Data governance als voorwaarde voor AI: van beleid naar werkende inrichting

De meeste organisaties ontdekken de staat van hun data governance op de dag dat ze een AI-assistent aanzetten.

Het patroon is voorspelbaar. Een pilot met een AI-assistent op de eigen omgeving, twintig enthousiaste gebruikers, en binnen twee weken de eerste melding: iemand vraagt naar salarisschalen en krijgt een antwoord dat klopt. Niet omdat het systeem stuk is, maar omdat een HR-document ooit in een SharePoint-site is geplaatst waar "iedereen binnen de organisatie" toegang had. Dat was vijf jaar geen probleem, want niemand zocht ernaar. Een AI-assistent zoekt wel.

Een AI-assistent is de eerlijkste auditor die u ooit heeft ingehuurd. Hij rapporteert alleen niet in een rapport.

Voor IT-managers is dit geen nieuw inzicht, maar wel een nieuwe urgentie. Toegangsrechten, classificatie en retentie stonden jarenlang op de lijst van dingen die eigenlijk moesten. AI verandert de kostenstructuur van uitstel: wat eerst een theoretisch risico was, wordt een incident met een naam en een datum.

Wat AI verandert aan data governance

Klassieke governance ging over het beschermen van systemen. Een applicatie, een rechtenmodel, een auditlog. De grens was duidelijk.

Generatieve AI werkt dwars door die grenzen heen. Een AI-assistent leest bestanden, mail, chatberichten, notulen en projectmappen, en maakt daar één samenhangend antwoord van. Daarmee ontstaan drie nieuwe realiteiten.

Overdeling wordt zichtbaar en bruikbaar. In een omgeving van pakweg 2.000 medewerkers is een Microsoft 365-tenant met tienduizenden sites en teams geen uitzondering. Een deel daarvan is verlaten, een deel heeft ruime rechten, en een deel bevat documenten die niemand zich nog herinnert. Illustratief: veel organisaties die een inventarisatie doen, vinden dat een dubbelcijferig percentage van hun documenten breder toegankelijk is dan bedoeld. Het exacte getal in uw organisatie is precies de vraag die u zou moeten stellen.

Context verlaat zijn oorspronkelijke doos. Een AI-antwoord combineert een concept-reorganisatieplan met een personeelslijst. Beide documenten waren afzonderlijk misschien verdedigbaar. De combinatie is dat niet.

Uitvoer is nieuwe data. Prompts, antwoorden, samenvattingen en gegenereerde documenten zijn zelf informatie die geclassificeerd, bewaard en soms opgevraagd moet worden. Wie AI-gebruik niet logt, kan straks niet reconstrueren hoe een besluit tot stand is gekomen.

Daar komt de regelgeving bij. De AVG geldt onverkort, ook voor data die een AI-systeem verwerkt. De Europese AI-verordening voegt daar verplichtingen aan toe rond risicoclassificatie, transparantie en documentatie, met een gefaseerde invoering. De precieze verplichtingen en tijdlijnen verschillen per toepassing en per sector, dus laat dat verifiëren door uw privacy officer of juridisch adviseur. De onderliggende eis is in alle gevallen dezelfde: u moet kunnen aantonen welke data waar zit, wie erbij kan en wat ermee is gebeurd.

Waarom beleid alleen niet werkt

Bijna elke organisatie die wij spreken heeft een informatiebeveiligingsbeleid. Vaak een goed beleid. En bijna altijd een beleid dat in de praktijk niet is afgedwongen.

Dat is geen nalatigheid, het is een structureel probleem. Beleid beschrijft wat zou moeten gelden. Techniek bepaalt wat feitelijk geldt. Tussen die twee zit een gat dat jaren onopgemerkt kan blijven, tot een AI-assistent er doorheen loopt.

Het tweede probleem is eigenaarschap. Data governance wordt structureel bij IT gelegd, terwijl IT geen inhoudelijke uitspraak kan doen over de vraag of een document vertrouwelijk is. Dat weet de afdeling die het heeft gemaakt. Zolang classificatie een IT-taak blijft, blijft het een technische exercitie zonder inhoudelijke dekking.

Het derde probleem is bruikbaarheid. Classificatieschema's met acht niveaus en twaalf subcategorieën worden niet gebruikt. Mensen kiezen dan de veiligste optie of de eerste optie, en beide maken het schema waardeloos.

Een label dat niemand begrijpt, wordt een label dat niemand gebruikt.

Onze werkwijze: vijf stappen van nulmeting naar routine

Synaura pakt data governance aan als onderdeel van AI-implementatie, niet als apart traject dat eerst "af" moet zijn. Wachten tot de governance perfect is, betekent dat AI nooit begint. Beginnen zonder governance betekent dat AI wordt teruggedraaid na het eerste incident. De weg ertussen is gefaseerd.

1. Nulmeting op data en rechten. Waar staat uw data, wie heeft toegang, wat is verlaten en wat is overgedeeld. Dit is een technische inventarisatie met een bestuurlijke uitkomst: een feitelijk beeld van uw blootstelling, uitgedrukt in aantallen en locaties. Twee tot drie weken voor een eerste bruikbaar beeld is realistisch.

2. Een classificatieschema dat mensen aankunnen. Vier niveaus, in de taal van de organisatie, met per niveau een concreet voorbeeld uit het eigen werk. Geen abstracte definities. Het schema wordt vastgesteld met de business, niet voor de business.

3. Technische inrichting. Labels, beschermingsregels, retentie en preventie van datalekken worden ingericht in de tooling die u al heeft. Automatische classificatie waar het kan, handmatige waar het moet.

4. Pilot op één domein. Kies een afdeling met reële gevoeligheid en beperkte omvang, bijvoorbeeld Finance of HR. Daar wordt zichtbaar of het schema werkt, of de labels kleven en of mensen het begrijpen. Pas daarna uitrollen.

5. Eigenaarschap en ritme. Per datadomein een eigenaar, een kwartaalcyclus voor herziening van rechten en een vast agendapunt in het AI-governanceoverleg. Zonder ritme zakt elke inrichting binnen een jaar weg.

Parallel hieraan loopt de menskant. AI-geletterdheid gaat ook over data: begrijpen waarom u een document niet in een publieke chatbot plakt, en waarom een label meer is dan een vinkje.

Waar Microsoft Purview in beeld komt

Voor organisaties die op Microsoft 365 werken, en dat zijn de meeste van onze opdrachtgevers, gebruiken we Microsoft Purview als technische onderlegger. De reden is pragmatisch: de capaciteit zit vaak al in uw licenties en werkt in dezelfde omgeving waar uw data en uw AI-assistent leven.

Concreet zetten wij Purview in voor:

• Sensitivity labels die classificatie meeverhuizen met het document, inclusief versleuteling en gebruiksbeperkingen die ook buiten uw tenant blijven gelden.
• Data Loss Prevention om te voorkomen dat gevoelige inhoud in de verkeerde kanalen belandt, inclusief prompts naar externe AI-diensten.
• Data Security Posture Management voor AI, waarmee zichtbaar wordt welke gevoelige data via AI-assistenten wordt aangeraakt en door wie.
• Retentie, audit en eDiscovery, zodat AI-interacties reconstrueerbaar en verantwoordbaar zijn.

Wat Purview niet doet, is uw governance bepalen. Het dwingt keuzes af die u eerst moet maken: welke niveaus, welke regels, welke eigenaar. Ook dekt het uw niet-Microsoft-omgeving maar gedeeltelijk. Databases, SaaS-applicaties en fileservers buiten de tenant vragen aanvullende inrichting of een expliciete keuze om ze buiten scope van AI-toegang te houden. Wij brengen dat verschil in kaart voordat er iets wordt aangezet.

De volgorde is daarbij belangrijker dan het product. Eerst het inhoudelijke schema en het eigenaarschap, dan de configuratie. Omgekeerd werken levert een technisch nette inrichting op die niemand volgt.

Wat u nu kunt doen

Vier stappen die binnen een kwartaal haalbaar zijn.

1. Laat een nulmeting doen op overdeling en verlaten data. U kunt geen besluit nemen over AI-toegang zonder te weten wat er openstaat. Begin met het meest gevoelige domein.
2. Benoem data-eigenaren per domein, met naam. Niet de afdeling, een persoon. Geef hen mandaat over classificatie en toegang.
3. Beperk de scope van uw eerste AI-uitrol bewust. Eén afdeling, één set bronnen, expliciet afgebakend. Breedte komt later.
4. Zet governance op de agenda van het MT, niet alleen van IT. Classificatie is een inhoudelijk besluit over bedrijfsrisico. Dat hoort op bestuursniveau te landen.

In de gratis AI-readiness scan van een uur brengen we in kaart hoe uw organisatie er op dit punt voor staat: de staat van uw data, uw governance, uw mensen en uw processen. U krijgt een concreet beeld van waar het risico zit en waar de eerste winst ligt.