestyrelsen kan forklare, måle og styre.