AI-governance

Governance krijgt in veel organisaties een slechte naam: lange documenten, commissies en een rem op elk initiatief. Het kan ook anders. Goede AI-governance maakt duidelijk wie wat mag beslissen, welke toepassingen extra aandacht vragen en hoe de organisatie aantoont dat ze zorgvuldig werkt. Dat versnelt, omdat mensen weten waar ze aan toe zijn.

We richten dat kader in op basis van wat er al is en op de maat van uw organisatie. Het resultaat past op enkele pagina's, wordt gedragen door de mensen die ermee werken en houdt stand als er een toezichthouder meekijkt.

Waarom governance nu

Twee ontwikkelingen maken AI-governance urgent. De eerste is het gebruik zelf: in vrijwel elke organisatie werken medewerkers al met AI, vaak via functies die leveranciers in bestaande software hebben ingeschakeld, zonder dat iemand het overzicht heeft. De tweede is de wet. Sinds 2 februari 2025 gelden de verboden praktijken en de verplichting tot AI-geletterdheid. Sinds 2 augustus 2026 gelden de meeste overige verplichtingen uit de AI Act, waaronder die voor hoogrisicosystemen en de transparantieverplichtingen. Voor hoogrisicosystemen die onderdeel zijn van producten onder bestaande EU-productwetgeving geldt een overgangstermijn tot 2 augustus 2027.

Wat de AI Act precies vraagt, per risicoklasse en per rol, leest u in het artikel Wat de EU AI Act betekent voor organisaties. Governance is de manier om die verplichtingen in te bedden in hoe de organisatie al werkt.

Wat we inrichten

Het kader bestaat uit vijf onderdelen die samen antwoord geven op de vragen die een toezichthouder, een ondernemingsraad of een klant kan stellen: wat gebruikt u, wie is verantwoordelijk, hoe besluit u en hoe toont u dat aan?

Een AI-register. Een overzicht van alle AI-systemen in gebruik, inclusief functies binnen bestaande software, met per systeem de eigenaar, het doel, de gegevens die het verwerkt en de risicoklasse onder de AI Act. Het register is het fundament voor alle andere onderdelen.

Beleid en spelregels. Heldere richtlijnen voor het gebruik van AI-tools door medewerkers: wat mag, wat niet en waar medewerkers terechtkunnen met vragen. Kort genoeg om gelezen te worden en concreet genoeg om naar te handelen.

Rollen en besluitvorming. Wie beoordeelt nieuwe toepassingen, wie is eigenaar, wanneer is de directie aan zet en hoe wordt menselijk toezicht georganiseerd. We sluiten aan op de bestaande structuur voor informatiebeveiliging en privacy, zodat er geen tweede circuit ontstaat.

Naleving van de AI Act. Per systeem de verplichtingen in kaart, de geletterdheidsplicht belegd en voor hoogrisicosystemen de documentatie, de logging, het menselijk toezicht en waar nodig de grondrechteneffectbeoordeling ingericht.

Toetsing van leveranciers. Een praktische checklist om AI-functies van leveranciers te beoordelen op documentatie, dataverwerking, risicoklasse en de afspraken die u contractueel moet maken.

Onze aanpak

We beginnen met wat er al is: uw bestaande beleid voor informatiebeveiliging en privacy, uw besluitvormingsstructuur en de risicobereidheid van de organisatie. Daarop bouwen we voort. Het traject verloopt in vier stappen.

Inventariseren. We brengen samen met IT, inkoop en de afdelingen in kaart welke AI-systemen en -functies in gebruik zijn, formeel en informeel. Dit levert het eerste AI-register op, en bijna altijd een paar verrassingen.

Classificeren. Per systeem bepalen we de risicoklasse onder de AI Act en de verplichtingen die daarbij horen. De meeste systemen vallen in de laagste klasse. De aandacht gaat naar de enkele die dat niet doen.

Inrichten. We schrijven het beleid, beleggen de rollen en richten het toetsingsproces voor nieuwe toepassingen in. Alles in werksessies met de mensen die het straks moeten toepassen, zodat het kader past bij hoe de organisatie werkt.

Verankeren. We leggen vast hoe het register wordt bijgehouden, wie jaarlijks rapporteert aan de directie en hoe nieuwe toepassingen door het toetsingsproces gaan. Daarna kan de organisatie het zelf.

Wat u in handen krijgt

Het governancekader is één samenhangend pakket dat de organisatie zelf kan onderhouden.

Het kader is bewust licht. Het vervangt geen bestaande structuren voor informatiebeveiliging of privacy. Het sluit erop aan. En het is gebouwd om mee te groeien: een nieuw systeem doorloopt hetzelfde toetsingsproces en krijgt dezelfde plek in het register.

Het resultaat

Een organisatie die weet welke AI ze gebruikt, wie erover beslist en wat de wet van haar vraagt. Medewerkers die spelregels kennen die ze daadwerkelijk hebben gelezen. En een directie die kan aantonen dat de organisatie zorgvuldig werkt, zonder dat elk initiatief langs een commissie moet.

Doorlooptijd. Een governancetraject duurt doorgaans zes tot tien weken, van inventarisatie tot een kader dat door de directie is vastgesteld.

Betrokkenheid. Een kernteam met de verantwoordelijken voor informatiebeveiliging, privacy en IT, drie tot vier werksessies en één besluitmoment in het MT.

Voor wie. Directies die de AI Act willen naleven zonder de organisatie te verlammen, functionarissen voor informatiebeveiliging en privacy die AI in hun bestaande kaders willen opnemen, en organisaties die meer AI gebruiken dan ze overzien.