Sådan finder I de skjulte AI-systemer i jeres virksomhed

Annonce – sponsoreret indhold.

Skjulte AI-systemer i virksomheden er en udfordring, de fleste organisationer først opdager, når nogen stiller det direkte spørgsmål: hvilke AI-funktioner kører egentlig i vores systemer lige nu? Svaret overrasker næsten altid. AI er ikke længere noget, man aktivt køber ind og implementerer — det glider stille ind som en del af de SaaS-produkter, I allerede betaler for, som copilot-funktioner i jeres Office-pakke, som automatiske anbefalinger i jeres CRM eller som intelligente filtre i jeres rekrutteringssystem. Ingen har nødvendigvis godkendt det, fordi ingen har set det komme. Denne guide giver jer en systematisk tilgang til at finde, forstå og klassificere de AI-systemer, I reelt har i produktion — uanset om de er bestilt eller bare dukket op.

Hvor gemmer AI-funktionerne sig i jeres eksisterende software?

De fleste virksomheder har langt flere AI-systemer i drift, end de er klar over. Det skyldes en fundamental ændring i, hvordan software leveres. Tidligere var AI noget, man købte som et separat produkt med en bevidst beslutning. I dag er AI-funktioner integreret som standard i værktøjer, I har brugt i årevis — ofte aktiveret automatisk ved en opdatering, I ikke lagde mærke til.

Typiske steder hvor AI gemmer sig ubemærket:

• Produktivitetsværktøjer: Microsoft 365 Copilot, Google Workspace AI-funktioner og lignende assistenter er ofte aktiveret som del af licensen uden særskilt tilvalg
• CRM- og salgssystemer: Salesforce Einstein, HubSpot AI og andre platforme bruger maskinlæring til lead-scoring, prognoser og anbefalinger
• HR- og rekrutteringsplatforme: CV-screening, kandidatrangering og automatisk sortering baseret på algoritmer, der ofte er klassificeret som højrisiko under EU AI Act
• Kundeservice: Chatbots, automatiske svar og routing-systemer, der træffer beslutninger om kundekontakt
• Økonomisystemer: Automatisk kategorisering af transaktioner, fraud detection og betalingsgodkendelse
• Marketingplatforme: Automatisk segmentering, personalisering og budoptimering der drives af AI-modeller

Problemet er ikke, at disse funktioner findes. De er ofte nyttige og forbedrer produktiviteten. Problemet er, at ingen formelt har taget stilling til dem — hverken fra et risikoperspektiv, et governance-perspektiv eller et klimaperspektiv. Mange virksomheder har brug for en struktureret gennemgang for at finde ud af, hvad de faktisk har af AI i produktion, og her kan et AI Systems Audit give det overblik, der mangler, typisk gennemført på 1-2 uger med en fast leverance.

Hvorfor skjult AI er relevant for jeres klimaregnskab

Hvis I allerede arbejder med digitalt fodaftryk og klimaregnskaber, kender I udfordringen med at kortlægge jeres IT-systems energiforbrug. Skjult AI-forbrug er en ny og ofte overset dimension af denne opgave.

AI-funktioner kræver betydelig regnekraft. Hver gang en copilot genererer et svar, en algoritme scorer et lead, eller et system analyserer et dokument, udføres beregninger på servere — enten lokalt eller i skyen. Denne regnekraft har et energiforbrug, der sjældent fremgår separat af jeres cloud-regning eller licensaftale.

De tre udfordringer for klimaregnskabet:

1. Usynligt forbrug: AI-funktioner er pakket ind i eksisterende services, så I ikke kan se, hvor meget ekstra regnekraft de bruger
2. Variabelt forbrug: Jo mere I bruger AI-funktionerne, desto større forbrug — men uden målinger ved I ikke, hvad det betyder i praksis
3. Scope 3-kompleksitet: Forbruget sker typisk hos jeres cloud-leverandør og hører til indirekte udledninger, som er notorisk svære at opgøre

En kortlægning af jeres AI-systemer er derfor ikke kun relevant for compliance — det er en forudsætning for et retvisende klimaregnskab. Uden overblik over hvilke AI-funktioner der kører, og hvor intensivt de bruges, mangler I et væsentligt datapunkt i jeres beregning af det digitale fodaftryk.

Mange virksomheder opdager, at deres faktiske compute-forbrug er langt højere end forventet, når de først kortlægger AI-elementerne. Det påvirker ikke kun klimaregnskabet, men også beslutninger om, hvilke funktioner der faktisk skaber værdi nok til at retfærdiggøre ressourceforbruget.

EU AI Act: Derfor skal I vide, hvad I har

EU AI Act trådte i kraft med forskellige overgangsperioder, og virksomheder er nu forpligtet til at overholde en række krav afhængigt af, hvilken rolle de spiller i forhold til AI-systemerne. Det afgørende spørgsmål er: hvad er jeres rolle, og hvilken risikoklasse hører jeres systemer til?

De fire risikokategorier under EU AI Act:

• Uacceptabel risiko: Forbudte anvendelser, fx social scoring eller manipulation
• Høj risiko: Systemer der påvirker menneskers rettigheder, jobmuligheder, kreditvurdering mv. — kræver omfattende dokumentation og tilsyn
• Begrænset risiko: Krav om gennemsigtighed, fx at brugere skal vide, de interagerer med AI
• Minimal risiko: Ingen særlige krav, men god praksis anbefales

Problemet med skjulte AI-systemer er, at I ikke kan vurdere jeres forpligtelser, før I ved, hvad I har. Et rekrutteringssystem med AI-baseret kandidatscreening er højrisiko. En chatbot, der besvarer simple kundeforespørgsler, er begrænset risiko. Men hvis I ikke ved, at jeres HR-system bruger AI til screening, har I et compliance-problem uden at vide det.

Virksomheder kan indtage forskellige roller under EU AI Act — som udbyder, deployer eller bruger — og hver rolle har forskellige forpligtelser. De fleste danske virksomheder vil primært være deployere eller brugere af AI-systemer, men det kræver stadig, at I har overblik over, hvilke systemer der faktisk er i brug.

Sådan kortlægger I systematisk jeres AI-systemer

En effektiv kortlægning af AI-systemer kræver en struktureret tilgang, der kombinerer dokumentgennemgang med praktisk systemanalyse. Her er den proces, I kan følge internt — eller vælge at få gennemført af specialister med erfaring i netop denne type gennemgang.

Trin 1: Inventar over jeres SaaS- og softwareportefølje

Start med at samle en komplet liste over alle de softwareprodukter, I bruger. Inkluder:

• Alle SaaS-abonnementer (tjek regninger og kontrakter)
• On-premise software med vedligeholdelsesaftaler
• Cloud-services og API-integrationer
• Interne systemer og egne udviklede løsninger

For hver software: noter hvornår I sidst fik en større opdatering, og hvad den indeholdt. AI-funktioner lanceres ofte som “nye features” eller “forbedret intelligens” uden at ordet AI nævnes eksplicit.

Trin 2: Gennemgå opdateringshistorik og release notes

For jeres primære systemer: find release notes for de seneste 18 måneder. Søg efter formuleringer som:

• “Intelligent”, “smart”, “automatisk anbefaling”
• “Machine learning”, “AI-drevet”, “predictive”
• “Copilot”, “assistent”, “automatisering”
• “Personalisering”, “scoring”, “rangering”

Disse formuleringer indikerer ofte AI-funktionalitet, der kan være blevet aktiveret som standard.

Trin 3: Interview systemejere og superbrugere

De mennesker, der bruger systemerne dagligt, ved ofte mere om den faktiske adfærd end dokumentationen viser. Stil spørgsmål som:

• Er der funktioner i systemet, der “tænker selv” eller giver anbefalinger?
• Er der automatiske processer, I ikke selv har sat op?
• Har systemet ændret adfærd efter en opdatering?
• Bruger I chatbots, assistenter eller automatiske svar?

Trin 4: Klassificer efter risiko

For hvert identificeret AI-system: vurder hvilken risikokategori det tilhører under EU AI Act. Vær særligt opmærksom på systemer, der:

• Påvirker ansættelse, forfremmelse eller afskedigelse
• Træffer eller understøtter beslutninger om kreditvurdering
• Bruges til at vurdere eller prioritere mennesker
• Interagerer direkte med kunder eller borgere

Trin 5: Dokumenter ejerskab og governance

For hvert AI-system skal I have svar på:

• Hvem er systemejer?
• Hvem har godkendt, at AI-funktionen er i brug?
• Hvordan overvåges systemets output og beslutninger?
• Hvad er processen for at deaktivere eller ændre AI-funktionen?

Hvis I ikke kan svare på disse spørgsmål, har I identificeret et governance-gap, der skal lukkes.

Fra kortlægning til handling: De næste 90 dage

Når kortlægningen er gennemført, står I med en liste over AI-systemer, deres risikoklassificering og de gaps, der findes i jeres nuværende governance. Spørgsmålet er, hvor I starter.

Prioriter efter denne logik:

1. Højrisiko-systemer uden dokumentation: Disse kræver handling nu. Hvis I har AI i HR eller kreditvurdering uden compliance-dokumentation, er det jeres første fokusområde
2. Systemer med uklar ejerskab: Før I kan styre noget, skal nogen eje det. Tildel ansvar for hvert AI-system
3. Systemer med høj klimapåvirkning: Hvis I har AI-funktioner, I ikke bruger aktivt, men som stadig forbruger ressourcer, er deaktivering en oplagt quick win
4. Gennemsigtighedskrav: Hvis kunder eller medarbejdere interagerer med AI uden at vide det, skal I implementere oplysningspligt

En velstruktureret 90-dages handlingsplan gør det muligt at arbejde systematisk uden at forsøge at løse alt på én gang. Fokuser på de tiltag, der reducerer den største risiko med den mindste indsats først.

Mange virksomheder finder det værdifuldt at kombinere denne kortlægning med en bredere gennemgang af deres digitale fodaftryk og IT-konsolidering, da de to udfordringer ofte hænger sammen.

Ofte stillede spørgsmål

Hvordan ved jeg, om vores virksomhed overhovedet har skjulte AI-systemer?

Hvis I bruger moderne SaaS-produkter fra større leverandører som Microsoft, Salesforce, Google eller SAP, er sandsynligheden høj for, at I har AI-funktioner i drift. Disse virksomheder har integreret AI som en del af deres standardprodukter over de seneste år, ofte aktiveret automatisk ved opdateringer. En gennemgang af jeres softwareportefølje og opdateringshistorik vil afsløre omfanget.

Gælder EU AI Act for virksomheder, der kun bruger AI, men ikke udvikler det?

Ja. EU AI Act skelner mellem udbydere, deployere og brugere af AI-systemer, og hver rolle har forpligtelser. Som deployer — en virksomhed der anvender AI-systemer i sin drift — har I ansvar for at sikre korrekt brug, overvågning og i visse tilfælde dokumentation. Jeres specifikke forpligtelser afhænger af systemernes risikoklassificering.

Kan vi selv gennemføre en AI-kortlægning, eller kræver det ekstern hjælp?

En intern kortlægning er mulig, hvis I har ressourcerne og kompetencerne til at gennemgå systemer, vurdere AI-funktionalitet og klassificere efter EU AI Act-krav. For de fleste virksomheder giver det mening at få ekstern bistand til den første kortlægning, da det sikrer et komplet billede og sparer tid. Efterfølgende vedligeholdelse kan ofte håndteres internt med de rette processer.

Hvad er konsekvensen af ikke at kortlægge vores AI-systemer?

Uden overblik kan I ikke vurdere jeres compliance-situation under EU AI Act, og I risikerer at operere højrisiko-systemer uden den krævede dokumentation. Derudover mister I muligheden for at inkludere AI-forbrug i jeres klimaregnskab korrekt, og I kan ikke træffe informerede beslutninger om, hvilke AI-funktioner der faktisk skaber værdi for jeres virksomhed.