Een AI governance framework is geen product dat je koopt. Het zijn vijf documenten die je zelf bijhoudt, en de discipline om ze bij te werken als er iets verandert.
Ik schrijf dit op omdat er inmiddels een markt is voor governance-portalen met jaarabonnementen, en het overgrote deel van wat die leveren zijn sjablonen die je zelf in een middag invult. Voor een bedrijf met vijf AI-systemen is dat niet nodig. Voor een bedrijf met vijftig wel, en dan pas.
Hieronder staat wat er per onderdeel in hoort, in de volgorde waarin je ze aanmaakt.
Onderdeel 1: het AI-register
Eén overzicht van elk AI-systeem dat in het bedrijf draait. Per systeem zeven velden:
| Veld | Wat je invult |
|---|---|
| Naam en leverancier | Wie levert het, welke versie |
| Wat het doet | Eén zin, in gewone taal |
| Wie het gebruikt | Afdeling en aantal mensen |
| Welke gegevens erin gaan | Vooral: zitten er persoonsgegevens bij |
| Rol onder de verordening | Aanbieder of gebruiksverantwoordelijke |
| Risicoklasse | Laag, middel of hoog |
| Interne eigenaar | De naam van één persoon |
Dat laatste veld is het belangrijkste en wordt het vaakst leeg gelaten. Een systeem zonder naam erachter is een systeem waar bij een vraag niemand over gaat.
De grootste fout bij het opstellen: alleen aan IT vragen. Het meeste AI-gebruik in een MKB-bedrijf loopt buiten IT om, via gratis accounts en via AI-functies in tools die al betaald werden. Vraag het per afdeling uit, open en zonder dreiging.
Onderdeel 2: de risicoclassificatie
Per systeem één vraag: wat gaat er mis als de uitkomst fout is en niemand merkt het?
Laag. De fout blijft binnen en wordt gezien voordat er iets mee gebeurt.
Middel. De fout gaat naar buiten en is te herstellen. Reputatieschade, geen financiële of juridische schade.
Hoog. De fout kost geld, raakt persoonsgegevens, of weegt mee in een besluit over een persoon.
Meer categorieën heb je niet nodig. Ik heb frameworks gezien met vijf niveaus en een puntensysteem, en die worden na drie maanden niet meer ingevuld omdat de classificatie zelf te veel werk is.
De regel die eruit volgt is simpel: alles op laag laat je met rust, alles op hoog krijgt de onderdelen 3 tot en met 5, en alles op middel krijgt alleen onderdeel 3.
Onderdeel 3: menselijke controle
Per systeem op middel of hoog: wie kijkt naar de uitkomst, op welk moment, en wat mag die persoon tegenhouden?
Dat laatste is de vraag die het onderscheid maakt. Een controlestap zonder de bevoegdheid om iets tegen te houden is een handtekening, geen controle.
Leg per proces vast:
- Wie controleert (functie, niet naam, anders veroudert het bij elke wisseling)
- Wanneer in het proces, en of het vóór of ná verzending is
- Waarop wordt gelet, concreet: bedragen, namen, verplichte clausules, toon
- Wat er gebeurt als de controleur iets afkeurt
Bouw er één meting bij in: hoe vaak wordt er daadwerkelijk iets tegengehouden. Staat die teller na een kwartaal op nul, dan is er geen controle en weet je dat nu in plaats van na het incident.
Dat klinkt streng en het is de goedkoopste ingreep in het hele framework. Een controle die nooit iets tegenhoudt kost je namelijk wel de tijd van de controleur, en levert je niets.
Onderdeel 4: vastlegging
Per systeem op hoog: wat is er gevraagd, wat kwam eruit, wie keek ernaar, wanneer.
Voor de meeste MKB-bedrijven hoeft dat geen systeem te zijn. Een gedeelde map met een vaste naamstructuur, of een tabblad in een bestaand overzicht, is genoeg. De eis is niet dat het geavanceerd is. De eis is dat het consequent gebeurt en op één plek staat.
Waar het wél een systeem moet worden: zodra AI meerdere stappen achter elkaar zet zonder dat er per stap een mens kijkt. Dan is handmatig vastleggen niet vol te houden, en dan bouw je het in het proces zelf in.
Dat is precies wat ik in mijn eigen omgeving heb gedaan. Elke AI-actie schrijft automatisch een regel weg: de opdracht, het model, de uitkomst, de controle. Inmiddels 23.292 regels. Dat is geen MKB-eis en het illustreert wel het principe: vastlegging die van iemands geheugen afhangt, ontbreekt precies op het moment dat je haar nodig hebt.
Onderdeel 5: leveranciersbeoordeling
Per AI-leverancier vier vragen:
- Waar staan de gegevens? Binnen de EU of daarbuiten. Dit is de vraag die je verwerkersovereenkomst zou moeten beantwoorden en vaak niet doet.
- Worden onze gegevens gebruikt om modellen te trainen? Bij betaalde zakelijke abonnementen meestal niet, bij gratis accounts vaak wel. Dat verschil is de belangrijkste reden om gratis accounts uit je bedrijf te halen.
- Wat gebeurt er bij een storing? Hoe lang mag jouw proces stilliggen, en wat doe je in de tussentijd.
- Kun je eruit? Hoeveel werk kost het om over te stappen, en heb je een alternatief in beeld.
Vraag 4 wordt bijna nooit gesteld en is de duurste om te missen. Een leverancier die zijn prijs verdubbelt of zijn dienst stopzet, legt een proces stil dat je inmiddels niet meer handmatig doet. In achttien maanden heb ik dat meermaals zien gebeuren bij partijen waar iedereen op vertrouwde.
Het antwoord op vraag 4 is vaak onaangenaam. Dat is precies waarom je het wilt weten voordat het moet.
Lees ook: AI governance voor het MKB: wat het is en hoe je het inricht
Wat je niet in je framework zet
Drie dingen die ik regelmatig tegenkom en die het framework alleen zwaarder maken:
Een ethische code. Nobel en niet afdwingbaar. Als je principes wilt vastleggen, doe dat in één alinea in je maatregelendocument en niet in een apart stuk.
Een goedkeuringsprocedure voor elk nieuw AI-gebruik. Klinkt zorgvuldig, werkt averechts. Mensen gaan er dan omheen en dan is je register weer incompleet. Beter: een korte lijst met wat sowieso mag, wat nooit mag, en een lage drempel om het te melden.
Een risicoscore met wegingsfactoren. Elke keer dat ik zo'n model heb gezien, was het na een kwartaal niet meer bijgewerkt. Laag, middel, hoog is genoeg.
Wat het je kost om het zelf te doen
Realistisch, voor een bedrijf van twintig tot honderd mensen:
- Register opstellen: een uur voor de uitvraag, een halve dag voor het invullen
- Classificatie: een dagdeel met de systeemeigenaren erbij
- Controle inrichten: een uur per systeem op hoog, en dat zijn er meestal twee of drie
- Vastlegging: een halve dag om de structuur op te zetten, daarna doorlopend
- Leveranciersbeoordeling: twee uur, want de meeste antwoorden staan in contracten die er al liggen
Bij elkaar twee tot drie dagen werk, verspreid over een kwartaal. Daarna twee keer per jaar een uur onderhoud.
Wil je het niet zelf doen, dan levert een AI Act-nulmeting de eerste twee onderdelen kant-en-klaar op plus een prioriteitenlijst: €1.500, twee weken. Staat er al een AI-systeem in productie waarvan je de technische kant wilt laten inspecteren, dan is dat een governance-audit: €3.500.
Veelgestelde vragen
De volgende stap
Begin met het register en niets anders. Eén mail naar je afdelingshoofden, met de vraag welke AI-tools hun mensen gebruiken. Open, zonder dreiging, en met de expliciete uitnodiging om ook de gratis accounts te noemen.
Wat je terugkrijgt is bijna altijd meer dan verwacht, en dat is het startpunt.
Plan een kennismakingsgesprek als je wilt dat ik het voor je in kaart breng.