230 kontroller gør AI-styring konkret i finans

US Treasury har offentliggjort en AI-guide til finanssektoren, som er mere brugbar end de fleste princippapirer. Den bygger på et samarbejde mellem mere end 100 finansielle virksomheder, brancheorganisationer, regulatorer og tekniske fagmiljøer. Kernen er enkel: 230 konkrete kontrolmål fordelt på fire funktioner, govern, map, measure og manage, plus fire modenhedstrin fra helt tidlig brug til AI som indlejret del af driften. Det er ikke endnu et oplæg om vision. Det er et forsøg på at få AI ind i almindelig styring.

🧭 Fakta Rammen samler 230 kontrolmål, fire styringsfunktioner og fire modenhedstrin. Den er udviklet med input fra mere end 100 institutioner og fagmiljøer.

Det gør historien relevant for danske banker, pensionsselskaber og offentlige organisationer, fordi den rammer et hul, mange allerede kender. De fleste kan godt få en pilot i luften. Det svære er at beslutte, hvilke kontroller der skal på plads, før en model må bruges i kredit, kundeservice, svindelovervågning eller sagsbehandling. Her er styrken, at rammen ikke behandler AI som et særskilt eksperiment, men som noget der skal kobles direkte på governance, risk og compliance.

Guiden lægger også en mere nøgtern standard for modenhed. En organisation i den tidlige fase behøver ikke bygge alt på dag ét. Men jo tættere AI kommer på kerneprocesser og følsomme data, desto flere kontroller bliver nødvendige. Det er en sund logik. Mange danske organisationer har gjort det omvendte: De har startet med brede ambitioner og først bagefter opdaget, at logging, hændelsesstyring, dokumentation og ansvarsfordeling ikke var på plads.

Der er især tre ting at hæfte sig ved. For det første gør de 230 kontrolmål det sværere at gemme sig bag løse formuleringer om ansvarlig AI. For det andet er sikkerhed og robusthed skrevet ind som driftskrav, ikke som tillæg. For det tredje anerkender rammen, at tredjepartsleverandører og eksterne modeller ændrer risikobilledet, fordi afhængighederne bliver længere og mindre gennemsigtige.

Det her er stadig amerikansk sektorvejledning, ikke dansk regulering. Men det ændrer ikke pointen. Hvis man i 2026 vil bruge AI i finans eller i offentlig sagsnær drift, er det ikke nok at spørge, om modellen virker. Man er også nødt til at spørge, hvilke kontroller der skal være på plads, når modellen fejler, ændrer adfærd eller bliver udfordret af tilsynet. Den organisation, der kan svare konkret på det, kommer hurtigere videre end den, der stadig kalder styring for en fase to-opgave.