Zo krijgt AI-governance tanden
AI wordt steeds zelfstandiger en daarmee groeit ook de noodzaak om grip te houden op waarde, risico en verantwoordelijkheid. Maar hoe voorkom je dat AI-governance vooral uit beleid en overleg bestaat? Een praktische aanpak brengt het terug tot één eigenaar, vier vaste beslismomenten en twee bewijslijnen.
Zo wordt duidelijk wanneer je kunt starten, opschalen, ingrijpen of juist moet stoppen. In dit artikel lees je hoe je AI-governance omzet van beleid op papier naar aantoonbare sturing in de praktijk.
Dit artikel is onderdeel van de reeks ‘AI-governance in de praktijk’. In deze reeks bespreek ik wat AI betekent voor bestuur, toezicht, leiderschap, medewerkers, HR, processen en de drie lijnen. De centrale vraag is daarbij steeds: hoe zet een organisatie AI verantwoord in en hoe laat zij zien dat dit in de praktijk werkt? De methode in één regel: één eigenaar, vier beslismomenten en twee vaste bewijslijnen.
De bekende onderdelen zijn niet het probleem
Beleid, eigenaarschap, monitoring en evaluatie zijn bekende bouwstenen. Veel organisaties hebben ze inmiddels ook op papier. Toch blijft opschaling lastig, omdat deze onderdelen vaak niet samenkomen op het moment dat een keuze nodig is. Een register kan bijvoorbeeld verouderd zijn, een commissie kan daarnaast alleen bespreken en een eigenaar zonder mandaat kan bovendien niet ingrijpen.
Mijn aanpak maakt daarom van deze losse onderdelen één besluitstelsel: één eigenaar, vier beslismomenten en twee bewijslijnen. Richting wordt daarbij een kort besluitcontract, ritme krijgt daarnaast een vaste plaats in de levenscyclus en bewijs zorgt er ten slotte voor dat bestuur, toezicht en de drie lijnen naar dezelfde actuele feiten kijken. Dáár zit dus het onderscheid, niet in de drie woorden op zichzelf.
Waarom dit juist nu nodig is
Vanaf 2 augustus 2026 is het grootste deel van de Europese AI-verordening van toepassing; voor enkele toepassingen met een hoog risico gelden daarbij latere data. Maar wetgeving is slechts één reden om sneller te sturen. Leveranciers voegen bovendien AI-functies via gewone software-updates toe. Zo kan nieuwe functionaliteit ontstaan zonder een apart project, een nieuwe aanbesteding of een duidelijk bestuursbesluit.
Bij AI-agents wordt dit bovendien nog belangrijker. Zij geven daarbij niet alleen antwoord, maar kunnen ook gegevens lezen of wijzigen, berichten versturen en acties uitvoeren. Het risico verschuift dan ook van een verkeerd antwoord naar een verkeerde handeling. Daarom moeten nieuwe toepassingen, leveranciersupdates, wijzigingen in doel of data en incidenten altijd een nieuwe governancecheck starten.
Vier gebeurtenissen die altijd een nieuwe governancecheck moeten starten
- Een nieuwe AI-toepassing of pilot begint.
- Een leverancier voegt een AI-functie, connector of agent toe.
- Het doel, de doelgroep, de gebruikte data of de zelfstandigheid van het systeem verandert.
- Een klacht, incident, afwijkende uitkomst of onverwacht patroon wordt zichtbaar.
1. Richting wordt een besluitcontract
Voor iedere belangrijke AI-toepassing moet bestuur of management daarom een kort besluitcontract kunnen zien. Eén goed ingevulde pagina is daarbij genoeg als vijf punten helder zijn.
- De toepassing: in welk proces wordt AI gebruikt en welke uitkomst beïnvloedt zij?
- De waarde: welk probleem wordt opgelost en welke concrete verbetering verwachten we?
- De menselijke rol: welke beslissing, controle of verantwoordelijkheid blijft bij een mens?
- De grens: welke data, acties en mate van zelfstandigheid zijn wel en niet toegestaan?
- De stopregel: welk signaal leidt tot extra onderzoek, beperking, pauze of stopzetting?
Dit contract voorkomt daarmee dat “we gaan iets met AI doen” als strategie wordt gezien. Het dwingt daardoor vooraf keuzes af en maakt waarde meetbaar. Die waarde kan bijvoorbeeld bestaan uit lagere kosten, maar ook uit minder fouten, een kortere doorlooptijd, betere uitleg of hogere klanttevredenheid. Zonder nulmeting en resultaatmaatstaf meet de organisatie daardoor vooral gebruik, geen waarde.
2. Ritme wordt vier vaste beslismomenten
AI verandert namelijk na ingebruikname: data verschuiven, medewerkers werken anders en leveranciers brengen bovendien nieuwe versies uit. Eén toets vooraf is daarom niet genoeg. De governance moet vervolgens op vier vaste momenten terugkomen, binnen bestaande processen voor projecten, inkoop, wijzigingen, risico, audit en rapportage.
| Beslismoment | Bestuurlijke vraag | Wat moet aantoonbaar zijn? |
|---|---|---|
| 1. Voor de start | Mogen we beginnen? | Doel, doelgroep, eigenaar, data, rol, risicoklasse, menselijke verantwoordelijkheid en grenzen zijn helder. |
| 2. Voor ingebruikname | Mag dit naar de praktijk? | Tests, uitleg, logging, menselijke controle, beveiliging, leveranciersafspraken en terugval zijn aantoonbaar op orde. |
| 3. Na ingebruikname | Werkt het zoals bedoeld? | Waarde, prestaties, fouten, klachten, verschillen tussen groepen, menselijke correcties en wijzigingen worden besproken. |
| 4. Na wijziging of incident | Wat herstellen en veranderen we? | Oorzaak, maatregel, eigenaar, termijn, hertest en effectmeting zijn vastgelegd. |
Deze momenten kunnen bijvoorbeeld worden ingericht als Definition of Ready, Definition of Done, Review en CAPA. De namen zijn daarbij minder belangrijk dan de uitkomst: ieder moment eindigt dus met starten, doorgaan onder voorwaarden, opschalen, herstellen, pauzeren of stoppen.
3. Bewijs wordt twee vaste bewijslijnen
Een bestuurder hoeft daarbij geen technisch dossier van honderden pagina’s te lezen. De onderbouwing moet echter wel steeds op dezelfde manier beschikbaar zijn. Daarom werk ik met twee vaste bewijslijnen.
De eerste is namelijk het AI-register. Dat toont daarbij per toepassing wat het systeem doet, welke rol en risicoklasse gelden, wie eigenaar is, welke leverancier betrokken is en wanneer de laatste beoordeling plaatsvond.
De tweede is vervolgens het bewijspakket voor de review, met actuele informatie over waarde, prestaties, fouten, uitleg, verschillen tussen groepen, logboeken, menselijke correcties, klachten, incidenten en verbetermaatregelen. Bij een agent komen daar bovendien de gebruikte hulpmiddelen, uitgevoerde acties, bevoegdheden en noodstop bij. Zo kijken bestuur, RvC, tweede lijn en audit naar dezelfde feiten. Ontbreekt één van beide bewijslijnen, dan is het dossier nog niet besluitrijp.
De kern van de aanpak:
- Richting zonder ritme blijft een voornemen.
- Ritme zonder bewijs wordt een vergadercircuit.
- Bewijs zonder richting wordt bureaucratie.
Een openbare praktijkcase: de chatbot van Air Canada
Een klant vroeg eerst de chatbot van Air Canada naar een speciaal tarief na een overlijden. De chatbot gaf vervolgens informatie die niet klopte met het officiële beleid. De klant vertrouwde daardoor op het antwoord en leed financieel nadeel.
Air Canada stelde daarop dat het niet verantwoordelijk was voor de chatbot. Het Canadese Civil Resolution Tribunal wees dat echter af: de chatbot was onderdeel van de website en de organisatie bleef verantwoordelijk voor de informatie. De zaak is weliswaar geen Nederlands precedent, maar de bestuurlijke les is helder: een chatbot, agent of leverancier neemt het eigenaarschap niet over.
De methode laat hiermee direct zien wat ontbrak. Bij richting was ten eerste onvoldoende duidelijk dat klanten op het antwoord een financiële keuze konden baseren. Het ritme had vervolgens controles moeten bevatten op verschillen tussen de chatbot en het officiële beleid, ook na wijzigingen. Het bewijs had ten slotte moeten tonen welke bron en versie werden gebruikt, wat was getest, welke klachten binnenkwamen en wanneer de toepassing moest worden aangepast of uitgezet.
4 vragen die binnen tien minuten zwakke plekken zichtbaar maken
Kies daarom voor een eerste toets één toepassing die belangrijk is voor klanten, medewerkers, burgers of de bedrijfsvoering. 4 vragen maken daarbij vaak binnen tien minuten zichtbaar waar het dossier nog zwak is.
| Boardvraag | Zwak antwoord | Sterk antwoord |
|---|---|---|
| 1. Welke toepassing is het precies? | “Wij gebruiken Copilot” of “we hebben een chatbot”. | “In de schade-intake vat AI documenten samen en stelt zij een route voor. Een medewerker beslist. De toepassing raakt particuliere klanten.” |
| 2. Wie is de eigenaar? | “IT”, “de projectgroep” of “de leverancier”. | “De directeur Schade is persoonlijk eigenaar van waarde en risico, heeft een vervanger en mag de toepassing pauzeren.” |
| 3. Welk getal laat de waarde zien? | “Zeventig procent gebruikt de tool” of “een medewerker bespaart twintig minuten”. | “De doorlooptijd daalt van vijf naar drie dagen. Minimaal 95 procent van de dossiers is in één keer goed en klachten stijgen niet.” |
| 4. Wanneer pauzeren of stoppen we? | “Als iets misgaat, kijken we ernaar.” | “We pauzeren bij te lage nauwkeurigheid, meer klachten, te veel menselijke correcties of een leverancierswijziging zonder nieuwe beoordeling.” |
De percentages zijn hierbij voorbeelden. Een sterk antwoord is daarbij concreet, meetbaar en gekoppeld aan een bevoegd persoon.
Wie moet wat doen?
De eerste lijn blijft allereerst eigenaar en levert bewijs over waarde, werking, incidenten en herstel. De tweede lijn duidt daarnaast normen en stelt kritische vragen, zonder de uitvoering over te nemen. Internal audit toetst op haar beurt onafhankelijk of het bewijs overeenkomt met de werkelijkheid en of verbeteringen effect hebben. Het bestuur maakt ten slotte de keuzes en stelt mensen, tijd en geld beschikbaar.
De RvC of RvT vervult een dynamische rol van advies en toezicht. Bij een kennislacune, grote menselijke gevolgen, sterke leveranciersafhankelijkheid of zwak bewijs kan de raad tijdelijk dichter aansluiten. Zodra het bestuur voldoende deskundig is en de werking stabiel is, kan zij weer meer afstand nemen. De kernvragen blijven daarbij: welk beslismoment is aan de orde, welke bewijslijnen liggen er en welk besluit neemt het bestuur?
Wat je morgen kan doen
Neem daarom morgen één materiële AI-toepassing en voer deze korte oefening uit:
- Beschrijf eerst de toepassing in één zin: proces, taak, uitkomst en doelgroep.
- Noem daarna één persoonlijke eigenaar voor waarde én risico.
- Leg vervolgens één waardegetal en minimaal één harde grens vast.
- Bepaal ook in welk van de vier beslismomenten de toepassing nu zit.
- Vraag dan om de twee bewijslijnen: het actuele register en het bewijspakket uit de praktijk.
Lukt dit niet, dan is het dossier nog niet besluitrijp. Vul daarom de ontbrekende informatie aan, herstel het eigenaarschap of begrens de toepassing tijdelijk.
De praktische toets
De methode is dus bedoeld om snel te zien wat ontbreekt: een eigenaar, een beslismoment of actueel bewijs. Zij kan daardoor een toepassing begrenzen, maar ook versnellen wanneer doel, grens en onderbouwing helder zijn.
Feiten boven oordeel. Bewijs boven beleid. Besluit boven bespreking.
Kortom, kan de organisatie voor één concrete toepassing uitleggen waarom zij AI inzet, wie verantwoordelijk is, welke waarde zichtbaar wordt, wanneer zij opnieuw kijkt en op basis waarvan zij ingrijpt? Dan gebruikt zij AI niet alleen, maar bestuurt zij haar ook.
In volgende artikelen ga ik vervolgens onder meer in op de volledigheid van het AI-register, AI-geletterdheid en AI-vaardigheid, menselijk toezicht, procesherontwerp, leveranciers, monitoring en agentische AI.
Zie hier het originele artikel op Frankwatching