Door Laas NuryZoek op "AI-governance" en je vindt kaders die geschreven zijn voor banken en overheden: stuurgroepen, ethische commissies, tientallen beheersmaatregelen en een volwassenheidsmodel. Voor een bedrijf met een paar honderd mensen en een handvol AI-tools is dat geen governance. Het is een reden om niets te doen.
Governance in een middelgroot bedrijf moet vijf vragen beantwoorden, en elk antwoord past in een paar regels. Wie is verantwoordelijk? Wat gebruiken we? Hoe wordt iets nieuws goedgekeurd? Hoe houden we het in de gaten? En wat doen we als het misgaat? Hieronder vind je de versie op één pagina, met uitleg per onderdeel.
De pagina
| Onderdeel | Wat er staat | Wie | Hoe vaak |
|---|---|---|---|
| 1. Eigenaar | Eén persoon met een naam is verantwoordelijk voor AI in het bedrijf | Iemand uit het management | Doorlopend |
| 2. Register | Elke AI-tool en AI-functie die in gebruik is, met eigenaar, doel en gegevens | De eigenaar houdt het bij | Bij elke wijziging |
| 3. De check vóór livegang | Elke nieuwe AI-toepassing gaat vóór gebruik door drie vragen | De eigenaar, samen met de aanvrager | Per nieuwe toepassing |
| 4. Maatregelen per niveau | Wat elk niveau vraagt: van "gebruik met verstand" tot "getest, vastgelegd, goedgekeurd" | De eigenaar van de tool | Per toepassing |
| 5. Mensen | Het AI-beleid en een introductie voor iedereen; meer uitleg voor dagelijkse gebruikers | De eigenaar en teamleiders | Eerste week, en per nieuwe tool |
| 6. Incidenten | Waar je meldt, wie actie onderneemt, wat er wordt vastgelegd | De eigenaar | Als het gebeurt |
| 7. Evaluatie | Register, incidenten en regels worden doorgelopen | Het management | Elk kwartaal, kort |
Dat is het hele kader. De rest van dit artikel licht de onderdelen toe waar dat nodig is.
1. Eén eigenaar, geen commissie
Eén persoon uit het management is verantwoordelijk voor AI in het bedrijf. Vaak is dat de COO, de operationeel manager, het hoofd IT of de CFO: iemand die de processen kent en nee kan zeggen. Technisch hoeft die persoon niet te zijn. Wel moet hij of zij het register actueel houden, de check op nieuwe toepassingen doen en de kwartaalevaluatie agenderen.
De AI Act verplicht geen AI-officer of governance-orgaan, en de Europese Commissie zegt dat ook letterlijk. Wat de wet wel vraagt: dat je weet welke AI je gebruikt en kunt laten zien wat je eraan hebt gedaan.
2. Het register: wat je echt gebruikt
Het register is het fundament. Eén regel per AI-tool of AI-functie, ook de AI die is aangezet in software die je al gebruikt:
- Wat het is en waarvoor het wordt gebruikt.
- Wie eigenaar is en wie ermee werkt.
- Welke gegevens erin gaan en waar die worden opgeslagen.
- Het niveau (zie onderdeel 4).
- Wat gebruikers moeten weten, en wanneer ze de introductie kregen.
De meeste middelgrote bedrijven komen uit op vijf tot vijftien regels. Kun je een regel niet invullen, dan heb je je eerste governancevraagstuk gevonden.
3. De check voordat iets nieuws live gaat
Elke nieuwe AI-toepassing, of het nu een nieuwe tool is of een nieuw doel voor een bestaande, gaat door drie vragen voordat iemand erop vertrouwt:
- Neemt of ondersteunt het beslissingen over mensen? Werving, beoordeling van medewerkers, krediet, premies, toegang tot diensten. Zo ja: dan is het waarschijnlijk een hoog-risicotoepassing onder de AI Act, en hoort het op niveau 3.
- Gaan er persoonsgegevens of vertrouwelijke informatie in? Zo ja: controleer de AVG-grondslag, waar de gegevens worden opgeslagen en of de leverancier erop traint. Levert het gebruik waarschijnlijk een hoog risico voor mensen op, doe dan een DPIA.
- Handelt het zelfstandig, of controleert een mens elke uitkomst voordat die wordt gebruikt? Handelt het zelfstandig, dan zijn grenzen, een logboek en een noodknop nodig.
De antwoorden bepalen het niveau.
4. Drie niveaus, drie sets maatregelen
| Niveau | Wanneer | Wat het vraagt |
|---|---|---|
| 1. Gebruik met verstand | Een mens gebruikt de uitkomst en controleert die; geen persoonsgegevens of beslissingen over mensen | In het register; valt onder het AI-beleid; gebruikers hebben een introductie gehad |
| 2. Gecontroleerd en vastgelegd | Er gaan persoonsgegevens of vertrouwelijke gegevens in, of de uitkomst voedt een bedrijfsproces | Niveau 1, plus: leverancier en opslaglocatie gecontroleerd, een eigenaar die weet waar het misgaat, steekproeven op de uitkomst, een DPIA waar nodig |
| 3. Getest, vastgelegd en goedgekeurd | Het handelt zelfstandig in je systemen, of het neemt of ondersteunt beslissingen over mensen | Niveau 2, plus: vóór livegang getest op echte gevallen, een volledig logboek, goedkeuring door een mens voor alles wat onomkeerbaar is, grenzen en een noodknop, en de specifieke AI Act-plichten als het een hoog-risicotoepassing is |
Het meeste wat een bedrijf gebruikt, zit op niveau 1. Een paar processen zitten op niveau 2. Niveau 3 is waar de inspanning thuishoort, en dat hoort zeldzaam te zijn.
5. Mensen
Governance faalt als de mensen die met AI werken de regels niet kennen. Twee dingen regelen dat: het AI-beleid met een korte introductie voor iedereen, en uitleg per tool voor wie er dagelijks mee werkt. Daarmee beantwoord je ook de AI-geletterdheidsplicht uit de AI Act. In ons artikel over AI-beleid opstellen vind je een template van twee pagina's.
6. Als er iets misgaat
Spreek vooraf af waar mensen problemen melden (een adres, een persoon), wie ernaar kijkt en wat er wordt vastgelegd. Typische incidenten: persoonsgegevens in een niet-goedgekeurde tool, een AI-uitkomst die ongecontroleerd bij een klant terechtkwam, een agent die buiten zijn grenzen handelde. Maak melden makkelijk en zonder schuldvraag. De incidenten waar je van hoort, zijn de incidenten die je kunt oplossen.
7. De kwartaalevaluatie
Een halfuur per kwartaal, met het management:
- Wat kwam er in het register bij, en wat ging eruit?
- Welke incidenten waren er, en wat is er daardoor veranderd?
- Schuift er iets richting niveau 3, zoals een nieuwe toepassing die raakt aan beslissingen over mensen?
- Komen er deadlines aan, zoals de hoog-risicoverplichtingen uit de AI Act vanaf december 2027?
Meer is niet nodig om governance levend te houden zonder dat het een baan wordt.
Wanneer je meer nodig hebt
Het kader op één pagina is bedoeld voor een bedrijf dat AI gebruikt. Meer is nodig als:
- Je AI voor anderen bouwt. Dan ben je aanbieder onder de AI Act, met eigen verplichtingen.
- Je meerdere hoog-risicotoepassingen hebt, zoals AI bij werving of kredietbeslissingen.
- Je klanten om certificering vragen. ISO/IEC 42001, de internationale norm voor managementsystemen voor AI, is dan het gebruikelijke antwoord. Het AI Risk Management Framework van NIST is een gratis, goed opgebouwde bron als je verder wilt.
Voor alle anderen geldt: één pagina, één eigenaar en een register dat echt wordt bijgehouden, doen meer dan een kader van zestig pagina's dat niemand opent. De juridische achtergrond van de niveaus lees je in de AI Act voor bedrijven die AI gebruiken.
