Deze pagina behandelt stap 1 tot en met 3 van ons framework voor AI-governance, dat ook beschrijft wie verantwoordelijk moet zijn voor AI-governance, een plan voor de eerste 90 dagen geeft en een minimale versie voor het mkb. Stap 4 tot en met 6 staan in gegevensbescherming, menselijk toezicht en beveiligingsmaatregelen voor AI.
Stap 1: Breng in kaart wat u al gebruikt
Breng voordat u beleid opstelt in kaart welke AI-tools worden gebruikt. De meeste organisaties ontdekken meer dan verwacht wanneer ze dit grondig onderzoeken.
Vier categorieën om te controleren
Bevraag afdelingshoofden en voer een discoveryronde uit over uw SaaS-omgeving. gids over Shadow AI-risico's behandelt het discoveryproces uitgebreider. De inventarisatie wordt uw controlebasis: elke tool erop heeft een governance-registratie of krijgt die voordat de goedkeuring wordt gehandhaafd.
AI-toolregister: minimale velden
Leg elke AI-tool vast in een centraal register. Dit wordt het actuele overzicht dat uw AI-governance-eigenaar bijhoudt en dat auditors of toezichthouders kunnen inspecteren.
| Veld | Voorbeeld |
|---|---|
| AI-tool | Microsoft 365 Copilot |
| Business owner | Hoofd Marketing |
| Doel | Opstellen van content, samenvatten van e-mails |
| Verwerkte gegevens | Interne bedrijfsgegevens, e-mails van medewerkers |
| Persoonsgegevens betrokken | Ja |
| Leverancier | Microsoft |
| Locatie gegevensverwerking / hosting | UK / EU |
| Verwerkersovereenkomst aanwezig | Ja, via Microsoft Data Processing Agreement |
| Risiconiveau | Gemiddeld |
| DPIA vereist | Ja, afgerond op 24 augustus 2026 |
| Beoordeling artikel 22 | Niet van toepassing (uitsluitend adviserend gebruik, menselijke beoordeling vereist) |
| Goedgekeurde gebruikers | Marketing, Sales (alleen gebruikers met licentie) |
| Goedkeuringsdatum | 24 augustus 2026 |
| Volgende beoordelingsdatum | 24 februari 2027 |
Bewaar het register op een locatie waar zowel uw AI-governance-eigenaar als uw FG/DPO toegang toe hebben en wijzigingen kunnen aanbrengen. Een gedeeld document of een rij in uw bestaande risicoregister volstaat. Het format is minder belangrijk dan de discipline om het actueel te houden.
Breng de gegevensstroom in kaart, niet alleen de tool
Een register dat alleen de naam van de tool en de leverancier vastlegt, mist waar het risico daadwerkelijk zit. Twee organisaties die dezelfde AI-tool gebruiken, kunnen totaal verschillende risicoprofielen hebben, afhankelijk van welke gegevens erin gaan, welke externe systemen de tool kan aanroepen en wie de output uiteindelijk gebruikt. Breng voor elke tool met een gemiddeld of hoog risico de volledige keten in kaart:
| Schakel | Waar u op moet letten |
|---|---|
| Gebruiker | Wie voert gegevens in of geeft de tool opdrachten, en met welke rechten? |
| AI-applicatie | De interface of het product dat de gebruiker aanspreekt: een chatbot, een Copilot-integratie, een intern gebouwde tool. |
| Model | Welk onderliggend model verwerkt de invoer, en bij welke leverancier? |
| Gegevens | Welke gegevens bereiken het model: alleen de prompt, of ook opgehaalde documenten, CRM-records of eerdere gespreksgeschiedenis? |
| Externe systemen | Roept de AI andere systemen of API's aan om informatie op te halen of acties uit te voeren? |
| Output | Waar gaat de output naartoe: terug naar de gebruiker, rechtstreeks naar een klant, of naar een ander systeem? |
| Menselijke beslissing of actie | Beoordeelt een mens de output voordat deze een effect heeft, of handelt het systeem zelfstandig verder? |
Deze kaart legt bloot waar gevoelige gegevens een systeem verlaten dat u niet beheert, waar een AI-systeem zelfstandig kan handelen zonder menselijke tussenkomst en waar due diligence van leveranciers zich eigenlijk op moet richten. Voor een eenvoudige, uitsluitend interne tool is dit een oefening van vijf minuten. Voor een tool die klantgegevens verwerkt en verbonden is met externe systemen, is het de basis van uw risicoclassificatie.
Stap 2: Classificeer tools op risico
Niet elke AI-tool heeft hetzelfde niveau van beheersing nodig. Een grammaticacontrole en een cv-screeningsysteem zijn beide AI, maar de governancevereisten verschillen volledig. Het onderstaande classificatiemodel gebruikt twee assen: welke gegevens de tool verwerkt en welke beslissingen de tool beïnvloedt.
Aanvullende classificatiedimensies
Naast de drie bovenstaande niveaus verfijnen vier aanvullende dimensies de classificatie en identificeren ze waar aanvullende beheersmaatregelen nodig zijn:
- Autonomieniveau: is de AI uitsluitend ondersteunend (stelt tekst op die door een mens wordt beoordeeld), adviserend (doet een aanbeveling), semi-geautomatiseerd (vereist menselijke goedkeuring om verder te gaan), of volledig geautomatiseerd (handelt zonder menselijke tussenkomst)? Behandel elk systeem dat zelfstandig een actie kan uitvoeren, een e-mail verzenden, een record bijwerken, een ander systeem of API aanroepen, standaard als hoog risico, ongeacht hoe gevoelig de onderliggende gegevens zijn: het risico bij een agentic systeem zit in wat het kan doen, niet alleen in wat het kan zien.
- Externe blootstelling: verwerkt de AI gegevens of produceert deze output die naar klanten, partners of het publiek gaat, of blijft alles volledig intern?
- Regelgevingsblootstelling: valt de use-case onder een sectorspecifiek regime (bijv. AFM, NEN 7510, DORA) of onder de EU AI Act voor organisaties met activiteiten in de EU?
- Gevoeligheid van gegevens: openbare en niet-persoonlijke gegevens, interne bedrijfsgegevens, persoonsgegevens, vertrouwelijk of juridisch beschermd materiaal, of bijzondere categorieën persoonsgegevens zoals gezondheids- of biometrische gegevens?
Een tool die op het primaire risiconiveau als gemiddeld wordt geclassificeerd, maar ook volledige automatisering, klantgerichte output en bijzondere categorieën persoonsgegevens omvat, moet in de praktijk als hoog risico worden behandeld. Gebruik de dimensies om de primaire classificatie kritisch te toetsen, niet om deze mechanisch te overschrijven.
Stap 3: Stel een AI-beleid voor acceptabel gebruik op
Een AI-beleid voor acceptabel gebruik bevat de regels die medewerkers volgen bij het gebruik van AI-tools op het werk. Het hoeft niet lang te zijn. Een beleid dat medewerkers in vijf minuten kunnen lezen en toepassen zonder om verduidelijking te vragen, is waardevoller dan een uitgebreid document dat niemand leest.
Wat moet erin staan
Wijs een eigenaar voor het beleid aan en stel een beoordelingsdatum vast. Gezien de snelheid waarmee AI-mogelijkheden en leveranciersvoorwaarden veranderen, is een beoordelingscyclus van zes maanden nuttiger dan een jaarlijkse.
Medewerkers mogen alleen AI-tools gebruiken die door de organisatie zijn goedgekeurd. Vertrouwelijke, persoonlijke, klant-, financiële, juridische of anderszins beperkte informatie mag niet in een AI-systeem worden ingevoerd tenzij de tool en use-case expliciet zijn goedgekeurd. AI-gegenereerde content moet door een daartoe bevoegde medewerker worden gecontroleerd voordat deze wordt gebruikt voor beslissingen met gevolgen of externe communicatie.