Wat is AI governance? Van beleid naar aantoonbare beheersing

AI governance is het geheel van rollen, besluiten, kaders en controles waarmee een organisatie bepaalt hoe AI wordt gebruikt - en waarmee zij dat achteraf kan aantonen. Het is dus geen beleidsstuk, maar een werkend besturingsmodel.

Waarom AI governance nu op de agenda staat

Drie ontwikkelingen komen samen. Medewerkers gebruiken generatieve AI vaak sneller dan beleid wordt geschreven. Leveranciers bouwen AI in bestaande software, waardoor organisaties AI gebruiken zonder dat te weten. En de AI Act legt verplichtingen neer bij wie AI aanbiedt of gebruikt. Zonder governance ontstaat een gat tussen wat er feitelijk gebeurt en wat een bestuur kan verantwoorden.

De zeven bouwstenen

1. Inventaris. Welke AI-toepassingen worden gebruikt, door wie, met welke data en van welke leverancier? Inclusief AI die meelift in bestaande tools.
2. Risicoclassificatie. Welke toepassingen raken mensen direct, welke zijn onder de AI Act hoog-risico, welke zijn laag risico?
3. Beleid en spelregels. Wat mag met welke data, welke tools zijn toegestaan, wanneer is menselijke controle verplicht?
4. Rollen en eigenaarschap. Wie is eigenaar van een model, wie beoordeelt risico, wie beslist over uitzonderingen?
5. Controles. Logging, monitoring, kwaliteitscontrole van uitkomsten, incidentproces en periodieke herbeoordeling.
6. AI-geletterdheid. Medewerkers moeten begrijpen wat een model wel en niet kan, en waar de grens ligt.
7. Aantoonbaarheid. Dossiervorming waarmee bestuur, auditor of toezichthouder kan volgen welke keuzes zijn gemaakt en waarom.

AI governance versus AI-beleid

Beleid beschrijft de bedoeling. Governance zorgt dat de bedoeling werkt: dat de inventaris actueel is, dat risico daadwerkelijk wordt beoordeeld, dat afwijkingen opvallen en dat iemand ingrijpt. Een organisatie met alleen beleid heeft een intentie; een organisatie met governance heeft grip.

Waar organisaties in de praktijk vastlopen

• De inventaris is een eenmalige exercitie en verouderd binnen een kwartaal.
• Risicoclassificatie blijft juridisch en landt niet bij de teams die AI gebruiken.
• Governance wordt bij een stafafdeling gelegd zonder mandaat.
• Schaduw-AI wordt verboden in plaats van gekanaliseerd, waardoor gebruik onzichtbaar wordt.
• Er is geen bewijslast: keuzes zijn gemaakt, maar niet vastgelegd.

Een realistische eerste stap

Begin klein en concreet: maak binnen enkele weken een inventaris van AI-gebruik, kies de vijf toepassingen met de grootste impact op mensen of geld, en beleg daarvan eigenaarschap, controles en herbeoordeling. Breid daarna uit. Governance die in het klein werkt, is beter dan een raamwerk dat nooit in gebruik komt.