Vóór de uitrol moet het bestuur vijf dingen op papier zien: welke workflows AI raakt, wie de output goedkeurt, wat er wordt gelogd, welk risicokader de beoordeling volgt en hoe het bedrijf een workflow stopzet. Samen vormen ze een kort governanceplan dat het management actueel houdt, geen beleid dat één keer wordt geschreven en daarna in een map verdwijnt.
#Belangrijkste punten
- Governance begint met een inventaris: het bestuur kan geen toezicht houden op AI waarvan het niet weet dat die draait.
- Elke workflow heeft een benoemde persoon nodig die de AI-output goedkeurt en kan overrulen.
- Logs moeten een auditor in staat stellen te reconstrueren wat het systeem deed, met welke input, en wie het goedkeurde.
- Benoem een erkend kader, zoals het NIST AI Risk Management Framework of ISO/IEC 42001, zodat het bestuur geen zelfbedacht kader hoeft te beoordelen.
- Gereguleerde bedrijven leggen ook verantwoording af aan hun sectortoezichthouders, wier regels bovenop de algemene regels komen.
#Welke governance moet er zijn voordat AI wordt uitgerold?
- Een inventaris van elke workflow waarin AI iets maakt of wijzigt, inclusief tools die medewerkers op eigen initiatief gebruiken.
- Een benoemde goedkeurder per workflow, met de bevoegdheid om de output af te wijzen of te corrigeren.
- Een risicobeoordeling per workflow aan de hand van een benoemd kader, bewaard bij de inventaris.
- Logging die input, output, modelversies en goedkeuringen vastlegt.
- Een uitknop: wie een workflow kan stoppen, hoe, en wat het team met de hand doet zolang hij stilligt.
- Een evaluatiedatum, vastgesteld door het bestuur, waarop de inventaris en de beoordelingen opnieuw worden bekeken.
Dit is de lijst die Stennir in elke consultingopdracht opneemt. Waarom, lees je in waarom we bij elke consultingopdracht een governanceplan leveren.
#Naar welke risicokaders moet het bestuur vragen?
Twee worden veel gebruikt. Het NIST AI Risk Management Framework ziet menselijk toezicht en verantwoordelijkheid als onderdeel van het beheersen van AI-risico (NIST, januari 2023). ISO/IEC 42001 is de internationale norm voor een managementsysteem voor AI (ISO, december 2023), waarop een bedrijf zich kan laten certificeren.
Voor de beveiligingskant zet de OWASP Top 10 voor LLM-toepassingen prompt injection bovenaan: tekst van een klant of uit een document kan proberen te veranderen wat het model doet. Het bestuur heeft de technische details niet nodig, alleen de bevestiging dat iemand er per workflow op heeft getest.
#Wat verandert er voor een gereguleerde financiële onderneming?
Sectortoezichthouders zoals SAMA en NCA stellen eigen regels; controleer die. Ze komen bovenop de algemene wetgeving voor gegevensbescherming, dus een workflow die een algemene toets doorstaat, kan voor een bank of verzekeraar toch meer nodig hebben. Vraag compliance om elke workflow naast de gepubliceerde eisen van de toezichthouder te leggen voordat er klantgegevens worden gebruikt.
Dit artikel is geen juridisch of toezichtrechtelijk advies; stem af met je juristen en je compliancefunctie. Wat Stennir toevoegt, is het detail van de workflow dat zij nodig hebben om die afweging te maken: de data die elke stap raakt, waar die wordt verwerkt, wie het resultaat goedkeurt en wat er wordt gelogd.
#Wat moet je loggen om te kunnen controleren wat een AI-systeem deed?
- De input die het systeem ontving, of een verwijzing ernaar als het opslaan van de volledige tekst niet is toegestaan.
- Het model en de versie, en de versie van de instructies die het kreeg.
- De documenten of records die het ophaalde om het antwoord te maken.
- De output die het maakte, vóór enige menselijke bewerking.
- Wie het goedkeurde, bewerkte of afwees, met een tijdstempel.
- Wat er daarna gebeurde in het vervolgsysteem, zoals een bijgewerkt record of een verzonden bericht.
Met die zes kan een auditor achteraf elke beslissing reconstrueren. Zonder de regel over de goedkeuring kan niemand zeggen wie verantwoordelijk was als er iets misgaat.
We are
Stennir legt de inventaris, de goedkeurders, de logging en de uitknop vast in elke workflow voordat die draait, en laat je eigenaar van de accounts, de logs en de uitknop.
We aren't
Stennir is geen advocatenkantoor of certificeringsinstelling, en vervangt je compliancefunctie of de toetsing door je toezichthouder niet.
#Wat doet een bestuur of risicocommissie nu?
Vraag het management eerst om de inventaris: elke plek waar AI al werk raakt, inclusief tools die medewerkers zelf hebben ingevoerd. Vraag daarna per workflow om een goedkeurder en een logontwerp. AI-consulting levert beide, en AI voor compliance laat zien hoe controleworkflows draaien. Doe de gratis gereedheidsscan of boek een gesprek van 30 minuten.
#Veelgestelde vragen
Moet het bestuur elke AI-workflow goedkeuren?
Nee. Het bestuur keurt het governanceplan en de risicobereidheid goed en ziet de inventaris. Het management keurt afzonderlijke workflows goed binnen die regels. Het bestuur moet worden geïnformeerd als een workflow klantgegevens raakt, een beslissing over een persoon neemt of onder een sectortoezichthouder valt, want daar zit het meeste risico.
Wie keurt goed wat de AI maakt?
Een benoemde persoon in de organisatie die al eigenaar is van dat werk, zoals het hoofd van het claims- of financeteam. Die persoon kan elke output afwijzen of corrigeren, en de beslissing wordt gelogd. Stennir neemt die rol niet over, want de verantwoordelijkheid moet binnen je bedrijf blijven.
Wat blijft bij ons?
Alles wat ertoe doet voor een audit: de accounts, de data, de logs, de instructies aan het model en de uitknop. Stennir richt ze op je naam in. Stop je met ons, dan blijven de logs en het governancedossier leesbaar voor je eigen team en auditors.
Wat kan er misgaan?
De gebruikelijke fouten zijn een inventaris die tools mist die medewerkers zelf hebben ingevoerd, goedkeuringen die een klik worden zonder echte controle, en logs die de output vastleggen maar niet wie die goedkeurde. Elk ervan is vóór de uitrol makkelijk te vinden met een proefaudit, en achteraf veel moeilijker uit te leggen.
