AI-governance: van losse experimenten naar verantwoord en beheersbaar gebruik
AI verspreidt zich snel door organisaties.
Vaak sneller dan beleid, governance en eigenaarschap kunnen volgen.
Een medewerker gebruikt generatieve AI voor teksten.
Een team test een chatbot.
Een leverancier voegt AI toe aan bestaande software.
Een afdeling automatiseert analyses.
Dat is op zichzelf niet verkeerd.
Maar zonder duidelijke afspraken ontstaat al snel versnippering.
Dan komen vragen op als:
- Welke AI-tools gebruiken we eigenlijk?
- Welke data wordt erin verwerkt?
- Wie is eigenaar?
- Wie controleert de uitkomsten?
- Welke risico’s zijn acceptabel?
- Wanneer mag een pilot naar productie?
- Wie grijpt in als iets misgaat?
Dat is voor mij precies waar AI-governance begint.
Niet als extra laag bureaucratie.
Maar als manier om AI verantwoord en beheersbaar te gebruiken.
Het grootste risico is vaak niet één slechte AI-tool
Het echte risico is versnippering.
In organisaties zie ik regelmatig dat AI op meerdere plekken tegelijk ontstaat.
Bijvoorbeeld:
- eigen accounts;
- losse pilots;
- dubbele tools;
- verschillende leveranciers;
- uiteenlopende security-eisen;
- afwijkende privacy-afspraken;
- onduidelijk eigenaarschap.
Iedere individuele toepassing kan logisch lijken.
Samen ontstaat er minder overzicht.
En zonder overzicht kun je ook moeilijk sturen.
Mijn eerste stap is daarom altijd: maak zichtbaar wat er al gebeurt
Ik zou niet beginnen met een dik beleidsdocument.
Eerst wil ik weten:
- welke AI-tools worden gebruikt;
- door welke teams;
- voor welk proces;
- met welke data;
- met welke leverancier;
- met welk risico;
- met welk doel.
Dat levert vaak verrassingen op.
Niet omdat mensen bewust buiten beleid werken.
Maar omdat innovatie sneller gaat dan centrale besluitvorming.
Shadow AI is vaak ook een signaal van behoefte
Shadow AI wordt snel als probleem gezien.
Dat is begrijpelijk.
Maar ik kijk er ook anders naar.
Als medewerkers zelf AI-tools zoeken, zegt dat vaak iets.
Bijvoorbeeld:
- het bestaande proces is te traag;
- informatie is moeilijk toegankelijk;
- handmatig werk kost te veel tijd;
- bestaande systemen ondersteunen het werk onvoldoende.
Daarom zou ik shadow AI niet alleen willen stoppen.
Ik wil ook begrijpen:
welk probleem probeert de medewerker ermee op te lossen?
Dat levert vaak waardevolle input op voor structurele oplossingen.
AI-governance moet vooral duidelijkheid geven
Voor mij moet governance antwoord geven op een beperkt aantal praktische vragen.
Bijvoorbeeld:
Gebruik
- Welke tools zijn toegestaan?
- Welke toepassingen zijn niet toegestaan?
- Welke data mag erin?
- Welke data nooit?
Ownership
- Wie is business owner?
- Wie beheert de oplossing?
- Wie controleert kwaliteit?
- Wie neemt het risicobesluit?
Besluitvorming
- Wanneer is een review nodig?
- Wie keurt goed?
- Wanneer moet escalatie plaatsvinden?
Monitoring
- Hoe meten we prestaties?
- Hoe signaleren we fouten?
- Wanneer moet een toepassing worden aangepast of gestopt?
Als medewerkers deze antwoorden niet kennen, is governance te abstract.
Mijn regel: niet iedere AI-toepassing verdient hetzelfde proces
Een veelgemaakte fout is om alles door dezelfde governanceprocedure te sturen.
Dat vertraagt.
Ik werk liever risicogebaseerd.
Laag risico
Bijvoorbeeld:
- interne schrijfassistent;
- samenvatten van openbare documenten;
- brainstorming.
Dan kan een lichte toets voldoende zijn.
Middel risico
Bijvoorbeeld:
- ondersteuning bij klantservice;
- analyse van interne data;
- beslisondersteuning.
Dan zijn extra controles nodig.
Hoog risico
Bijvoorbeeld:
- besluiten over medewerkers;
- financiële beslissingen;
- medische context;
- klantbesluiten met grote impact.
Daar wil je veel strengere eisen.
Mijn uitgangspunt is:
meer impact = meer governance.
Niet:
meer AI = meer governance.
Risicoclassificatie moet eenvoudig genoeg zijn om echt gebruikt te worden
Een perfect risicomodel dat niemand gebruikt, helpt niet.
Ik geef de voorkeur aan een simpele classificatie.
Bijvoorbeeld beoordelen op:
- impact op klanten;
- impact op medewerkers;
- gevoeligheid van data;
- mate van autonomie;
- mogelijkheid om fouten te herstellen;
- financiële impact;
- wettelijke impact.
Daaruit volgt een risiconiveau.
En per niveau definieer je:
- vereiste review;
- menselijke controle;
- logging;
- documentatie;
- monitoring.
Zo wordt governance uitvoerbaar.
Menselijke controle moet echt betekenis hebben
“Human in the loop” klinkt goed.
Maar het zegt weinig als de medewerker in de praktijk altijd het AI-advies volgt.
Daarom kijk ik naar drie dingen:
Kennis
Kan de medewerker beoordelen of de output klopt?
Tijd
Heeft die medewerker tijd om echt te controleren?
Bevoegdheid
Mag de medewerker het AI-advies negeren?
Als één van die drie ontbreekt, is menselijke controle vaak vooral theoretisch.
Mijn praktische tip: definieer wanneer een mens móét ingrijpen
Niet alleen:
“Een medewerker controleert de output.”
Maar concreet:
- bij afwijkende resultaten;
- bij lage confidence;
- bij gevoelige klantgevallen;
- bij uitzonderingen;
- bij grote financiële impact;
- bij klachten.
Dat maakt toezicht veel sterker.
Beleid moet herkenbaar zijn voor medewerkers
Een AI-policy van twintig pagina’s is vaak onvoldoende.
Medewerkers willen vooral weten:
- Mag ik dit gebruiken?
- Met welke data?
- Voor welk werk?
- Wat moet ik controleren?
- Wanneer moet ik hulp vragen?
Daarom werk ik liever met concrete voorbeelden.
Wel
- openbare marketingtekst verbeteren;
- interne brainstorm;
- samenvatten van niet-gevoelige informatie.
Niet zonder aanvullende controle
- klantdossiers uploaden;
- personeelsdata verwerken;
- kandidaatselectie automatiseren;
- financiële beslissingen laten nemen.
Dat is veel begrijpelijker.
Governance moet experimenteren mogelijk maken
Een organisatie die alles verbiedt, verliest innovatie.
Een organisatie die alles toestaat, verliest controle.
De goede balans zit ertussen.
Bijvoorbeeld via:
- goedgekeurde tools;
- sandbox-omgevingen;
- standaardtemplates;
- vooraf gedefinieerde dataklassen;
- snelle reviews voor laag risico.
Dan kunnen teams experimenteren zonder steeds opnieuw het wiel uit te vinden.
Mijn regel: maak het veilige pad ook het makkelijke pad
Als de goedgekeurde route drie weken duurt en een openbare tool binnen twee minuten werkt, weet je wat medewerkers zullen doen.
Governance moet daarom ook praktisch aantrekkelijk zijn.
Dus:
- snelle intake;
- duidelijke criteria;
- eenvoudige formulieren;
- voorspelbare doorlooptijd;
- heldere contactpersonen.
Dat vergroot compliance veel meer dan alleen extra beleid.
Leveranciers horen in het governance-model
Veel AI wordt ingekocht.
Daarom moeten ook leveranciers worden beoordeeld.
Ik wil dan weten:
- waar data wordt opgeslagen;
- of data wordt gebruikt voor training;
- hoe security is ingericht;
- hoe modelwijzigingen worden gemeld;
- welke logging beschikbaar is;
- wie aansprakelijk is;
- hoe exit geregeld is.
Een contract alleen is niet voldoende.
De organisatie blijft verantwoordelijk voor hoe de tool wordt gebruikt.
Governance stopt niet bij livegang
Een toepassing kan vandaag goed werken en over zes maanden andere resultaten geven.
Daarom moet beheer onderdeel zijn van governance.
Ik wil weten:
- wie monitort;
- welke KPI’s worden gevolgd;
- hoe incidenten worden geregistreerd;
- wanneer herbeoordeling nodig is;
- wanneer de toepassing wordt gestopt.
Een AI-oplossing is dus nooit “klaar” na implementatie.
Mijn AI-governance-dashboard zou beperkt blijven
Ik zou niet tientallen KPI’s volgen.
Liever een klein aantal signalen:
- aantal actieve toepassingen;
- aantal toepassingen per risicoklasse;
- openstaande reviews;
- incidenten;
- gebruik van niet-goedgekeurde tools;
- doorlooptijd van beoordeling;
- kwaliteit van outputs;
- adoptie;
- toepassingen die zijn gestopt.
Dat geeft management voldoende overzicht zonder bureaucratie.
De rol van business, IT en risk moet expliciet zijn
AI-governance werkt slecht wanneer iedereen “een beetje verantwoordelijk” is.
Ik werk liever met duidelijke rollen.
Business
- eigenaar van use case;
- eigenaar van businesswaarde;
- verantwoordelijk voor proces en adoptie.
IT
- technologie;
- integratie;
- security;
- beheer.
Data
- kwaliteit;
- toegang;
- definities.
Risk / Legal / Privacy
- beoordeling van risico’s;
- kaders;
- toezicht.
Management
- prioriteiten;
- risicobereidheid;
- escalatie.
Zo voorkomt je dat één functie alles moet oplossen.
Een governanceboard moet beslissen, niet alleen overleggen
Een AI-board kan nuttig zijn.
Maar alleen als duidelijk is:
- welke besluiten het neemt;
- welke onderwerpen er wel thuishoren;
- welke niet;
- binnen welke termijn besloten wordt.
Mijn ervaring is dat commissies snel een extra wachtrij kunnen worden.
Daarom:
governance moet beslissingen versnellen, niet verplaatsen.
Mijn periodieke AI-governance-check
Ik zou periodiek deze vragen stellen:
- Weten we welke AI-toepassingen actief zijn?
- Heeft iedere toepassing één duidelijke owner?
- Zijn risico’s opnieuw beoordeeld?
- Worden outputs gemonitord?
- Gebruiken medewerkers alleen goedgekeurde tools?
- Zijn er incidenten geweest?
- Zijn tijdelijke pilots inmiddels structureel gemaakt of gestopt?
- Is governance nog proportioneel?
- Zijn er regels die innovatie onnodig vertragen?
- Zijn er nieuwe risico’s door technologie of leveranciers?
Zo blijft governance levend.
Waarom een interim AI-governancemanager hier waarde kan toevoegen
AI raakt meerdere functies tegelijk.
Dat maakt het gemakkelijk om eigenaarschap te verspreiden.
Een interimmanager kan tijdelijk zorgen voor samenhang.
Bijvoorbeeld door:
- AI-gebruik te inventariseren;
- risicoklassen te definiëren;
- ownership vast te leggen;
- een register op te zetten;
- reviewprocessen te ontwerpen;
- beleid praktisch te maken;
- leveranciersbeoordeling in te richten;
- governanceoverleg op te zetten;
- medewerkers te trainen;
- structureel eigenaarschap over te dragen.
Mijn rol zou daarbij niet zijn om zoveel mogelijk regels te maken.
De opdracht is juist om voldoende structuur te bouwen zodat de organisatie verantwoord kan versnellen.
Tijdelijk leiderschap, structurele borging
Een governance-model moet zonder interimmanager kunnen blijven werken.
Daarom moet de organisatie na afloop weten:
- wie eigenaar is;
- wie beoordeelt;
- welke procedures gelden;
- hoe escalatie werkt;
- waar monitoring plaatsvindt.
Pas dan is governance echt ingebed.
Van losse experimenten naar beheersbaar gebruik
Voor mij is dat uiteindelijk de essentie.
AI-governance is niet bedoeld om experimenteren onmogelijk te maken.
Het moet ervoor zorgen dat de organisatie weet:
- wat er gebeurt;
- wie verantwoordelijk is;
- welke risico’s bestaan;
- welke controles nodig zijn;
- wanneer iets mag opschalen;
- wanneer iets moet stoppen.
Dan verandert AI van losse experimenten in een beheersbare capability.
De centrale vraag is dus niet alleen:
“Wat kunnen we met AI?”
Maar vooral:
“Hoe zorgen we ervoor dat AI verantwoord, uitlegbaar en beheersbaar onderdeel wordt van onze bedrijfsvoering?”
Meer lezen over bedrijfsprocessen automatiseren bij post-merger integratie?