AI-governance
zonder bureaucratie

Hoe richt een organisatie AI-governance in zonder dat het bureaucratie wordt?

Daarnaast heeft een organisatie minimaal vier mechanismen nodig: één register van alle AI-toepassingen, één poort voor beoordeling vooraf, één periodieke toets en één escalatiepad. Het risico van te veel regelen is dat mensen eromheen gaan werken en er een schaduwpraktijk ontstaat met tools die niemand kent, terwijl de organisatie denkt in controle te zijn.

Is een aparte AI-ethiekcommissie nodig voor AI-governance?

Meestal niet: voor AI-governance is het meestal beter om AI als onderwerp toe te voegen aan het gremium dat er binnen de bestaande risicostructuur al is. Dat gremium heeft mandaat en vergadert al.

Kan het register voor AI-governance een spreadsheet zijn?

Ja, als de spreadsheet klopt: voor AI-governance verslaat een spreadsheet die klopt een GRC-module die half gevuld is. Het register bevat per toepassing de eigenaar, het doel, het risiconiveau, de gebruikte data, de leverancier en het moment van de laatste beoordeling.

Is de risico-indeling voor AI-governance in drie niveaus ook een juridisch oordeel onder de Europese AI-verordening?

Nee. De indeling in drie niveaus is een werkmodel om binnen AI-governance het interne gesprek te structureren. De Europese AI-verordening hanteert een eigen classificatie, en het advies is de juridische afdeling of een gespecialiseerde adviseur te laten vaststellen waar toepassingen exact onder vallen.

Bron: artikel van Dave Willemstein; primaire bron: Verordening (EU) 2024/1689 (AI Act), EUR-Lex; Europese Commissie, "AI Act" (regulatory framework AI) (peildatum 6 oktober 2026). Bijgewerkt: oktober 2026.

Het echte risico van AI-governance

Het risico is niet dat je te weinig regelt. Het risico is dat je zoveel regelt dat mensen eromheen gaan werken, en dat je vervolgens denkt dat je in controle bent terwijl er een schaduwpraktijk ontstaat met tools die niemand kent.

Dat gebeurt sneller dan bij klassieke IT, omdat AI-tools laagdrempelig zijn. Een medewerker die een goedkeuringstraject van zes weken tegenkomt, kan het alternatief in twee minuten zelf regelen met een creditcard. Goede governance houdt daar rekening mee.

Begin bij risicoclassificatie, niet bij techniek

De fout die het vaakst wordt gemaakt: één regime voor alles wat "AI" heet. Dat betekent dat een tool die vergaderverslagen maakt door hetzelfde traject moet als een model dat kredietbeslissingen beïnvloedt. Het gevolg is voorspelbaar: het eerste wordt onnodig vertraagd en het tweede krijgt te weinig aandacht, omdat de aandacht is opgegaan aan de lawine van lage-risicoverzoeken.

Een werkbare indeling in drie niveaus:

• Laag: ondersteunt een individuele medewerker, de uitkomst wordt direct door die persoon beoordeeld, geen effect op externen. Voorbeelden: samenvatten, conceptteksten, zoeken in interne documenten. Regime: registreren en algemene gebruiksafspraken.
• Midden: beïnvloedt een werkproces of een beslissing over een klant, met menselijke tussenkomst. Voorbeelden: dossiervoorbereiding, prioritering van aanvragen, voorraadadvies. Regime: registratie, expliciete eigenaar, testset, periodieke evaluatie.
• Hoog: raakt rechten of belangen van mensen, of werkt door zonder betekenisvolle menselijke tussenkomst. Voorbeelden: kredietbeoordeling, selectie van sollicitanten, fraudesignalering. Regime: volledige documentatie, formele beoordeling vooraf, aantoonbaar toezicht, logging.

De Europese AI-verordening hanteert een eigen classificatie met specifieke verplichtingen per categorie, en verboden praktijken aan de bovenkant. Laat je juridische afdeling of een gespecialiseerde adviseur vaststellen waar jouw toepassingen exact onder vallen. De indeling hierboven is een werkmodel om intern het gesprek te structureren, geen juridisch oordeel.

De vier mechanismen die je minimaal nodig hebt

1. Eén register

Een lijst van alle AI-toepassingen die in de organisatie draaien of worden ontwikkeld, met per toepassing: eigenaar, doel, risiconiveau, welke data erin gaat, welke leverancier, en wanneer hij voor het laatst is beoordeeld.

Dit klinkt saai en het is het belangrijkste dat je hebt. Zonder register kun je geen enkele andere vraag beantwoorden. Met een register kun je bij elk incident, elke auditvraag en elke leverancierswijziging binnen een uur zien wie je moet spreken.

Houd het licht: een spreadsheet die klopt, verslaat een GRC-module die half gevuld is. Wat telt, is dat het bijwerken ervan een voorwaarde is om verder te mogen, niet een verzoek achteraf.

2. Eén poort

Eén moment waarop een nieuwe toepassing wordt beoordeeld voordat hij in gebruik gaat. Niet drie, niet een keten van afdelingen die elkaar afwachten. Eén overleg, met een vaste bezetting (business, data/IT, risk) en een vaste doorlooptijd.

Voor laag-risicotoepassingen is de poort een formaliteit van tien minuten. Voor hoog-risicotoepassingen is het een serieuze beoordeling. Het verschil zit in de voorbereiding, niet in het aantal instanties.

Spreek een maximale doorlooptijd af, bijvoorbeeld twee weken, en houd je daaraan. De geloofwaardigheid van je governance hangt hier meer van af dan van de inhoud van je toetsingskader.

3. Eén periodieke toets

AI-toepassingen verslechteren stilletjes. De wereld verandert, de data verschuift, de leverancier wijzigt het onderliggende model. Zonder periodieke toets merk je dat pas als een gebruiker klaagt, en dan draait het al maanden verkeerd.

Per risiconiveau een ander ritme: laag risico jaarlijks een check of het nog gebruikt wordt, midden halfjaarlijks een evaluatie tegen de testset, hoog risico per kwartaal met vastgelegde uitkomst.

Belangrijk: de toets hoort een vaste testset te gebruiken die je bij de start hebt gemaakt. Zonder die set toets je een gevoel, niet een prestatie.

4. Eén escalatiepad

Wat doet een medewerker die ziet dat een AI-toepassing iets geks doet? Als het antwoord "dat weet ik niet" is, meldt niemand iets en hoor je het pas via een klant.

Maak het concreet: één mailadres of formulier, een toezegging dat er binnen twee werkdagen op wordt gereageerd, en de bevoegdheid bij één persoon om een toepassing tijdelijk stil te zetten zonder dat daar een commissie voor bijeen hoeft te komen. Die laatste bevoegdheid maakt het verschil en wordt vrijwel altijd vergeten.

Wat je kunt overslaan

Drie dingen die vaak worden opgetuigd en zelden iets opleveren:

• Een aparte AI-ethiekcommissie naast je bestaande risicostructuur. Meestal beter om AI als onderwerp toe te voegen aan het gremium dat er al is: dat heeft mandaat en vergadert al.
• Een uitgebreid AI-beleidsdocument voordat er toepassingen zijn. Beleid geschreven zonder praktijkervaring is abstract en wordt binnen een jaar herschreven. Begin met vijf gebruiksafspraken op één pagina.
• Toolkeuze als governancevraag. Welk platform je gebruikt is een inkoopvraag. Welke beslissingen je eraan overlaat, is de governancevraag.

Leg ook vast wat je niet doet

Dit is het onderdeel dat het meeste rendement geeft en het minste werk kost. Als je besluit een bepaalde toepassing níét te bouwen (bijvoorbeeld AI-ondersteuning bij personeelsbeoordelingen), leg dan vast waarom, wie dat besloot en wanneer het opnieuw bekeken wordt.

Zonder die vastlegging komt hetzelfde voorstel elk kwartaal terug via een andere route, en voer je elke keer dezelfde discussie met andere mensen. Met vastlegging is het gesprek in twee minuten klaar: hier is het besluit, hier is de afweging, en in oktober kijken we er opnieuw naar.