Vad en styrelse måste kunna om AI

De flesta styrelser har någon gång under det senaste året fått en dragning om AI. Färre har ställt sig frågan om de själva har den kunskap som krävs för att bedöma om verksamheten gör rätt saker med tekniken.

Det är inte konstigt. AI utvecklas snabbt, terminologin är teknisk och det är lätt att luta sig mot ledningens försäkran om att ”vi har koll”. Problemet är att AI förstärker flera av de risker som redan finns i digitala investeringar. Systemen kan generera innehåll, påverka beslut och i vissa fall agera med hög hastighet och stor räckvidd.

Samtidigt kan samma teknik skapa betydande konkurrensfördelar. Möjlighet och risk finns ofta i samma projekt. Det gör AI olämpligt att delegera bort helt.

Varför det här hör hemma i styrelserummet

Tre skäl gör AI till en styrelsefråga snarare än en ren teknikfråga:

Regulatoriskt ansvar. EU:s AI-förordning, AI Act, ställer krav på organisationer som utvecklar, tillhandahåller eller använder AI-system. Vilka skyldigheter som gäller beror bland annat på organisationens roll, systemets användning och dess riskklass. Frågan kan därför inte hanteras isolerat inom IT-avdelningen.

Strategisk konkurrenskraft. Rätt använt är AI en verklig hävstång för produktivitet, bättre beslutsunderlag och nya intäktsströmmar. Fel använt kan tekniken skapa juridiska, operativa och anseendemässiga problem. Att avstå helt av rädsla innebär samtidigt en risk att bli omkörd av konkurrenter som lär sig tidigare.

Risk i skala. AI-system som får boka, betala, kommunicera eller påverka beslut utan tydliga ramar kan orsaka fel med en hastighet och omfattning som traditionella kontrollmekanismer inte alltid är utformade för.

EU AI Act – det korta styrelseperspektivet

Utan att gå ner i juridiska detaljer delar AI Act in användningar av AI efter risk, med krav som ökar när den möjliga skadan blir större.

Oacceptabel risk – vissa användningar, däribland vissa former av social poängsättning, biometrisk kategorisering och manipulation, är förbjudna. De första förbuden började gälla i februari 2025.
Generella AI-modeller – modellerna bakom många AI-tjänster omfattas sedan augusti 2025 av krav på bland annat transparens, dokumentation och hantering av upphovsrätt. För modeller med systemrisk gäller ytterligare krav på riskbedömning, testning och incidentrapportering.
Högrisksystem – regler för fristående AI-system inom bland annat rekrytering, utbildning, kreditbedömning och kritisk infrastruktur börjar enligt den uppdaterade tidsplanen tillämpas den 2 december 2027. För högrisk-AI som ingår i reglerade produkter är datumet den 2 augusti 2028.
Sanktioner – förordningen innehåller flera sanktionsnivåer. Överträdelser av de förbjudna AI-praktikerna kan medföra administrativa sanktionsavgifter på upp till 35 miljoner euro eller 7 procent av företagets globala årsomsättning. Lägre maxnivåer gäller för andra typer av överträdelser.

Poängen för styrelsen är inte att memorera datum eller juridiska definitioner. Ledningen måste kunna redogöra för var verksamheten står, medan styrelsen behöver säkerställa att frågan har rätt ägare, styrning och uppföljning. De exakta juridiska skyldigheterna beror på organisationens roll och hur systemen används.

Möjligheter och utmaningar hör ihop

Det är lätt att hamna i endera diket: total AI-optimism – ”vi måste bara implementera snabbare” – eller total AI-skepsis – ”vi väntar tills reglerna är klara”. Båda är riskabla styrelsehållningar.

Möjligheterna är verkliga: effektivare processer, bättre beslutsunderlag och produkter och tjänster som inte var möjliga för några år sedan. Men varje möjlighet har en möjlig spegelbild. Samma system som automatiserar kundservice kan fatta fel beslut i stor skala. Samma modell som snabbar upp analysarbete kan också förstärka skevheter i underlaget eller producera felaktiga slutsatser med övertygande språk.

En styrelse som bara pratar om möjligheter missar riskbilden. En styrelse som bara pratar om risker missar värdet organisationen går miste om.

Rätt fråga är sällan ”AI eller inte AI”, utan:

Under vilka villkor, med vilka begränsningar och med vilken tillsyn?

Vad som händer utan rätt restriktioner

AI utan tydliga ramar för vad ett system får och inte får göra skapar oförutsägbarhet. Problemen kan utvecklas långsamt och osynligt eller spridas snabbt i stor skala. I båda fallen riskerar organisationen att upptäcka dem först när konsekvenserna blivit betydande.

Några konkreta exempel:

Agenter får för vida befogenheter – ett AI-system som ska ”optimera kundkommunikation” utan tydliga gränser kan skicka olämpligt innehåll till fel målgrupp innan en människa hinner reagera.
Data används utanför sitt avsedda syfte – information som samlats in för ett ändamål används av en modell för något helt annat, med möjliga integritets- och GDPR-konsekvenser.
Beslut saknar spårbarhet – när organisationen inte kan förklara varför ett AI-system påverkade ett lån, en rekrytering eller ett kundbeslut uppstår både juridiska risker och förtroenderisker.
Kostnader skenar utan insyn – utan budgetramar, användningsprinciper och ansvar kan AI bli en växande kostnadspost som ingen riktigt äger.

Avsaknad av restriktioner skapar inte frihet. Den skapar oförutsägbarhet. Och oförutsägbarhet i system som agerar i realtid och stor skala är en risk som styrelsen behöver försäkra sig om att organisationen kan hantera.

Börja med en karta, inte en omfattande policy

Styrelsens första uppdrag behöver inte vara att beställa en stor AI-policy. Be i stället ledningen ta fram en enkel karta över:

vilka AI-system och AI-tjänster verksamheten använder
vilket syfte varje användning har
vilka data systemen behandlar
vilka beslut eller handlingar de kan påverka
vilka begränsningar som gäller
vem som ansvarar för värde, risk och uppföljning

Utan den kartan går det varken att bedöma riskerna eller prioritera möjligheterna. Kartläggningen behöver inte vara perfekt från början. Dess första uppgift är att göra det osynliga synligt.

Frågor styrelsen bör kunna ställa

En styrelse behöver inte kunna bygga AI-system. Den behöver kunna ställa rätt frågor till dem som gör det:

Vilka AI-system använder vi i dag, och vem äger riskbedömningen och det förväntade affärsvärdet för respektive system?
Vilka av våra AI-användningar kan omfattas av högriskregler eller andra särskilda krav, och vad är vår plan?
Vilka beslut och handlingar får våra AI-system utföra utan mänsklig inblandning – och är den gränsen medvetet satt eller har den bara vuxit fram?
Hur mäter och rapporterar vi AI-relaterade resultat, avvikelser och incidenter till styrelsen?
Om ett AI-system skadar en kund eller bryter mot en regel i morgon, vet vi vem som ansvarar, och kan vi rekonstruera vad som hände?

Om ledningen inte har tydliga svar är det inte ett tecken på att allt är under kontroll. Det är ett tecken på att frågorna behöver ställas oftare och mer systematiskt.

En styrelse behöver inte ha alla svar om AI. Men den måste säkerställa att organisationen vet vilka system den använder, vilket värde de ska skapa, vilka gränser som gäller och vem som ansvarar när något går fel.

Det är inte teknisk detaljstyrning. Det är modernt styrelsearbete.

Vill du gräva djupare: Jonas Fasths Styrelsearbete – dåtid, nutid och framtid bygger på intervjuer med ett hundratal svenska styrelseledamöter och beskriver hur styrelserollen förskjutits från reaktiv kontroll till proaktiv, strategisk kraft – relevant bortom just AI-frågan. Vill du specifikt in på cybersäkerhetsansvaret ovan, som numera även omfattar NIS2/cybersäkerhetslagen, ger Gustav Lindéus Styrelsens NIS2: Strategisk Riskhantering för Motståndskraftiga Organisationer ett konkret ramverk (fem pelare: ansvar, risk, incident, leverantör och uppföljning) för att omsätta kraven i praktisk bolagsstyrning.

Källor: EU:s AI-förordning – Regulation (EU) 2024/1689; AI Omnibus enters into force; Europeiska kommissionens aktuella AI Act-tidslinje. Kontrollerade den 10 augusti 2026.