Hoe AI verantwoord te beheren binnen een organisatie

Uw medewerkers gebruiken AI al. ChatGPT voor het opstellen van e-mails, Copilot voor het samenvatten van rapporten, willekeurige browserextensies voor het vertalen van klantgegevens — allemaal zonder beleid, eigenaar of risicoanalyse. Dit is geen toekomstig probleem; het gebeurt nu, en de blootstelling is reëel. Dit artikel biedt u een concreet, stapsgewijs kader om AI verantwoord te beheren binnen uw organisatie — met aandacht voor rollen, beleid, naleving van de EU AI Act, en het aanpakken van shadow AI.

Waarom brengt onbeheerd AI-gebruik zulke ernstige risico's met zich mee?

Wanneer een medewerker een klantklacht in ChatGPT plakt om een reactie op te stellen, heeft hij of zij mogelijk zojuist persoonsgegevens verstuurd naar een extern LLM (Large Language Model) dat standaard traint op de ingevoerde gegevens. Wanneer een salesmanager een AI-samenvattingstool gebruikt om contractvoorwaarden te verwerken, kan vertrouwelijke dealinformatie zijn blootgesteld aan een externe server in een rechtsgebied dat uw functionaris voor gegevensbescherming nooit heeft goedgekeurd.

Dit zijn geen hypothetische randgevallen. Het is de dagelijkse realiteit in organisaties waar AI-governance niet heeft bijgehouden met AI-adoptie. De risico's vallen uiteen in drie categorieën:

• Schendingen van de gegevensprivacy — persoonsgegevens die de organisatie verlaten zonder rechtsgrondslag of verwerkersovereenkomst
• Regelgevende niet-naleving — met name onder de AVG en, in toenemende mate, de EU AI Act
• Inconsistente, onbetrouwbare uitkomsten — verschillende medewerkers die verschillende AI-tools gebruiken voor dezelfde taak, met resultaten die niet gecontroleerd of vertrouwd kunnen worden

Wat is shadow AI precies — en hoe wijdverspreid is het?

Shadow AI is het organisatorische equivalent van shadow IT: AI-tools die door medewerkers worden aangenomen en gebruikt zonder medeweten, goedkeuring of toezicht van IT of het management. Anders dan shadow IT (waarbij het doorgaans ging om iemand die Dropbox installeerde) is shadow AI vrijwel onzichtbaar. Een browserextensie, een gratis SaaS-tool, een publieke chatbot — geen van deze verschijnt in uw software-aanschaffingslogboek.

Een concreet voorbeeld: een medewerker op de financiële afdeling gebruikt een gratis AI-tool om spreadsheets te herformatteren en samen te vatten vóór een bestuursvergadering. De tool is webgebaseerd, de gegevens verlaten het bedrijfsnetwerk, en niemand bij IT of Legal weet dat het is gebeurd. De medewerker handelde niet roekeloos — hij of zij was efficiënt bezig. Het probleem is structureel: er was geen goedgekeurd alternatief, geen beleid en geen communicatie over wat is toegestaan.

Onderzoek toont consequent aan dat een meerderheid van de medewerkers in kennisintensieve functies ten minste één AI-tool heeft gebruikt die niet door hun werkgever is goedgekeurd. Ervan uitgaan dat uw organisatie de uitzondering is, klopt vrijwel zeker niet.

Wat vereist de EU AI Act van organisaties?

De EU AI Act — 's werelds eerste uitgebreide wettelijke kader voor kunstmatige intelligentie — werd in augustus 2024 wet en wordt gefaseerd ingevoerd tot 2026. Het hanteert een risicogebaseerde aanpak en indeelt AI-systemen in vier niveaus:

1. Onaanvaardbaar risico — volledig verboden (bijv. sociale scoring door overheden, realtime biometrische surveillance in openbare ruimten)
2. Hoog risico — strenge verplichtingen van toepassing (bijv. AI gebruikt bij aanwervingsbeslissingen, kredietscoring of kritieke infrastructuur)
3. Beperkt risico — transparantieverplichtingen (bijv. chatbots moeten bekendmaken dat ze AI zijn)
4. Minimaal risico — grotendeels ongereguleerd, maar goede praktijk blijft van toepassing

Voor de meeste bedrijfseigenaren en IT-managers zijn de praktische implicaties:

• Ken uw AI-inventaris. U moet elk AI-systeem in gebruik kunnen identificeren en classificeren naar risiconiveau. Dat is onmogelijk als shadow AI wijdverspreid is.
• Documenteer hoog-risico AI-systemen. Als u AI gebruikt om delen van werving, prestatiebeheer of kredietbeoordeling te automatiseren, heeft u een technisch dossier, een risicoanalyse en mechanismen voor menselijk toezicht nodig.
• Wijs verantwoordelijkheid toe. De wet verwacht dat organisaties identificeerbare personen hebben die verantwoordelijk zijn voor AI-beslissingen — niet slechts "het algoritme."
• Houd auditlogboeken bij. Hoog-risico AI-systemen moeten worden gelogd zodat beslissingen achteraf kunnen worden beoordeeld en toegelicht.

Sancties bij niet-naleving spiegelen die van de AVG: tot €30 miljoen of 6% van de wereldwijde jaarlijkse omzet, afhankelijk van welk bedrag hoger is.

Wat zijn de echte gegevensprivacyrisico's van het gebruik van LLM's?

Large Language Models zoals GPT-4, Claude of Gemini zijn krachtig — en de manier waarop ze omgaan met gegevens wordt breed misverstaan. Belangrijke risico's om te kennen:

Trainen op invoer. Veel LLM-producten voor consumenten gebruiken standaard gespreksdata om hun modellen te verbeteren. Tenzij u een enterprise-overeenkomst heeft met expliciete opt-outs, kunnen de gegevens die uw medewerkers invoeren worden gebruikt als trainingsdata.

Geen garanties voor gegevenslocatie. Gratis en goedkope AI-tools verwerken gegevens vaak op servers in de VS of andere landen buiten de EER. Zonder een verwerkersovereenkomst (DPA) en standaardcontractbepalingen (SCC's) kan dit in strijd zijn met artikel 46 van de AVG.

Geen toegangscontroles. Wanneer een medewerker interne gegevens in een publieke chatbot plakt, vallen die gegevens volledig buiten uw IAM-perimeter (Identity and Access Management). U heeft geen zichtbaarheid, geen logging en geen mogelijkheid om toegang in te trekken.

Hallucinaties worden beslissingen. Als een medewerker handelt op basis van een door AI gegenereerde samenvatting zonder bronnen te verifiëren, en die samenvatting een gehallusineerd cijfer of een verzonnen juridische clausule bevatte, kan uw organisatie aansprakelijk zijn voor de daaruit voortvloeiende beslissing.

De oplossing is niet om LLM's te verbieden — dat schip is al lang vertrokken. De oplossing is om hun gebruik te kanaliseren via goedgekeurde, contractueel geregelde en controleerbare tools.

Hoe bouwt u een praktisch AI-governancekader?

Een governancekader hoeft geen 200 pagina's tellend beleidsdocument te zijn dat niemand leest. Het moet operationeel zijn: duidelijke rollen, een korte set regels en een proces dat medewerkers daadwerkelijk kunnen volgen.

Stap 1 — Voer een AI-audit uit (ontdek wat er al in gebruik is)

Voordat u AI kunt beheren, moet u weten welke AI wordt gebruikt. Enquêteer teams, bekijk browserextensies, controleer SaaS-abonnementen en spreek met afdelingshoofden. U zult tools vinden waarvan u het bestaan niet wist. Behandel dit als inventarisatie, niet als handhaving — u wilt eerlijke antwoorden.

Resultaat: een levende AI-inventarisspreadsheet met kolommen voor toolnaam, gebruiksscenario, betrokken datatypes, leverancier en huidige goedkeuringsstatus.

Stap 2 — Wijs de kernrollen voor governance toe

AI-governance mislukt wanneer het niemands taak is. Wijs deze rollen expliciet toe:

Rol	Verantwoordelijkheid
AI-eigenaar / Sponsor	Senior leider die verantwoordelijk is voor AI-strategie en risicobereidheid
AI-coördinator	Dagelijks beheer van de AI-inventaris, beleidswijzigingen, incidentregistratie
Legal / Privacy	AVG/EU AI Act-naleving, DPA-beoordeling, gegevensclassificatie
IT / Beveiliging	Goedkeuring van tools, toegangscontroles, logging, beveiligingsbeoordelingen van leveranciers
Afdelingshoofden	Identificeren van gebruiksscenario's, borgen van teamnaleving, melden van incidenten

In kleinere organisaties kan één persoon meerdere rollen vervullen — dat is prima, zolang de verantwoordelijkheden expliciet zijn toegewezen en niet worden verondersteld.

Stap 3 — Classificeer uw AI-tools naar risico

Classificeer elke tool aan de hand van uw AI-inventaris:

• Goedgekeurd — gecontroleerd, DPA aanwezig, gegevensverwerking begrepen, gebruik binnen gedefinieerde grenzen
• Voorwaardelijk goedgekeurd — nuttig maar met beperkingen (bijv. "toegestaan voor intern opstellen, niet voor klantgegevens")
• In beoordeling — gemarkeerd voor beoordeling, nog niet vrijgegeven
• Verboden — onder geen enkele omstandigheid te gebruiken voor bedrijfswerkzaamheden

Publiceer deze lijst intern en update deze elk kwartaal.

Stap 4 — Schrijf een kort, bruikbaar AI-gebruiksbeleid

Een beleid dat in een la verdwijnt, werkt niet. Schrijf er een dat op één pagina past. Het moet het volgende omvatten:

• Welke tools zijn goedgekeurd en voor welke doeleinden
• Welke gegevens nooit in een AI-tool mogen worden ingevoerd (bijv. persoonsgegevens van klanten, financiële gegevens, nog niet gepubliceerd intellectueel eigendom)
• De verplichting om door AI gegenereerde uitkomsten te verifiëren voordat ernaar wordt gehandeld
• Hoe een nieuwe AI-tool ter goedkeuring kan worden aangevraagd
• Wat te doen bij een data-incident waarbij AI betrokken is

Gebruik begrijpelijke taal. Vermijd juridisch jargon. Test het door een niet-technische medewerker te vragen of hij of zij het begrijpt.

Stap 5 — Zet een lichtgewicht goedkeuringsproces op voor nieuwe AI-tools

Medewerkers zullen altijd nieuwe AI-tools vinden. Maak het eenvoudiger om goedkeuring te vragen dan om de tool zonder toestemming te gebruiken. Een eenvoudig aanvraagformulier (toolnaam, beoogd gebruik, datatypes, leverancierslink) dat door IT en Legal binnen 5 werkdagen wordt beoordeeld, neemt de wrijving weg die shadow AI aanwakkert.

Stap 6 — Train uw mensen — eenmalig, maar goed

Een onboardingmodule van 45 minuten over AI-gebruik is meer waard dan een jaarlijkse herinnering tijdens een bedrijfsbrede bijeenkomst. Behandel: welke AI-tools zijn goedgekeurd, waarom sommige tools niet zijn toegestaan, wat medewerkers moeten doen als ze twijfelen, en twee of drie concrete voorbeelden van hoe een AI-gerelateerd data-incident eruit ziet. Herhaal dit voor nieuwe medewerkers.

Stap 7 — Monitor, log en pas aan

Governance is geen eenmalig project. Plan een kwartaallijkse AI-inventarisreview, registreer incidenten of bijna-incidenten, en update uw lijst van goedgekeurde tools naarmate de markt evolueert. De EU AI Act zelf zal bijgewerkte documentatie vereisen naarmate uw AI-gebruiksscenario's veranderen.

Hoe ziet een AI-governance-checklist er in de praktijk uit?

Gereedheidscheck AI-governance

• AI-inventaris voltooid en gedocumenteerd
• Elke tool geclassificeerd (goedgekeurd / voorwaardelijk / in beoordeling / verboden)
• EU AI Act-risiconiveau toegewezen voor elk AI-systeem dat in scope valt
• Verwerkersovereenkomsten aanwezig voor alle goedgekeurde AI-leveranciers
• AI-governancerollen toegewezen op naam, niet op functietitel
• AI-gebruiksbeleid opgesteld, beoordeeld door Legal en intern gepubliceerd
• Goedkeuringsproces voor nieuwe tools gedocumenteerd en toegankelijk
• Alle medewerkers getraind op het AI-gebruiksbeleid
• Auditlogging ingeschakeld voor hoog-risico AI-systemen
• Kwartaalreview ingepland in de agenda

Hoe hangt AI-governance samen met het bredere thema van organisatorische intelligentie?

AI-governance is niet alleen een complianceoefening — het is een fundamentele voorwaarde om AI daadwerkelijk te gebruiken om uw organisatie slimmer te maken. Onbeheerde AI produceert ruis: inconsistente uitkomsten, verborgen risico's en beslissingen die niet kunnen worden uitgelegd of verdedigd. Beheerde AI produceert signaal: betrouwbare, controleerbare, organisatorisch verankerde intelligentie.

Dit sluit direct aan op de grotere uitdaging van het opbouwen van AI and Organizational Intelligence — AI niet alleen inzetten als productiviteitssnelkoppeling voor individuen, maar als een vermogen dat de organisatie als geheel versterkt, op een manier die vertrouwd, opgeschaald en beheerd kan worden.

Veelgestelde vragen

Is de EU AI Act van toepassing op kleine en middelgrote bedrijven? Ja, met enige proportionaliteit. Het MKB is niet vrijgesteld — maar de wet bevat lichtere verplichtingen voor mkb-bedrijven die AI-systemen van derden gebruiken (in tegenstelling tot het zelf ontwikkelen ervan). De risicotierbeoordeling blijft van toepassing, en de verplichting om te weten welke AI u gebruikt geldt voor iedereen.

Wat is het verschil tussen een AI-beleid en een AI-governancekader? Een beleid is een document dat medewerkers vertelt wat ze wel en niet mogen doen. Een governancekader is het bredere systeem: de rollen, processen, inventaris, training, monitoring en het beleid samen. U heeft beide nodig — een beleid zonder kader is slechts papier.

Wat als medewerkers het beleid weerstaan of niet-goedgekeurde tools blijven gebruiken? Dit is doorgaans een signaal dat de goedgekeurde alternatieven slechter zijn dan de niet-goedgekeurde. Vraag voordat u handhaaft: is er een goedgekeurde tool die in deze behoefte voorziet? Zo niet, maak dan prioriteit van het toevoegen van een geschikte optie. Governance die alleen "nee" zegt zonder een "ja" te bieden, zal het onderspit delven.

Hoe vaak moet het AI-governancekader worden bijgewerkt? Minimaal elk kwartaal voor de tool-inventaris en jaarlijks voor de volledige beleidsevaluatie. Gezien hoe snel AI-tooling zich ontwikkelt, zijn halfjaarlijkse beleidsevaluaties voor de meeste organisaties realistischer.

Hebben we een apart AI-governancebeleid nodig als we al een gegevensbeschermingsbeleid hebben? Ja. Uw gegevensbeschermingsbeleid dekt persoonsgegevens onder de AVG. Een AI-governancebeleid dekt een bredere reeks risico's: hallucinaties, lekkage van intellectueel eigendom, leveranciersafhankelijkheid, naleving van de EU AI Act en de geschiktheid van gebruiksscenario's — waarvan veel niets te maken hebben met persoonsgegevens.

---

Het bouwen van een AI-governancekader is precies het soort structurele uitdaging waarbij praktische hulp het verschil maakt tussen een beleid dat in een map verdwijnt en een dat het gedrag daadwerkelijk verandert. Bij Loggix werken we samen met bedrijfseigenaren en IT-teams om hun huidige AI-gebruik in kaart te brengen, de hiaten te identificeren en — waar de juiste oplossing een beheerde, geïntegreerde AI-workflow binnen hun bestaande systemen is — dit te bouwen op een manier die controleerbaar, beheersbaar en werkelijk nuttig is. Als uw organisatie op het punt is gekomen waar AI-gebruik het AI-toezicht heeft overtroffen, is het de moeite waard om dat gesprek te voeren.