75 prosent venter AI-autonomi innen 2027 – bare 37 prosent har styring som tåler det
Åtte av ti store EMEA-selskaper har hatt en AI-relatert hendelse på styre- eller toppledernivå det siste året, ifølge en ny IBM-undersøkelse. Likevel har bare fire av ti endret styringspolicyene sine som svar. Undersøkelsen, publisert 14. oktober 2026, tegner et bilde av organisasjoner der AI-risiko er blitt et styrespørsmål på papiret, mens styringsrammene ikke har fulgt med – akkurat før høyriskforpliktelsene i EUs AI-forordning trer i kraft i desember 2027.
Hva undersøkelsen viser
IBM publiserte funnene 14. oktober 2026, basert på en spørreundersøkelse blant 3 221 ledere i åtte land i Europa og Midtøsten, ved organisasjoner med 1 000 eller flere ansatte. Talletene er her gjengitt slik de er rapportert av StockTitan, som sannsynligvis gjengir IBMs egen pressemelding; de er ikke verifisert mot IBMs primærdokument.
Kjernefunnet er gapet mellom erfaring og respons: 80 prosent av de spurte lederne sier en AI-relatert hendelse har nådd styret eller toppledelsen det siste året, men bare 40 prosent har endret AI-styringspolicy eller styringsrammeverk som svar. Undersøkelsen definerer ikke hva som teller som en «AI-relatert hendelse», og den er ikke entydig på om 40-prosenttallet gjelder alle spurte organisasjoner eller bare de som har opplevd en hendelse – begge forbehold påvirker hvordan tallene skal leses.
Agent-AI løper foran styringen
Den mest markante spenningen i materialet ligger i fremtidsscenariene for autonome AI-systemer. 35 prosent rapporterer at de allerede kjører agentisk AI – systemer som handler selvstendig – i produksjon. 75 prosent forventer at AI-agenter vil ha en grad av beslutningsautonomi innen 2027. Men bare 37 prosent sier at styringen deres er designet for å skalere med agentisk AI-utrulling.
Med andre ord: Flertallet ser autonome beslutningssystemer komme innen et par år, mens et lite mindretall mener styringsverktøyene tåler denne typen utrulling. Siden agentisk AI kan utføre flertrinnsoppgaver uten menneskelig mellomledd, øker i praksis antallet beslutningspunkter som må styres – noe som stiller større krav til styringsverktøy enn klassiske, reaktive AI-systemer gjør.
Sånt gjør selskapene under press
Undersøkelsen spør også hva som skjer når utrulling løper foran styringsberedskapen. Her er svarene delte: 56 prosent fortsetter utrillingen innenfor avtalte risikogrenser, mens 33 prosent utsetter utrillingen til styringen er på plass. Et mindretall på rundt en tidel havner ifølge tallene utenfor disse to kategoriene, men kilden sier ikke hva de gjør.
Fordelingen illustrerer et vanlig mønster i digitalisering: de fleste organisasjoner velger å levere under forutsetning av at risikoen håndteres parallelt, ikke sekvensielt. Om de avtalte risikogrensene i praksis fungerer, sier undersøkelsen ikke noe om.
Ansvar på papiret, sjeldent i praksis
Et tredje mønster er avstanden mellom formelt ansvar og faktisk risikostyring. 98 prosent har tildelt AI-risikoansvar på styrenivå – et near-universelt svar som tyder på at ansvarstillordning er blitt standard praksis i store organisasjoner. Men bare 37 prosent har en formell, styrebehandlet finansiell risikokvantifisering av styringshull, og 54 prosent innrømmer at styringen har dekningshull for tredjeparts-AI – altså AI-funksjonalitet levert via eksterne leverandører, modeller eller integrasjoner.
Sistnevnte er særlig Relevant i en tid der mange bedrifter bygger AI-funksjoner på tredjepartsmodeller og API-er: Ansvaret kan ligge internt, mens risikoen delvis ligger hos andre.
Fristen i desember 2027
Den regulatoriske konteksten setter en klokke på hele bildet. Blant de spurte EU-lederne sier 41 prosent at de akselererer styringsinvesteringer foran høyriskforpliktelsene i EUs AI-forordning, som trer i kraft i desember 2027. Publiseringsdatoen på undersøkelsen ligger under 14 måneder før denne fristen.
AI-forordningens høyriskkrav stiller blant annet krav til risikostyring, dokumentasjon og menneskelig tilsyn for systemer i høyriskkategoriene. Undersøkelsen antyder at en betydelig minoritet av EU-selskapene nå flytter styringsarbeidet frem i tid av den grunn – men den sier ikke hva de resterende 59 prosent gjør, eller om investeringene faktisk endrer noe før fristen.
Hva tallene ikke viser
Flere forbehold er verdt å holde for øyet. For det første er alle tall her hentet fra én sekundærkilde, en StockTitan-gjengivelse som sannsynligvis stammer fra IBMs egen pressemelding. Funnene kan derfor ikke regnes som uavhengig verifisert, og IBMs egen rapport er ikke tilgjengelig i kildematerialet.
For det andre er det sentrale begrepet «AI-relatert hendelse» udefinert i kilden. Et bredt begrep kan inkludere alt fra mindre datafeil til regulatoriske brudd, noe som gjør 80-prosenttallet vanskelig å tolke presist.
For det tredje er forholdet mellom de to nøkkeltallene – 80 prosent hendelser og 40 prosent policyendringer – uklart i kildeteksten. Dersom 40-prosenttallet bare gjelder organisasjoner som har opplevd hendelser, er responsen noe bedre enn dersom det gjelder alle. Kilden sier ikke hvilket som gjelder.
For det fjerde gir kilden ingen landvise fordeling av de åtte landene, og heller ingen definisjon av hvilke land som inngår utover at de ligger i Europa og Midtøsten.
Til slutt en interessenevne: IBM selger selv styringsverktøy og tjenester for AI-governance. Undersøkelsen er reell som dokumentert selskapsforskning, men rammen om «styringsgapet» er også kommersielt betinget, og bør leses med det for øyet.
Hvorfor det betyr noe
Uavhengig av forbeholdene peker undersøkelsen på en konkret og målbar situasjon for store europeiske og mellomøstlige organisasjoner: AI-risiko har kommet inn i styrelokalene via erfaringene – åtte av ti har hatt hendelser på toppledernivå – men styringsverktøyene, den finansielle risikokvantifiseringen og dekningsgraden for tredjeparts-AI ligger vesentlig bak. Med agentisk AI i økende produksjonsbruk, et flertall som forventer autonom beslutningstaking innen 2027, og en EU-frist 14 måneder unna, har organisasjonene en begrenset periode til å lukke gapet mellom det som har skjedd, og det som er bygget for å håndtere det.