Sagen, der satte standarden
Chatbotten lovede, selskabet hæftede
I 2022 mistede canadieren Jake Moffatt sin bedstemor og spurgte Air Canadas chatbot om rabat ved dødsfald i familien. Botten svarede, at han kunne købe billetten til fuld pris og søge rabatten refunderet bagefter. Det var forkert – selskabets egne regler tillod ikke refusion med tilbagevirkende kraft, og Air Canada afviste hans krav.
Moffatt lagde sag an, og i 2024 afgjorde det canadiske nævn sagen til hans fordel. Air Canadas forsvar var bemærkelsesværdigt: Selskabet hævdede, at chatbotten var en selvstændig juridisk enhed med ansvar for sine egne handlinger. Nævnet afviste blankt – chatbotten er en del af selskabets hjemmeside, og selskabet er ansvarligt for al information på den, uanset om den kommer fra en statisk side eller en bot.
Beløbet var beskedent, godt 650 canadiske dollars. Principperne var det ikke: Virksomheden ejer, hvad dens AI siger og gør. Det princip er siden blevet fundamentet under den europæiske regulering.
Reguleringen
AI-forordningen: hvor kravene står i dag
EU’s AI-forordning (AI Act) er trådt i kraft trinvist. Forbuddene mod uacceptabel AI har været gældende siden februar 2025, og den 2. august 2026 blev transparenskravene i artikel 50 håndhævelige: Chatbots og andre AI-systemer, der interagerer med mennesker, skal tydeligt oplyse, at man taler med en AI, og AI-genereret indhold skal kunne genkendes maskinelt. Overtrædelse kan koste op til 15 mio. euro eller 3 pct. af den globale omsætning.
Kravene til højrisikosystemer, blandt andet AI til rekruttering, kreditvurdering og adgang til væsentlige tjenester, er med den såkaldte Digital Omnibus udskudt til december 2027. Udskydelsen er dog ingen fribillet: Kravene om risikostyring, logning, menneskeligt tilsyn og dokumentation ligger fast, og systemer, der tages i brug nu, skal kunne leve op til dem.
Samtidig trak EU-Kommissionen sit forslag til et særskilt AI-ansvarsdirektiv tilbage i 2025. Konsekvensen er, at erstatningsansvar for AI-fejl afgøres efter national ret – og dér gælder Moffatt-logikken: Den, der sætter AI’en i drift, hæfter for det, den siger og gør over for kunder og omverden.
Risikoen
Det skal I kunne svare på
- Hvilke AI-systemer har I? De fleste organisationer har flere, end de tror – indkøbte, indbyggede i SaaS-produkter og hjemmebyggede. Uden et samlet inventar kan ingen vurdere risikoen.
- Hvem ejer dem? Hver AI skal have en navngiven ejer med ansvar for, hvad den siger og gør – ligesom Air Canada burde have haft for sin chatbot.
- Hvad har de adgang til? En chatbot, der kan læse prislister og kundedata, kan også love rabatter og lække data. Adgangene afgør skadespotentialet.
- Kan I dokumentere det? Logning og sporbarhed er både et krav i forordningen og jeres eneste evidens, hvis en sag opstår.
- Ved kunderne, at de taler med en AI? Transparenskravet fra artikel 50 gælder nu og håndhæves af de nationale tilsynsmyndigheder.
AI-compliance er adgangsstyring
Diskussionen om AI-ansvar ender næsten altid samme sted: Hvad kunne systemet, og hvem havde givet det lov? En AI-agent eller chatbot er i praksis en ikke-menneskelig identitet med adgange, rettigheder og handlemuligheder – og den skal styres som en.
Det betyder mindst mulig adgang: Kundeservicebotten skal kunne læse de godkendte svar, ikke hele intranettet. Det betyder ejerskab og livscyklus: AI’en oprettes gennem en kontrolleret proces, recertificeres med faste intervaller og nedlægges, når den ikke længere bruges. Og det betyder sporbarhed: Hvem gav AI’en hvilke adgange hvornår, og hvad har den brugt dem til?
Med de discipliner på plads er artikel 50 og dokumentationskravene ikke en brandøvelse, men et udtræk fra systemer, I allerede har styr på. Uden dem er hvert nyt AI-system en Moffatt-sag, der venter på at ske.
Hvor skal I starte?
Med inventaret og adgangene. Kortlæg jeres AI-systemer, giv hver af dem en ejer, og gennemgå, hvad de faktisk har adgang til. Det er samme øvelse som for servicekonti og API-nøgler – AI-agenterne er blot de nyeste ikke-menneskelige identiteter i rækken.
Derfra kan compliance bygges oven på: transparens over for brugerne, logning af systemernes adfærd og dokumentation, der kan fremvises, når tilsynet eller en utilfreds kunde spørger. Jo før adgangsstyringen er på plads, desto billigere bliver resten.
Ved I, hvad jeres AI kan love på jeres vegne?
Et IAM Healthcheck kortlægger jeres identiteter og adgange – mennesker, servicekonti og AI-agenter – og giver jer en prioriteret plan, før tilsynet eller kunderne stiller spørgsmålene.
