AI-governance is geen eiland

Wie vandaag aan de bestuurstafel zit, heeft het al vaak gehoord. AI vraagt om governance. Dat klopt. Maar de manier waarop veel organisaties daar invulling aan geven, mist de kern. AI-governance wordt behandeld als een nieuw, apart vakgebied, met een AI-beleid van de IT-afdeling, een juridische check op de EU AI Act en misschien een ethische commissie. Het resultaat is een eiland naast de bestaande risicobeheersing, terwijl AI-risico’s dwars door bestaande processen lopen.

Onze stelling is eenvoudig. AI-governance is geen nieuw vakgebied, maar governance zoals je die al kent, toegepast op een technologie die sneller verandert dan je beheersingsmaatregelen. Organisaties die dat begrijpen, hoeven geen nieuw bouwwerk neer te zetten. Ze moeten hun bestaande governance-, risk- en controlstructuur volwassen genoeg maken om AI aan te kunnen.

AI zit al in je processen, of je dat nu hebt besloten of niet

Veel bestuurders onderschatten hoeveel AI er al in hun organisatie draait. Niet alleen de chatbot die marketing heeft aangeschaft, maar ook de AI-functionaliteit die stilletjes is meegekomen met een update van het ERP-pakket, het CRM-systeem of de software voor crediteurenverwerking. Daarbovenop komt het gebruik dat niemand heeft goedgekeurd, zoals medewerkers die contracten, klantdata of conceptcijfers in een publieke AI-tool plakken omdat het sneller werkt.

Voor de CFO en de controller is dat geen abstract risico. Als AI wordt gebruikt bij het matchen van facturen, het voorstellen van journaalposten, het opstellen van forecasts of het beoordelen van kredietwaardigheid, dan raakt het direct de betrouwbaarheid van de financiële informatie. De vraag “welke AI gebruiken wij eigenlijk, en waarvoor?” is daarmee geen IT-vraag, maar de eerste stap van een risicoanalyse. Wie die inventaris niet heeft, kan geen geloofwaardige uitspraak doen over de beheersing ervan.

Waar het in de praktijk misgaat

Eigenaarschap ligt op de verkeerde plek. AI-risico’s worden vaak geparkeerd bij IT, legal of een speciaal aangestelde AI-officer. Maar de risico’s ontstaan in de business, bij de afdeling die een model inzet om beslissingen te nemen of te ondersteunen. In termen van het Three Lines Model hoort het eigenaarschap in de eerste lijn. Risk en compliance stellen kaders en houden toezicht, internal audit toetst onafhankelijk. Dat principe is niet nieuw, maar wordt bij AI opvallend vaak vergeten.

Beleid zonder beheersing. Een AI-beleid dat zegt dat medewerkers “verantwoord” met AI moeten omgaan, is geen beheersingsmaatregel. Een volwassen aanpak vertaalt beleid naar concrete controls. Wie mag een AI-toepassing in gebruik nemen, op basis van welke risicobeoordeling en met welke menselijke controle op de uitkomst? En hoe wordt vastgesteld dat het model blijft doen wat het moet doen? Wie met COSO werkt, herkent de logica dat een beheersingsmaatregel zonder monitoring en evaluatie een intentie blijft.

Compliance als einddoel. De EU AI Act is belangrijk en dwingend. De verplichting tot AI-geletterdheid van medewerkers geldt al sinds februari 2025, al is die met de Digital Omnibus zachter geformuleerd. De zwaardere eisen voor hoog-risicosystemen worden gefaseerd ingevoerd, voor het grootste deel vanaf december 2027. Maar wie AI-governance alleen inricht om aan de wet te voldoen, mist het grootste deel van het risicoprofiel. De meeste AI-toepassingen in een gemiddelde organisatie vallen niet in de hoog-risicocategorie van de wet, en kunnen toch leiden tot datalekken, verkeerde beslissingen, reputatieschade of fouten in de verslaggeving. Compliance is een ondergrens, geen strategie.

Verantwoording zonder zicht op AI. Voor bestuur en toezicht ligt hier een concrete opdracht. De Corporate Governance Code vraagt het bestuur om verantwoording af te leggen over de werking van de interne risicobeheersing. Als AI een wezenlijk deel van de bedrijfsvoering raakt, hoort het in die verantwoording thuis. Een bestuurder hoeft geen technische kennis van taalmodellen te hebben, maar moet wel de juiste vragen kunnen stellen. Weten we welke AI we gebruiken? Wie is eigenaar van de risico’s? Hoe weten we dat de beheersing werkt?

Wat een volwassen aanpak wel inhoudt

Goede AI-governance begint niet bij een framework, maar bij een paar nuchtere vragen die controllers en risk managers direct herkennen:

1. Inventariseer. Breng in kaart welke AI-toepassingen er zijn, inclusief de AI die in bestaande software is ingebouwd.

2. Classificeer. Beoordeel per toepassing de impact op klanten, op besluitvorming, op financiële informatie en op wettelijke verplichtingen.

3. Wijs eigenaren aan. Leg het eigenaarschap in de eerste lijn, met een duidelijke rol voor de tweede en derde lijn.

4. Integreer. Neem AI-risico’s op in het bestaande risicoregister, de bestaande control-cyclus en de bestaande rapportage aan bestuur en RvC. Geen parallel systeem.

5. Blijf meten. AI-modellen veranderen, leveranciers voeren updates door, wetgeving evolueert. Een eenmalige risicobeoordeling veroudert snel.

   
   

Internationale standaarden helpen om dit gestructureerd te doen. ISO/IEC 42001 biedt een managementsysteem voor AI dat aansluit op de bekende Plan-Do-Check-Act-cyclus en op andere ISO-managementsystemen die veel organisaties al hebben. Het NIST AI Risk Management Framework is bruikbaar als praktische leidraad voor het identificeren, meten en beheersen van AI-risico’s. Maar het framework is een hulpmiddel, geen doel. De waarde zit in de verankering in je eigen organisatie.

Kun je het zelf?

Juist bij AI is afhankelijkheid van externe adviseurs riskant. De risico’s veranderen per kwartaal, niet per jaar, en een governance-structuur die alleen werkt zolang er consultants aan tafel zitten, is niet robuust. Als bestuurder zou je jezelf daarom de vraag moeten stellen of je eigen organisatie over een jaar zelfstandig een nieuwe AI-toepassing kan beoordelen, de risico’s kan afwegen en de beheersing kan aantonen.

Kennis overdragen, niet vasthouden

The Wise Sailor helpt organisaties om AI-governance in te richten als onderdeel van hun bestaande governance-, risk- en controlstructuur, en om die vervolgens zelf in beheer te nemen. Wij werken vanuit de praktijk van strategie, governance en control, aangevuld met risicomanagement, en vertalen wetgeving en standaarden als de EU AI Act, ISO/IEC 42001 en het NIST AI RMF naar werkbare afspraken en controls.

Dat doen we via fractional consulting, incompany-trainingen, masterclasses en e-learnings. Ons uitgangspunt is dat je ons na afloop niet meer nodig hebt voor de dagelijkse uitvoering. Je eigen mensen moeten de kennis in huis hebben om AI verantwoord in te zetten, te toetsen en bij te sturen.

Klaar voor de volgende stap?

Wil je weten hoe volwassen je organisatie is in het beheersen van AI, of wil je bestuur, business en bedrijfsvoering hierop goed voorbereiden? Neem gerust contact op, we denken graag met je mee.