AI-kontrolkløften er her allerede

De sidste to år har samtalen om AI i høj grad handlet om implementering: hvem eksperimenterer, hvem investerer, hvem bygger agenter, og hvem kommer først.

Den samtale er ved at ændre sig.

Det svære spørgsmål er ikke længere, om organisationer vil bruge AI. Det gør de allerede.

Spørgsmålet er, om nogen overhovedet kan se, hvad der foregår.

Ny global forskning fra Dataiku og IBM gør dette smerteligt tydeligt. Dataikus CIO-undersøgelse fra 2026 viser, at 84 % af CIO'erne mener, at medarbejdere skaber AI-agenter og applikationer hurtigere, end it-afdelingen kan nå at styre dem. 81 % mangler fuldt overblik over agenter, der er oprettet uden for godkendte systemer eller formelle kanaler. IBM har fundet det samme mønster i større skala: 70 % af it-lederne siger, at forretningsteams implementerer teknologi hurtigere, end it-afdelingen kan følge med, mens 77 % siger, at udbredelsen af AI allerede bevæger sig hurtigere end evnen til at styre den.

Det er det, vi kalder AI-kontrolkløften.

Det er ikke en fremtidig risiko. Den er allerede til stede i de fleste store organisationer.

Det virkelige problem er ikke udbredelsen af AI

Jeg møder CIO'er, compliance-ansvarlige og ledere i den offentlige sektor, som mener, at de har rimelig styr på brugen af AI i deres organisation.

De kender de godkendte værktøjer. De kender de sanktionerede pilotprojekter. De ved, hvilke leverandører der har været igennem indkøbs- og sikkerhedsvurderinger.

Men så ser vi nærmere efter.

Antallet af AI-værktøjer, der rent faktisk bliver brugt, er ofte tre til fem gange højere end forventet. Forbrugerværktøjer. Personlige konti. AI-assistenter indlejret i software, som ingen har klassificeret som AI. Modeller bragt ind via forretningsenheder, konsulenter, udviklere eller individuelle medarbejdere, der bare prøver at få deres arbejde gjort hurtigere.

Følsomme data flyder ind i systemer, som it-, juridiske- og sikkerhedsteams aldrig har vurderet.

Det er det, vi kalder skygge-AI. Og det er ikke længere et marginalt fænomen.

Orbus Softwares undersøgelse fra 2026 blandt 500 CIO'er viser, at 78 % kæmper med skygge-AI, og 98 % mangler indsigt i de tekniske og forretningsmæssige risici, det medfører.

Det bør bekymre enhver organisation, der håndterer borgerdata, patientjournaler, finansielle oplysninger, forretningshemmeligheder, forsvarsrelateret materiale eller kritisk infrastruktur.

For man kan ikke styre det, man ikke kan se.

AI-agenter ændrer risikoprofilen

Traditionel software gør, hvad den er programmeret til. AI-agenter er anderledes.

De kan fortolke instruktioner, få adgang til systemer, hente information, komme med anbefalinger, igangsætte arbejdsgange og i stigende grad udføre handlinger på tværs af flere systemer. Risikoen er ikke blot, at en medarbejder indtaster information i den forkerte chatbot. Risikoen er, at et autonomt eller semi-autonomt system handler ud fra ufuldstændige, forkerte eller følsomme oplysninger i stor skala.

IBM rapporterer, at de adspurgte organisationer oplevede gennemsnitligt 54 hændelser relateret til AI-agenter i det foregående år. Af disse hændelser involverede 37% datalæk eller sikkerhedsbrud, 33% forårsagede kaskadefejl i systemer, og 17% udløste problemer med overholdelse af regler.

Det er grunden til, at den gamle styringsmodel ikke længere er tilstrækkelig.

Et policydokument på et intranet viser ikke, hvilke værktøjer der er i brug. En kvartalsvis risikovurdering opdager ikke en ikke-godkendt agent, der er forbundet til en forretningsproces. En manuel oversigt forbliver ikke opdateret, når teams kan oprette og implementere AI-værktøjer på få dage.

AI-styring skal gøres operationel.

Den skal fungere kontinuerligt på tværs af modeller, platforme, teams og datamiljøer.

Synlighed kommer før styring

Mange organisationer reagerer på skygge-AI ved at forsøge at låse alt ned. Blokere offentlige værktøjer. Begrænse adgangen. Kræve central godkendelse af ethvert eksperiment.

Det er forståeligt. Det er bare sjældent effektivt.

Medarbejdere bruger uautoriseret AI, fordi det godkendte alternativ er for langsomt, for begrænset eller utilgængeligt. Hvis den officielle vej ikke kan opfylde et reelt forretningsbehov, vil folk finde en anden vej.

Svaret er ikke at forbyde AI. Svaret er at gøre godkendt AI til den nemmeste og mest nyttige løsning.

Dataikus resultater understøtter dette. 91% af CIO'erne siger, at den mest effektive strategi ikke er at centralisere hver eneste applikation eller agent, men at give forretningsteams mulighed for at bygge inden for rammerne af et styret miljø. 

Det er den rigtige model: distribueret innovation, styret eksekvering.

Men det virker kun, hvis organisationen kan besvare grundlæggende spørgsmål i nær realtid:

• Hvilke AI-værktøjer, modeller og agenter bliver brugt?
• Hvem ejer dem?
• Hvilke data tilgår, behandler eller sender de uden for organisationen?
• Hvilke systemer kan de oprette forbindelse til?
• Hvilke beslutninger eller handlinger kan de påvirke?
• Hvor er menneskeligt tilsyn påkrævet?
• Hvordan overvåges, ændres, pauses eller udfases de?
• Kan organisationen redegøre for deres forretningsværdi og risici?

Uden de svar er governance blot antagelser med pænere formatering.

Kontrol skal være indbygget fra starten

IBM's forskning peger på en vigtig pointe, som mange ledere stadig overser: kontrol og hastighed er ikke hinandens modsætninger.

Organisationer, der bygger kontrol direkte ind i deres AI-systemer, rapporterer 25 % færre hændelser end dem, der baserer sig på manuel governance. IBM's analyse viser desuden, at organisationer med indbygget kontrol implementerer 16 gange flere AI-agenter, opnår 18 % højere driftsmarginer og bruger fire gange mindre af deres AI-budgetter.

Det kommer ikke som nogen overraskelse.

Når teams har klare retningslinjer, kendte datagrænser, tilgængelige godkendte modeller og en enkel vej til implementering, kan de bevæge sig hurtigere. Sikkerhed, governance og arkitektur bliver fundamentet for skalering frem for hindringer for den.

Hos 2021.AI er dette princippet bag GRACE AI Security.

Målet er ikke at bremse AI-adoptionen. Det er at give organisationer det overblik og de kontrolværktøjer, der skal til for at accelerere ansvarligt:

• AI Auto Registry identificerer og vedligeholder en oversigt over AI-systemer, modeller og use cases.
• Gatekeeper Agent hjælper med at opdage skygge-AI og ikke-godkendte værktøjer.
• Chat Guardian kan forhindre, at følsomme data når frem til ikke-godkendte modeller.
• AI Gateway muliggør kontrolleret adgang til godkendte AI-tjenester og -modeller.

Formålet er enkelt: Gør den rigtige vej hurtig nok til, at folk ikke behøver at finde på omveje.

Ledelsestesten

Presset på CIO'er er tydeligt. Dataiku har fundet frem til, at 72 % ikke konsekvent kan måle, om alle deres agenter leverer de tilsigtede forretningsresultater. 76 % mener, at deres stilling er i fare, hvis deres virksomhed ikke kan fremvise målbare AI-gevinster inden udgangen af 2027.

Men dette er ikke kun en udfordring for CIO'en.

Det er en bestyrelsesudfordring. En CEO-udfordring. En udfordring for ledelsen i den offentlige sektor.

Enhver organisation er nødt til at beslutte, om den ønsker, at AI skal sprede sig organisk gennem værktøjer, den ikke kan se, data, den ikke kan kontrollere, og agenter, den ikke kan stoppe, eller om den ønsker at skabe et styret miljø, hvor innovation kan skaleres sikkert.

Det første skridt er ikke endnu en strategipræsentation.

Det er synlighed.

Du kan ikke reservere menneskelig dømmekraft til de vigtige beslutninger, hvis du ikke ved, hvor maskinerne allerede har taget over.