“Veel integraties of verandertrajecten mislukken niet door strategie, maar door onderschatting in de uitvoering.
Succesvolle integratie en organisatieverandering vraagt om meer dan alleen plannen: het vraagt om regie, samenhang, aandacht voor systemen, data én mensen.“
Wanneer schakel jij mij in?
✔ De integratie loopt vertraging op
✔ Teams werken langs elkaar heen
✔ Processen sluiten niet meer aan
✔ Er ontbreekt overzicht in data, IT en operatie
✔ Een lijnmanager valt uit en er ontstaat onrust in het team
✔ De verwachte synergie blijft uit
Wie ik ben:
Ik ben een hands-on interim-manager die strategie, mensen en operatie bij elkaar brengt. Geen dikke rapporten, maar uitvoering, grip en resultaat.
✔ 20+ jaar ervaring met complexe integraties
✔ Interim inzetbaar op directieniveau als COO, CIO of programmamanager)
✔ Focus op synergie, rust, structuur en meetbaar resultaat
✔ Flexibel inzetbaar, met heldere afspraken en marktconforme tarieven
Meer info over Robrecht Heukers
Van al deze opdrachten zijn referenties beschikbaar:
Telecom: KPN, VodafoneZiggo, Vodafone ● Scheepsbouw: Royal IHC ● Bouw en industrie: ECI Solutions en Arcadis ● Medische sector: Canon Medical ● Woningcorporaties: Thuisvester, WonenBreburg, Portaal en Woonkwartier ● ICT dienstverleners: Getronics, PinkRoccade, MuleSoft ● Banken: ABN Amro, MeesPierson ● Betaaldiensten: Mollie ● Salarisverwerking en ziekteverzuim: VismaRaet en Robidus ● Verzekeraars: AON en Achmea ● Muziekindustrie: BumaStemra
Plan een kennismaking of bel direct:
Postmerger. BV
Drs. ing. Robrecht Heukers LSSBB
06 – 44 99 04 98
robrecht.heukers@postmerger.nl
AI-risicobeheersing: verantwoord innoveren met controle en vertrouwen
Kunstmatige intelligentie biedt organisaties grote kansen. AI kan medewerkers ondersteunen, processen versnellen, klantcontact verbeteren en grote hoeveelheden informatie analyseren. Tegelijkertijd introduceert de technologie nieuwe risico’s. Wat gebeurt er wanneer een AI-systeem een onjuist advies geeft? Mag vertrouwelijke bedrijfsinformatie in een generatieve AI-tool worden ingevoerd? Hoe weet een organisatie welke data zijn gebruikt? Wie is verantwoordelijk voor een geautomatiseerde beslissing? En hoe wordt voorkomen dat medewerkers ongecontroleerd verschillende AI-toepassingen gebruiken?
Deze vragen maken AI-risicobeheersing tot een belangrijk onderdeel van iedere AI-strategie.
Risicobeheersing betekent niet dat innovatie moet worden vertraagd. Het doel is juist om AI op een verantwoorde, veilige en schaalbare manier toe te passen. Wanneer risico’s vooraf worden herkend en passende maatregelen worden ingericht, kunnen organisaties sneller beslissen en succesvolle toepassingen met meer vertrouwen opschalen. Een interim AI-manager kan tijdelijk de regie nemen over deze inrichting. Door strategie, governance, technologie, processen en verandermanagement met elkaar te verbinden, ontstaat een praktische aanpak die innovatie mogelijk maakt en tegelijkertijd de organisatie beschermt.
Waarom AI om specifieke risicobeheersing vraagt
Organisaties zijn gewend om risico’s rond IT, data, privacy en informatiebeveiliging te beheersen. Toch vraagt AI om aanvullende maatregelen. Traditionele software volgt meestal vooraf vastgestelde regels. Bij AI is de uitkomst niet altijd volledig voorspelbaar. Een generatief AI-model kan bijvoorbeeld een overtuigend antwoord formuleren dat feitelijk onjuist is. Een voorspellend model kan patronen uit historische gegevens overnemen die niet meer actueel of wenselijk zijn.
Daarnaast worden AI-oplossingen vaak sneller geïntroduceerd dan traditionele IT-systemen. Een medewerker kan binnen enkele minuten een online AI-tool gebruiken, zonder dat IT, privacy of security hiervan op de hoogte is.
Hierdoor kan zogenoemde shadow AI ontstaan: het gebruik van niet-goedgekeurde AI-toepassingen buiten het zicht van de organisatie. Medewerkers doen dit meestal met goede bedoelingen, bijvoorbeeld om sneller een rapport te schrijven of documenten samen te vatten. Toch kunnen zij ongemerkt persoonsgegevens, klantgegevens of andere vertrouwelijke informatie delen. AI-risicobeheersing moet daarom zowel technische als organisatorische vraagstukken adresseren. Alleen een beleidsdocument opstellen is niet voldoende. Medewerkers hebben duidelijke richtlijnen, veilige alternatieven en praktische ondersteuning nodig.
Welke risico’s brengt AI met zich mee?
Niet iedere AI-toepassing heeft hetzelfde risicoprofiel. Een hulpmiddel dat interne teksten samenvat brengt andere risico’s met zich mee dan een systeem dat sollicitanten selecteert, kredietaanvragen beoordeelt of medische adviezen ondersteunt.
Een goede aanpak begint daarom met het herkennen en classificeren van de belangrijkste risico’s.
Onjuiste of misleidende uitkomsten
Generatieve AI kan informatie produceren die aannemelijk klinkt, maar niet correct is. Dit wordt vaak aangeduid als hallucineren. Wanneer medewerkers deze informatie zonder controle gebruiken, kunnen fouten terechtkomen in offertes, rapportages, klantcommunicatie of besluitvorming. Het risico is groter wanneer gebruikers veel vertrouwen hebben in een professioneel geformuleerd antwoord. De kwaliteit van de formulering zegt echter niets over de feitelijke juistheid.
Menselijke controle blijft daarom noodzakelijk, zeker bij processen met financiële, juridische of maatschappelijke gevolgen. Ook kunnen technische maatregelen worden toegepast, zoals het laten verwijzen naar goedgekeurde bronnen en het automatisch signaleren van onzekerheid.
Privacy en vertrouwelijkheid
AI-systemen verwerken vaak grote hoeveelheden gegevens. Daaronder kunnen persoonsgegevens, klantinformatie, commerciële gegevens en intellectueel eigendom vallen.
Wanneer medewerkers informatie invoeren in een externe AI-tool, moet duidelijk zijn wat de aanbieder met deze gegevens doet. Worden ingevoerde teksten bewaard? Kunnen ze worden gebruikt om modellen verder te trainen? In welk land worden de gegevens verwerkt? En wie heeft toegang?
Organisaties moeten daarom afspraken maken over welke informatie wel en niet mag worden ingevoerd. Ook moeten veilige, goedgekeurde toepassingen beschikbaar worden gesteld. Alleen medewerkers waarschuwen voor risico’s werkt onvoldoende wanneer zij geen bruikbaar alternatief hebben.
Informatiebeveiliging
AI kan bestaande securityrisico’s vergroten en nieuwe aanvalsmogelijkheden introduceren. Kwaadwillenden kunnen proberen een AI-systeem te manipuleren, vertrouwelijke informatie te achterhalen of beveiligingsmaatregelen te omzeilen.
Ook kan een AI-toepassing onbedoeld te veel informatie tonen. Een interne assistent die documenten doorzoekt, mag een medewerker alleen toegang geven tot informatie waarvoor die medewerker bevoegd is. Toegangsbeheer, logging, monitoring en periodieke controles moeten daarom onderdeel zijn van de technische inrichting. Een AI-oplossing mag niet losstaan van het bredere informatiebeveiligingsbeleid.
Discriminatie en ongewenste vooringenomenheid
AI-modellen leren vaak van historische gegevens. Wanneer deze gegevens bestaande ongelijkheden of vooroordelen bevatten, kan het model die patronen reproduceren.
Dit is vooral relevant bij toepassingen die invloed hebben op mensen, zoals werving en selectie, personeelsbeoordeling, fraudedetectie, kredietverlening en klantacceptatie.
Een model kan technisch nauwkeurig lijken, maar bepaalde groepen structureel benadelen. Daarom moet niet alleen naar de gemiddelde kwaliteit van de uitkomsten worden gekeken. Ook verschillen tussen groepen, uitzonderingen en mogelijke maatschappelijke gevolgen moeten worden onderzocht.
Onvoldoende transparantie
Sommige AI-modellen zijn moeilijk uit te leggen. Het is niet altijd duidelijk waarom een bepaalde voorspelling of aanbeveling tot stand is gekomen. Dat vormt een risico wanneer medewerkers, klanten of toezichthouders uitleg moeten krijgen over een beslissing. Een organisatie moet kunnen aangeven welke rol AI heeft gespeeld, welke informatie is gebruikt en wie de uiteindelijke verantwoordelijkheid draagt.
Niet iedere toepassing vereist dezelfde mate van uitlegbaarheid. Voor een hulpmiddel dat een eerste tekstconcept maakt, kan beperkte uitleg voldoende zijn. Bij een besluit met grote impact zijn strengere eisen noodzakelijk.
Afhankelijkheid van leveranciers
Veel organisaties maken gebruik van externe AI-leveranciers. Dat versnelt de implementatie, maar kan ook leiden tot afhankelijkheid. Wat gebeurt er wanneer de leverancier prijzen verhoogt, functionaliteiten wijzigt of de dienstverlening beëindigt? Kan de organisatie haar data en configuraties meenemen? Is duidelijk welke onderliggende modellen worden gebruikt? En hoe worden wijzigingen in die modellen gecommuniceerd?
Leveranciersmanagement is daarom een belangrijk onderdeel van AI-risicobeheersing. Contracten moeten niet alleen commerciële afspraken bevatten, maar ook eisen rond beveiliging, beschikbaarheid, datagebruik, auditmogelijkheden en continuïteit.
AI-risicobeheersing begint bij een inventarisatie
Veel organisaties weten niet precies welke AI-toepassingen al worden gebruikt. Medewerkers experimenteren zelfstandig, afdelingen sluiten afzonderlijke abonnementen af en softwarepakketten krijgen nieuwe AI-functionaliteiten zonder dat daar een apart besluit over wordt genomen. Een eerste stap is daarom het opstellen van een AI-register. Daarin worden bestaande en geplande toepassingen vastgelegd. Per toepassing kan worden beschreven:
welk bedrijfsproces wordt ondersteund;
welke data worden verwerkt;
wie eigenaar is;
welke leverancier of technologie wordt gebruikt;
welke medewerkers of klanten ermee werken;
welke beslissingen door AI worden beïnvloed;
welke risico’s en beheersmaatregelen relevant zijn.
Een AI-register geeft overzicht en maakt prioritering mogelijk. De organisatie kan eerst aandacht besteden aan toepassingen met een grote impact en een hoog risico.
Het register moet geen eenmalige administratie worden. Nieuwe use cases, wijzigingen in technologie en incidenten moeten voortdurend worden bijgewerkt.
Werk met een risicogebaseerde aanpak
Niet iedere AI-toepassing hoeft een uitgebreid beoordelingsproces te doorlopen. Wanneer alle initiatieven op dezelfde manier worden behandeld, ontstaat onnodige bureaucratie en vertraging.
Een risicogebaseerde aanpak deelt toepassingen in verschillende categorieën in. Daarbij kan worden gekeken naar de gevoeligheid van gegevens, de impact van uitkomsten, het aantal betrokken personen, de mate van automatisering en de mogelijkheid om fouten te herstellen.
Een interne assistent die algemene teksten herschrijft, kan bijvoorbeeld als laag risico worden beschouwd. Een toepassing die automatisch kandidaten afwijst of financiële transacties blokkeert, heeft een aanzienlijk hoger risicoprofiel.
Voor toepassingen met een laag risico kunnen eenvoudige richtlijnen en controles voldoende zijn. Voor toepassingen met een hoger risico zijn mogelijk aanvullende maatregelen nodig, zoals:
een formele risicoanalyse;
juridische en privacybeoordeling;
beveiligingstesten;
validatie van data en modellen;
uitgebreide documentatie;
expliciet menselijk toezicht;
periodieke monitoring;
een procedure om de toepassing stil te leggen.
Deze differentiatie houdt AI-governance werkbaar. Teams weten vooraf welke stappen nodig zijn en kunnen risico’s al tijdens het ontwerp meenemen.
Duidelijk eigenaarschap en verantwoordelijkheden
AI-risicobeheersing is geen exclusieve verantwoordelijkheid van IT, juridische zaken of de privacy officer. De risico’s raken verschillende onderdelen van de organisatie. De business is verantwoordelijk voor het proces waarin AI wordt gebruikt en voor de waarde die de toepassing moet opleveren. IT beheert de technische omgeving en integraties. Data-experts bewaken de kwaliteit van gegevens. Security beoordeelt de beveiliging en juridische specialisten kijken naar wet- en regelgeving.
Toch moet één persoon of functie eindverantwoordelijk zijn voor iedere AI-toepassing. Deze eigenaar bewaakt niet alleen de implementatie, maar ook het functioneren na ingebruikname.
Vragen die vooraf moeten worden beantwoord zijn onder andere:
Wie mag besluiten om de toepassing in productie te nemen?
Wie controleert de kwaliteit van de uitkomsten?
Wie behandelt klachten en incidenten?
Wie beslist over aanpassingen?
Wie mag de toepassing tijdelijk of permanent stopzetten?
Zonder duidelijk eigenaarschap blijven risico’s tussen afdelingen liggen. Iedereen is betrokken, maar niemand voelt zich verantwoordelijk voor het geheel.
Menselijk toezicht als bewuste ontwerpkeuze
Menselijke controle wordt vaak genoemd als standaardoplossing voor AI-risico’s. In de praktijk is menselijk toezicht alleen effectief wanneer het goed wordt ingericht. Een medewerker moet voldoende kennis, tijd en bevoegdheid hebben om een AI-uitkomst daadwerkelijk te beoordelen. Wanneer iemand honderden automatische beslissingen per dag moet goedkeuren, bestaat het risico dat de controle een formaliteit wordt. Ook kan automation bias ontstaan: medewerkers vertrouwen op het systeem omdat zij ervan uitgaan dat technologie objectiever of nauwkeuriger is.
Effectief menselijk toezicht betekent daarom dat duidelijk is:
welke uitkomsten gecontroleerd moeten worden;
op basis van welke criteria dat gebeurt;
welke signalen op een mogelijke fout wijzen;
wanneer een medewerker moet ingrijpen;
hoe afwijkingen worden geregistreerd;
wie het uiteindelijke besluit neemt.
De mens moet niet alleen formeel onderdeel zijn van het proces, maar daadwerkelijk invloed kunnen uitoefenen.
Monitoring na de implementatie
Een AI-toepassing is niet klaar wanneer deze technisch wordt opgeleverd. Modellen, databronnen, processen en gebruikersgedrag kunnen veranderen.
Een toepassing die vandaag goed presteert, kan na verloop van tijd minder betrouwbare uitkomsten geven. Dit wordt bijvoorbeeld veroorzaakt door gewijzigde klantpatronen, nieuwe producten, verouderde documenten of veranderingen in de markt. Daarom moet vooraf worden bepaald welke prestaties worden gemonitord. Denk aan nauwkeurigheid, foutpercentages, afwijkingen tussen groepen, gebruikerstevredenheid, incidenten en het aantal correcties door medewerkers.
Ook generatieve AI-toepassingen moeten worden gevolgd. Welke vragen stellen gebruikers? Op welke onderwerpen ontstaan onjuiste antwoorden? Worden bronnen correct weergegeven? En proberen medewerkers de oplossing te gebruiken voor doeleinden waarvoor deze niet is bedoeld?
Monitoring maakt tijdig ingrijpen mogelijk en levert informatie op voor verdere verbetering.
Een veilige AI-cultuur ontwikkelen
Technische maatregelen en governanceprocessen zijn belangrijk, maar het gedrag van medewerkers is minstens zo bepalend. Wanneer medewerkers bang zijn om fouten te melden, blijven incidenten onzichtbaar. Wanneer beleid ingewikkeld of onduidelijk is, zoeken gebruikers hun eigen oplossingen. En wanneer leidinggevenden alleen snelheid belonen, krijgen risico’s onvoldoende aandacht.
Een veilige AI-cultuur stimuleert medewerkers om vragen te stellen, twijfels te delen en incidenten te melden. Fouten worden gebruikt om het systeem en de werkwijze te verbeteren.
Training moet daarom verder gaan dan een algemene uitleg over AI. Medewerkers moeten leren welke tools zijn toegestaan, welke informatie gevoelig is, hoe zij uitkomsten controleren en waar zij terechtkunnen met vragen. Verschillende functies hebben daarbij verschillende kennis nodig. Een servicemedewerker heeft andere instructies nodig dan een data scientist, inkoper, manager of privacyprofessional.
Waarom een interim AI-manager?
AI-risicobeheersing vraagt om een combinatie van strategisch inzicht, technische kennis, governance, procesinrichting en verandermanagement. Die combinatie is binnen organisaties niet altijd direct beschikbaar. Een interim AI-manager kan tijdelijk verantwoordelijkheid nemen voor het ontwikkelen en implementeren van een samenhangende aanpak.
De meerwaarde van een interimmanager ligt allereerst in snelheid. De organisatie hoeft niet te wachten op een langdurige werving of op de ontwikkeling van interne expertise. Er kan direct worden gestart met het inventariseren van toepassingen, het beoordelen van risico’s en het inrichten van besluitvorming.
Daarnaast brengt een interimmanager onafhankelijkheid. Bestaande projecten kunnen objectief worden beoordeeld, ook wanneer daar al veel tijd of geld in is geïnvesteerd. Wanneer een toepassing onvoldoende waarde biedt of onverantwoorde risico’s veroorzaakt, moet ook het besluit kunnen worden genomen om deze te stoppen. Een interim AI-manager verbindt bovendien de verschillende betrokken disciplines. Door directie, business, IT, data, security, privacy, HR en juridische zaken bij elkaar te brengen, ontstaat één gezamenlijke werkwijze.
Wat kan een interim AI-manager opleveren?
Een interimopdracht op het gebied van AI-risicobeheersing kan onder andere bestaan uit:
een inventarisatie van bestaande AI-toepassingen;
een AI-register en risicoclassificatie;
een praktisch AI-beleid;
een governance- en besluitvormingsstructuur;
duidelijke rollen en verantwoordelijkheden;
toetsingscriteria voor nieuwe use cases;
richtlijnen voor generatieve AI;
procedures voor leveranciersselectie;
eisen voor monitoring en menselijk toezicht;
een incident- en escalatieproces;
training en bewustwording;
begeleiding van de eerste risicoanalyses;
overdracht naar een vaste verantwoordelijke.
Het doel is niet om een omvangrijk controleapparaat te bouwen. De aanpak moet passen bij de omvang, sector en ambities van de organisatie.
Een middelgrote onderneming heeft waarschijnlijk geen uitgebreid AI-comité nodig. Een duidelijke eigenaar, een compact beoordelingsproces en praktische richtlijnen kunnen daar effectiever zijn. Een grote of sterk gereguleerde organisatie heeft mogelijk een uitgebreidere structuur nodig.
Tijdelijke regie met blijvend resultaat
Een interim AI-manager is bij voorkeur tijdelijk verantwoordelijk voor de inrichting, versnelling en overdracht. De opdracht is geslaagd wanneer de organisatie zelfstandig in staat is om AI-risico’s te herkennen en te beheersen. Nieuwe use cases worden op een consistente manier beoordeeld, medewerkers weten welke regels gelden en incidenten kunnen snel worden afgehandeld.
De organisatie beschikt dan niet alleen over documenten, maar over een werkend systeem van eigenaarschap, besluitvorming, controle en verbetering.
Daarmee wordt risicobeheersing geen obstakel voor innovatie, maar een randvoorwaarde voor duurzame groei.
AI-risicobeheersing maakt verantwoorde groei mogelijk
Organisaties hoeven niet te kiezen tussen innovatie en controle. Goed ingerichte AI-risicobeheersing maakt beide mogelijk.
Door toepassingen te inventariseren, risico’s te classificeren en verantwoordelijkheden duidelijk te beleggen, ontstaat overzicht. Met passende controles, monitoring en menselijk toezicht kunnen toepassingen veilig worden ingezet en opgeschaald. Een interim AI-manager kan de organisatie helpen om deze aanpak snel en praktisch in te richten. Tijdelijke expertise zorgt voor focus, onafhankelijkheid en uitvoeringskracht, terwijl interne teams kennis en ervaring opbouwen.
De belangrijkste vraag is daarom niet alleen: wat kan AI voor onze organisatie betekenen?
Een even belangrijke vraag is: onder welke voorwaarden kunnen we AI betrouwbaar, veilig en verantwoord gebruiken?
Organisaties die beide vragen met elkaar verbinden, creëren niet alleen businesswaarde. Zij bouwen ook aan het vertrouwen van klanten, medewerkers en samenwerkingspartners. En juist dat vertrouwen vormt de basis voor succesvolle en duurzame toepassing van AI.