AI governance is het geheel van afspraken, controles en vastlegging waarmee je kunt aantonen wat de AI-systemen in je bedrijf hebben gedaan, wie daarover ging, en waarom dat verantwoord was. Het is geen document en geen software. Het is de reden dat je een antwoord hebt op het moment dat iemand ernaar vraagt.
Dat moment komt zelden als het goed gaat. Het komt bij een klacht, een datalek, een afnemer die twijfelt, of een uitkomst die achteraf niet blijkt te kloppen. Op dat moment is "we denken dat het goed ging" geen antwoord.
Dit stuk zet op een rij wat je concreet inricht, in welke volgorde, en waar het in de praktijk misgaat.
Wat AI governance niet is
Drie misverstanden eerst, want ze bepalen hoeveel geld je verspilt.
Het is geen beleidsdocument. Ik zie regelmatig een AI-beleid van twaalf pagina's dat door niemand wordt gelezen en door niets wordt afgedwongen. Een regel die alleen op papier staat, is een intentie. Governance is wat er gebeurt als iemand zich er niet aan houdt.
Het is geen compliance-project met een einddatum. De AI-verordening is de aanleiding waarom veel bedrijven er nu naar kijken, en dat is prima. Maar een systeem waarvan je niet kunt aantonen wat het heeft gedaan, is ook zonder wet een probleem. Wie governance opzet als eenmalig project, zet iets neer dat binnen een jaar niet meer klopt.
Het is geen rem op AI-gebruik. Dit is het hardnekkigste misverstand en het meest schadelijke. Goede governance versnelt, omdat het de vraag "mag dit?" verplaatst van een discussie naar een regel. Zonder die regel wordt elk nieuw AI-idee opnieuw een debat, en dan gebeurt er niets.
De vraag waar het allemaal op neerkomt
Er is één vraag die alle andere overbodig maakt: kun je van elke AI-uitkomst achterhalen wie of wat hem heeft gemaakt en wie ernaar heeft gekeken?
Kun je dat, dan heb je governance, hoe je het ook noemt. Kun je dat niet, dan heb je een beleidsdocument.
In mijn eigen omgeving is dat letterlijk zo ingericht. Elke AI-actie schrijft een regel weg in een grootboek: wat er gevraagd is, welk model het heeft opgepakt, wat eruit kwam, en of er een mens naar heeft gekeken. Dat grootboek staat inmiddels op 23.292 regels. Niet omdat een wet dat eist, maar omdat ik anders bij elke vraag achteraf moet gokken.
Dat is geen MKB-eis. Wat wel de MKB-eis is: dat de vraag "wie besliste dit" een antwoord heeft. Dat kan ook in een gedeelde map met een vaste structuur. De vorm is vrij, het antwoord niet.
De vijf onderdelen die je inricht
In deze volgorde, want elk onderdeel leunt op het vorige.
1. Het AI-register
Een lijst van elk AI-systeem dat in je bedrijf draait. Per systeem: wat doet het, wie gebruikt het, welke gegevens gaan erin, wie is de leverancier, en wie is intern verantwoordelijk.
Dit is het onderdeel dat het meest wordt onderschat. De lijst die IT aanlevert is nooit compleet, want het grootste deel van het AI-gebruik in een MKB-bedrijf loopt buiten IT om. Iemand heeft een gratis account aangemaakt, iemand gebruikt de AI-functie in een tool die al betaald werd, iemand plakt teksten in een chatbot op zijn telefoon.
Vraag het daarom open en zonder dreiging uit. Vraag je het als controle, dan krijg je een onvolledige lijst, en een onvolledig register is erger dan geen register: het geeft schijnzekerheid.
2. Risicoclassificatie per systeem
Per systeem één vraag: wat gaat er mis als de uitkomst fout is, en hoe erg is dat?
Dat geeft je vanzelf drie categorieën.
Laag. De fout blijft binnen en wordt gezien. Een samenvatting van een interne vergadering. Een eerste opzet van een tekst die toch nog wordt herschreven.
Middel. De fout gaat naar buiten maar is te herstellen. Een klantmail met een verkeerde toon. Een blogtekst met een fout die je kunt corrigeren.
Hoog. De fout kost geld, vertrouwen of raakt persoonsgegevens. Een offerte met een verkeerd bedrag. Een AI die klantdossiers doorzoekt. Een systeem dat meeweegt in een besluit over een persoon.
De classificatie stuurt alles daarna. Op laag risico hoef je bijna niets te regelen. Op hoog risico regel je alles.
3. Menselijke controle waar het telt
Per systeem vastleggen: kijkt er een mens naar de uitkomst, wanneer, en wie?
Hier zit de fout die ik het vaakst tegenkom. Bedrijven zetten wel een controlestap in, maar zo dat hij niets onderscheidt. Een collega die elke AI-tekst goedkeurt zonder ooit iets tegen te houden, is geen controle. Dat is een handtekening.
Een controle die op alles hetzelfde antwoord geeft, onderscheidt niets. Dat klinkt vanzelfsprekend en toch bouwt vrijwel iedereen het zo, omdat een controle die af en toe iets tegenhoudt vervelend is en vertraagt. Dat is precies waar hij voor is.
Praktisch: maak per proces expliciet wat de controleur moet kunnen tegenhouden, en meet hoe vaak dat gebeurt. Staat die teller na drie maanden op nul, dan heb je geen controle maar een doorgeefluik.
4. Vastlegging
Voor elk systeem in de categorie middel of hoog: wat is er gevraagd, wat kwam eruit, wie keek ernaar, wanneer.
Dat hoeft geen systeem te zijn. Voor de meeste MKB-bedrijven is een gestructureerde map of een gedeeld overzicht genoeg, mits het consequent gebeurt. Wat niet werkt is losse mappen per medewerker, want dan is er geen dossier op het moment dat je het nodig hebt.
Waar het wél een systeem moet worden, is zodra AI zelfstandig stappen zet zonder dat er per stap een mens kijkt. Dan is handmatige vastlegging niet vol te houden en bouw je het in.
5. Leveranciersbeoordeling
Per AI-leverancier: waar staan de gegevens, worden ze gebruikt om modellen te trainen, wat gebeurt er bij een storing, en kun je eruit?
Die laatste vraag wordt bijna nooit gesteld en is de belangrijkste. Een AI-leverancier die zijn prijzen verdubbelt of zijn dienst stopzet, legt een proces stil dat je inmiddels niet meer handmatig doet. Dat is geen theoretisch risico: ik heb het in achttien maanden meermaals zien gebeuren bij partijen waar iedereen op vertrouwde.
Concreet: leg per leverancier vast wat je alternatief is en hoeveel werk het kost om over te stappen. Vaak is dat antwoord onaangenaam, en dat is precies waarom je het wilt weten voordat het moet.
Lees ook: AI Act op 2 augustus: wat ingaat, en wat is uitgesteld
Wat de wet vraagt, en wat je sowieso doet
De AI-verordening legt niet alle vijf onderdelen op. Het is nuttig om te weten waar de wettelijke ondergrens ligt en waar je eigen belang begint.
Wettelijk verplicht voor vrijwel elk bedrijf dat AI gebruikt:
- AI-geletterdheid bij je mensen (artikel 4, geldt sinds 2 februari 2025; het sanctieregime staat sinds 2 augustus 2025)
- Transparantie richting klanten en publiek (artikel 50, vanaf 2 augustus 2026): een chatbot moet melden dat hij AI is, AI-content moet gemarkeerd worden
Wettelijk verplicht als je hoog-risico AI gebruikt (zeldzaam in het MKB): conformiteitsbeoordeling, technische documentatie, menselijk toezicht, registratie. Deze verplichtingen zijn via Verordening (EU) 2026/1744, de Digital Omnibus, verschoven naar 2 december 2027 en 2 augustus 2028.
Niet wettelijk verplicht, wel verstandig: het register, de risicoclassificatie, de vastlegging en de leveranciersbeoordeling. Dat zijn de vier onderdelen waar je iets aan hebt op het moment dat er iets misgaat, en dat moment heeft niets met een toezichthouder te maken.
De praktische consequentie: begin niet bij de wet. Begin bij de vraag welk AI-systeem in jouw bedrijf de meeste schade kan aanrichten, en richt daar de controle op in. Dat dekt de wet vanzelf grotendeels af.
Wat ik in de praktijk zag werken
Ik heb dit voor een Nederlandse e-commercegroep ingericht op een proces dat klantreviews verwerkte. De uitgangspositie was herkenbaar: het werkte, iedereen was tevreden, en er was geen enkele manier om achteraf te laten zien wat er precies was gebeurd. Nul procent van de verwerkte reviews was terug te vinden in een dossier.
Na de ingreep gingen 124 klantreviews door de volledige keten, en alle 124 stonden compleet in de vastlegging. Geen steekproef, geen "meestal". Alles.
Wat me daaraan het meest is bijgebleven, is niet het percentage. Het is dat de vastlegging binnen twee weken een fout aan het licht bracht die er al maanden in zat en die niemand had gezien, omdat er nooit iemand achteraf kon kijken. Dat is de echte opbrengst: niet dat je een dossier hebt, maar dat je gaat zien wat je eerder miste.
De technische kant, voor wie doorleest
Drie stukken op deze site gaan dieper op het mechanisme in. Ze zijn in het Engels en geschreven voor mensen die dit zelf bouwen. Als je dat niet bent, hoef je ze niet te lezen, en dan is dit de samenvatting:
Een grootboek van AI-acties dat je achteraf kunt verifiëren. Elke actie wordt weggeschreven op het moment dat hij gebeurt, in een bestand waar alleen regels bij kunnen en niets uit verdwijnt. Dat maakt het verschil tussen een logboek dat je vertrouwt en een logboek dat achteraf is bijgewerkt. Uitgewerkt in Glass Box Governance en in de opslagkant daarvan.
Hoeveel zelfstandigheid een AI-systeem verdient, gemeten in plaats van geschat. In plaats van vooraf te beslissen hoeveel een systeem alleen mag doen, laat je het eerst meekijken en meet je hoe vaak het corrigeert moet worden. Pas als dat cijfer standhoudt, geef je meer ruimte. Uitgewerkt in governance scoring.
Controles die niet afhangen van een oordeel. Een deel van je kwaliteitscontrole kan zonder AI: een regel die gewoon klopt of niet klopt, en die je niet kunt overtuigen. Uitgewerkt in deterministische kwaliteitspoorten en in de audit trail voor AI-agents.
Dat laatste principe is het belangrijkste van de drie en het minst intuïtieve. Als je AI laat controleren of AI het goed heeft gedaan, heb je het probleem verplaatst, niet opgelost.
Hoe je begint
Vier stappen, en de eerste kost een uur.
Stap 1, deze week. Vraag elke afdeling welke AI-tools ze gebruiken. Open, zonder dreiging. Dat is je register.
Stap 2, deze maand. Zet er per tool één woord bij: laag, middel of hoog. Wat gaat er mis als de uitkomst fout is?
Stap 3, dit kwartaal. Neem de systemen op hoog. Regel per systeem wie de uitkomst controleert en wat die persoon moet kunnen tegenhouden. Leg vast.
Stap 4, doorlopend. Zet een herzieningsmoment in de agenda. Twee keer per jaar, een uur. Wat is erbij gekomen, wat is veranderd, klopt de classificatie nog.
Wat je niet doet: beginnen met een beleidsdocument. Dat is het laatste stuk, niet het eerste. Beleid dat je schrijft voordat je weet wat er draait, beschrijft een bedrijf dat niet bestaat.
Veelgestelde vragen
De volgende stap
Als je niet zeker weet welke AI er in je bedrijf draait, is dat het antwoord op de vraag waar je moet beginnen.
Een AI Act-nulmeting brengt het in kaart: elk AI-systeem dat draait inclusief wat er buiten IT om is aangezet, risicoclassificatie per systeem, de rolbepaling onder de verordening, de stand op AI-geletterdheid, en een geprioriteerde lijst met wat wanneer moet. Twee weken, €1.500. Het rapport is los bruikbaar richting je accountant, verzekeraar of grootste afnemer.
Draait er al een AI-systeem in productie, dan is een governance-audit op de draaiende stack het juiste startpunt in plaats van de nulmeting. €3.500, twee tot drie dagen.
Plan een kennismakingsgesprek en dan hoor ik binnen vijf minuten welke van de twee het bij jou is.