AI-gebruik groeit vaak buiten de normale besluitvorming. Een medewerker probeert een teksttool, een leverancier zet een assistent aan of een CRM-update voegt een AI-functie toe. Samen kan zo een proces ontstaan dat niemand overziet.
AI-governance brengt daar orde in: welke toepassingen draaien, wat zij mogen verwerken en wie ingrijpt als iets niet klopt. Dit is geen juridisch advies. Laat bij toepassingen met persoonsgegevens of besluiten over mensen beoordelen welke AVG- en AI Act-verplichtingen gelden.
Begin bij wat er al draait
Een beleidsdocument schrijven voordat je weet wat er draait, levert grote gaten op. Inventariseer daarom zowel losse tools als AI-functies die standaard in bestaande software zitten.
Neem echte werksituaties mee. Een screenshot van een foutmelding kan klantnamen bevatten. Een mail met drie bijlagen bevat soms een verkeerde versie. Test die rommel voordat een toepassing vaste prik wordt.
Leg per toepassing doel, gebruikers en gegevensstroom vast. De EU AI Act voor het MKB helpt bij de risicovraag. Bij persoonsgegevens moet je ook beoordelen of een DPIA bij AI-automatisering nodig is.
Het AI-register is het werkdocument
Een gedeeld overzicht volstaat voor een klein bedrijf, zolang een eigenaar het bijwerkt en iedereen het kan vinden. Het voorkomt dat keuzes over AI in losse chats en offertes blijven hangen.
| Veld | Wat je vastlegt | Praktisch voorbeeld |
|---|---|---|
| Toepassing en doel | Welke taak de tool ondersteunt | Interne vragen beantwoorden vanuit goedgekeurd beleid |
| Proceseigenaar | Wie beslist over wijzigingen en uitzonderingen | HR-manager voor een HR-assistent |
| Gebruikers en rechten | Wie de toepassing mag gebruiken | Alleen medewerkers met toegang tot de bronmap |
| Invoer en uitvoer | Welke gegevens erin gaan en wat eruit komt | Kennisbankartikelen in, conceptantwoord met bronverwijzing uit |
| Leverancier en omgeving | Contractpartij, hosting en subverwerkers | Leverancier, regio en actuele verwerkersafspraken |
| Controle en incidentroute | Wanneer iemand meekijkt en wie fouten oppakt | Onzekere antwoorden naar de eigenaar, incident in dezelfde werkdag melden |
| Laatste review | Wanneer de gegevens voor het laatst zijn nagekeken | Kwartaalreview of na een grote wijziging |
De controlekolom bepaalt of het register werkt. "Menselijke controle" is te vaag. Leg vast welke uitkomst blijft liggen, wie hem beoordeelt en wat er gebeurt bij afwezigheid. Zonder eigenaar blijft een uitzondering liggen, ook als de workflow hem netjes heeft opgepakt.
Voor een interne assistent is bronverwijzing een bruikbare controle. Een AI-assistent die eigen documenten en beleid kent, moet tonen waarop een antwoord rust. De medewerker kan dan zien of de bron verouderd is of niet bij zijn rechten past.
Beleid dat medewerkers ook gebruiken
Een AI-beleid moet tijdens het werk bruikbaar zijn. Geef medewerkers een korte versie: welke gegevens niet in een externe tool mogen, wanneer een concept een concept blijft en waar zij een fout of nieuwe tool melden. De eigenaar houdt het uitgebreide register bij.
Maak de grens rond besluiten concreet. Een assistent kan een antwoord voorbereiden of een aanvraag sorteren. Bij een beslissing die een medewerker, klant of sollicitant merkbaar raakt, leg je vast wie oordeelt en hoe dat oordeel wordt geregistreerd.
Zet deze afspraken in de route zelf. Als een workflow een aanvraag uit de inbox naar CRM en planning brengt, horen gegevensgrenzen, goedkeuringen en meldingen in die werkstroomorkestratie thuis. Een pdf op SharePoint verandert de route niet.
Leveranciers veranderen ook na de start
De leverancierscheck is geen eenmalige inkoopactie. Controleer waar gegevens worden verwerkt, welke afspraken er zijn en wie onderaannemers inzet. Herhaal dit bij een nieuw model, een andere opslaglocatie of een grote functie.
Leg ook incidenten sober vast: een meldpunt, een eigenaar en een eerste handelingsregel. Dat kan toegang stoppen, een workflow pauzeren of invoer blokkeren zijn. Een lange uitzonderingenlijst die niemand leest, is geen incidentproces.
Controle is een ritme, geen eindcontrole
Een register veroudert bij een nieuwe koppeling of een andere bron. Plan een vaste review en controleer bij iedere relevante wijziging gebruik, leveranciers, terugkerende fouten en open incidenten.
Loggegevens maken die review concreet. Als medewerkers een modeluitkomst vaak corrigeren, staat er mogelijk een verkeerde bron in de assistent of is de regel in de route te ruim. Audit trail bij AI-automatisering beschrijft welke vastlegging zo'n patroon zichtbaar maakt.
Houd de eerste versie klein. Toets enkele toepassingen met rommelige echte aanvragen. Voeg pas daarna een volgende tool toe.
Veelgestelde vragen
Wie is eigenaar van AI-governance in een klein bedrijf?
Wijs een bedrijfsbrede coördinator aan, bijvoorbeeld de operationeel verantwoordelijke of privacycontactpersoon. Die persoon hoeft niet elke toepassing inhoudelijk te beheren. Per toepassing is er ook een proceseigenaar die weet waarom de tool bestaat, wijzigingen beoordeelt en vragen uit het team opvangt.
Moet elke AI-functie in het register staan?
Neem elke functie op die zelfstandig inhoud verwerkt, genereert, classificeert of een advies geeft binnen je bedrijfsproces. Een proef met openbare, fictieve data kan in een aparte teststatus staan. Zodra medewerkers echte klant-, leveranciers- of personeelsinformatie gebruiken, hoort de toepassing in het gewone register.
Vervangt een AI-register een DPIA?
Nee. Het register geeft overzicht en helpt bij de eerste beoordeling. Een DPIA gaat dieper in op privacyrisico's van een specifieke verwerking. Gebruik het register juist om te signaleren welke toepassing opnieuw moet worden beoordeeld wanneer het doel, de gegevens of de groep betrokkenen verandert.
Wat doe je als een leverancier zijn model of subverwerker wijzigt?
Laat de proceseigenaar beoordelen wat er precies verandert: de gegevensstroom, de opslaglocatie, de contractvoorwaarden of alleen de gebruikersinterface. Werk vervolgens het register bij en herhaal waar nodig de leveranciers- en privacycheck. Een ongelezen releasebericht is geen controle.