AI governance: betekenis en praktijk

AI governance betekenis: wat wordt bedoeld met governance?

Governance betekent letterlijk bestuur of sturing. Het woord komt uit de wereld van corporate governance: de regels waarmee een organisatie wordt geleid en gecontroleerd. Wie mag besluiten, wie houdt toezicht en hoe leg je verantwoording af.

Bij AI governance pas je dat toe op kunstmatige intelligentie. Je legt vast:

• Wat er aan AI in je organisatie draait, van ChatGPT op de laptop tot een agent die orders verwerkt.
• Waarvoor het gebruikt mag worden en waarvoor niet.
• Met welke gegevens: mogen klantgegevens, personeelsdossiers of prijsafspraken erin?
• Wie eigenaar is van elke toepassing en wie beslist over uitbreiding.
• Hoe je controleert of de uitkomst klopt, en wat je doet als hij niet klopt.

AI governance is dus geen technisch onderwerp. Het is een managementonderwerp met technische onderdelen, zoals logging en toegangsbeheer. Het gaat over dezelfde vragen die je bij geld, personeel en veiligheid ook stelt.

Waarom AI governance nu speelt

Drie ontwikkelingen maken het voor het mkb concreet.

1. De AI Act. De Europese AI-verordening verdeelt AI in risicoklassen en legt plichten op aan wie AI aanbiedt of gebruikt. Voor de meeste mkb-toepassingen zijn die plichten beperkt, maar je moet wel weten in welke klasse je toepassingen vallen. Lees de AI Act uitgelegd en AI Act voor het mkb.
2. De AVG. Zodra AI persoonsgegevens verwerkt, gelden de gewone privacyregels. Soms is een DPIA nodig. Zie DPIA voor AI.
3. Klanten en ketenpartners. Grotere klanten vragen in inkoopvragenlijsten steeds vaker hoe je met AI omgaat, net zoals ze eerder vroegen naar informatiebeveiliging.

Daarnaast is er een praktische reden. Medewerkers gebruiken AI toch wel. Zonder afspraken gebeurt dat in gratis tools, met gegevens die daar niet horen. Governance brengt dat gebruik in beeld en maakt het veilig.

AI risicomanagement: het hart van governance

AI risicomanagement is het deel van governance dat kijkt wat er mis kan gaan en hoe je dat voorkomt. De Amerikaanse standaardenorganisatie NIST publiceerde in januari 2023 een vrijwillig raamwerk, het AI Risk Management Framework. Het deelt het werk in vier functies in, die ook voor een klein bedrijf bruikbaar zijn:

De risico's die in de praktijk het vaakst spelen:

• Foute uitkomsten. Een taalmodel kan overtuigend iets verzinnen.
• Datalekken. Klant- of personeelsgegevens komen bij een leverancier terecht zonder afspraken.
• Afhankelijkheid. Een leverancier verandert prijzen, voorwaarden of het model zelf.
• Oneerlijke uitkomsten. Bij beslissingen over mensen, zoals werving, kan AI bestaande scheefheid versterken.
• Misbruik van de AI zelf. Een agent die mail leest, kan instructies in die mail opvolgen. Zie prompt injection.

AI governance in de praktijk: vijf bouwstenen

Voor een mkb-bedrijf bestaat werkende governance meestal uit vijf onderdelen.

1. Een AI-register. Een lijst van alle AI-toepassingen: naam, leverancier, doel, welke data, wie eigenaar is en in welke risicoklasse het valt. Een AI-register template helpt je op weg.
2. Een kort AI-beleid. Welke tools zijn toegestaan, welke gegevens mogen erin en wanneer moet een mens meekijken. Twee pagina's zijn vaak genoeg. Zie AI beleid opstellen.
3. Een eigenaar per toepassing. Iemand die weet wat de toepassing doet, fouten ziet en beslist over aanpassingen.
4. Kennis bij medewerkers. Mensen moeten weten wat AI kan, waar het de mist in gaat en wat ze er niet in mogen stoppen. Dat is ook de gedachte achter de AI-geletterdheid uit de AI Act. Zie AI-geletterdheid training.
5. Controle en logging. Leg vast wat een AI-systeem doet, zodat je achteraf kunt zien waarom iets gebeurde.

Wil je een erkende norm als kader, dan is er ISO/IEC 42001, de internationale norm voor een AI-managementsysteem uit december 2023. In Nederland geeft NEN hem uit, sinds maart 2026 als NEN-EN-ISO/IEC 42001:2026. De norm is bedoeld voor organisaties van elke omvang. Certificering is niet verplicht. Voor de meeste mkb-bedrijven is het een naslagwerk, geen startpunt.

Een voorbeeld uit onze praktijk

Bij elk project dat we bouwen, zitten governance-keuzes al in het ontwerp. Dat scheelt later een apart papieren traject.

• Code en data blijven van de klant. Je bent niet afhankelijk van ons om te weten wat er gebeurt.
• Europese hosting waar het past, en een eigen server of private AI als gegevens gevoelig zijn.
• Toegangsbeheer en logging, zodat je ziet wie wat doet en wat het systeem heeft gedaan.
• Menselijke controle op de plekken waar een fout schade doet.

Neem een orderstroom zoals bij Sucre & Co, waar automatisering nu 80 uur handwerk per week scheelt. Governance betekent daar heel concreet: wie krijgt een melding als een order niet te lezen is, wie mag de regels aanpassen en waar staat vastgelegd wat het systeem heeft gedaan. Dat is geen extra bureaucratie. Het is de reden dat het systeem blijft draaien.

Veelgemaakte fouten

Hoe begin je?

Begin klein en concreet. Maak eerst het register: vraag per afdeling welke AI-tools er gebruikt worden, ook de gratis varianten. Kijk daarna welke toepassingen persoonsgegevens verwerken of beslissingen over mensen raken. Daar begin je met de strengste afspraken. Schrijf dan het korte beleid en wijs eigenaren aan.

Wil je hulp bij het inrichten, dan helpen we bij AI governance zonder onnodige bureaucratie. Voor bestuurders en managers die zelf de regie willen voeren, is er de AI governance opleiding.

Uit de praktijk

Veelgestelde vragen

Verder lezen

Meer uit de kennisbank

Terug naar de kennisbank