AI hoort in de boardroom, niet alleen bij IT

Waarom de Europese AI-koers vooral een governance-vraagstuk is, en wat bestuur, business en IT daar nu mee moeten

Europa heeft gekozen. Geen ongebreidelde technologierace, maar een risicogebaseerd stelsel met de EU AI Act als ruggengraat, en tegelijk beleid om de adoptie van AI juist te versnellen. Veel organisaties lezen dat nog steeds als een compliance-dossier voor juristen en IT. Dat is een denkfout. Wie AI-systemen inzet in kredietbeoordeling, werving, klantcontact of financiële processen, heeft niet alleen een technologievraagstuk. Die heeft ook een risico dat in het controleraamwerk thuishoort, en dus een vraagstuk voor bestuur en toezicht.

Uitstel is geen afstel

In juli 2026 is de AI Act voor het eerst gewijzigd via de Digital Omnibus. De krantenkoppen spraken van uitstel, en dat klopt deels. De zwaarste verplichtingen voor hoog-risicosystemen, zoals AI in werving en selectie of kredietbeoordeling, gelden nu vanaf december 2027. Voor AI in producten die al onder Europese productwetgeving vallen, zoals medische hulpmiddelen en machines, is dat augustus 2028.

Maar wie daaruit concludeert dat er tijd is om achterover te leunen, mist de kern. Het verbod op bepaalde AI-toepassingen, zoals social scoring en emotieherkenning op de werkvloer, geldt al sinds februari 2025. Met de Omnibus zijn er zelfs twee verboden bijgekomen, die vanaf december 2026 gelden. Het gaat om bepaalde schadelijke deepfakes van bestaande personen en om AI-gegenereerd misbruikmateriaal. Wie generatieve AI inzet, moet dus kunnen aantonen dat er passende waarborgen zijn. De regels voor general-purpose AI-modellen zijn niet uitgesteld. De transparantieverplichtingen gelden sinds augustus 2026. En misschien wel het belangrijkste, de manier waarop jouw organisatie AI vandaag adopteert, bepaalt hoe lastig 2027 wordt. Een hoog-risicosysteem dat nu ongedocumenteerd in productie gaat, is straks een kostbare inhaalslag.

Het uitstel is geen pauze. Het is een kans om het fundament goed te leggen in plaats van onder tijdsdruk te repareren.

AI past in het bestaande raamwerk, maar legt de gaten sneller bloot

Controllers en auditors kennen de logica van COSO, met een controleomgeving die de toon zet, een risicobeoordeling, beheersmaatregelen, informatievoorziening en monitoring. Die logica werkt voor AI precies zo, alleen worden de gaten sneller zichtbaar:

• Controleomgeving: wie heeft bepaald welke AI-tools medewerkers mogen gebruiken, en welke data daarin mag?

• Risicobeoordeling: weet je welke AI-toepassingen er in de organisatie draaien? Inclusief de AI-functies die leveranciers stilletjes aan bestaande software hebben toegevoegd?

• Beheersmaatregelen: wie controleert de output van een model dat meebeslist over klanten of medewerkers?

• Monitoring: hoe merk je dat een model na zes maanden anders presteert dan bij ingebruikname?

  
  

Het ongemakkelijke punt is dat in veel organisaties het antwoord op de eerste vraag al ontbreekt. En een bestuur dat een in-control-verklaring afgeeft zonder zicht op het eigen AI-landschap, verklaart iets wat het niet kan onderbouwen.

Wie is eigenaar?

AI-governance strandt opvallend vaak op eigenaarschap. IT ziet het als business-vraagstuk, de business als IT-vraagstuk, en compliance krijgt het op het bord zodra er iets misgaat.

Het Three Lines Model biedt hier duidelijkheid. De eerste lijn (de business die AI inzet) is eigenaar van het risico en van de beheersmaatregelen. De tweede lijn (risk, compliance, privacy) stelt kaders op en houdt toezicht. De derde lijn (internal audit) toetst onafhankelijk of het geheel werkt. Wie AI-risico’s alleen bij de tweede lijn parkeert, creëert een papieren tijger, met beleid maar zonder eigenaarschap op de plek waar de beslissingen vallen.

Artikel 4 van de EU AI Act: minder streng geformuleerd, niet minder relevant

Artikel 4 van de AI Act gaat over AI-geletterdheid van medewerkers. Met de Omnibus is de formulering verzacht. Organisaties moeten niet langer “zorgen voor een voldoende niveau”, maar maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen. Een gegarandeerd kennisniveau per medewerker wordt expliciet niet geëist.

Sommigen lezen dat als vrijbrief. Wij lezen het omgekeerd. Een inspanningsverplichting betekent dat je moet kunnen laten zien welke inspanning je hebt geleverd, waarom die passend was voor de rollen en risico’s in jouw organisatie, en hoe je dat bijhoudt. Dat is bij uitstek een governance-vraag. Eén verplichte e-learning voor iedereen is dan geen antwoord; een rolgebaseerd programma met vastlegging wel. Dat is niet alleen een kwestie van wetgeving. Een medewerker die vertrouwelijke klantdata in een publieke chatbot plakt, vormt voor veel organisaties vandaag een van de grootste AI-risico’s, en juist daar maakt geletterdheid die past bij de rol het verschil.

Van project naar managementsysteem

De natuurlijke reflex is een AI-project starten, met een inventarisatie, beleid en een afvinklijst. Maar AI verandert sneller dan een project kan bijhouden. Modellen worden bijgewerkt, leveranciers voegen functies toe, regelgeving wordt aangescherpt of herzien, zoals de recente wijziging via de Digital Omnibus liet zien.

Daarom zet Europa in op normering zoals ISO/IEC 42001, een managementsysteem voor AI (AIMS), gebouwd op dezelfde plan-do-check-act-cyclus die organisaties kennen uit ISO 9001 voor kwaliteit en ISO 27001 voor informatiebeveiliging. Het NIST AI RMF biedt daarnaast een praktisch denkraam met vier functies, namelijk governance inrichten, toepassingen en context in kaart brengen, risico’s meten, en ze beheersen. Je hoeft geen certificering na te streven om van beide te profiteren. De waarde zit in het principe dat AI-beheersing een doorlopend proces is, geen eenmalige exercitie.

De valkuil van het dikke adviesrapport

Veel organisaties reageren op de AI Act met een extern adviestraject. Dat levert een inventarisatie, een gap-analyse en een rapport op. Een half jaar later is het landschap veranderd en ligt het rapport in de kast.

Dat is geen kritiek op advies, maar op afhankelijkheid. Een organisatie die zelf geen AI-risico’s kan beoordelen, kan er ook geen eigenaar van zijn. Het doel moet zijn dat de kennis in de eigen organisatie landt. Dat betekent dat de business zelf een nieuwe AI-toepassing kan classificeren, dat risk management weet welke vragen te stellen, en dat internal audit kan toetsen of het werkt.

Vijf vragen voor bestuur en toezicht

1. Hebben we een actueel overzicht van alle AI-toepassingen, inclusief AI in software van leveranciers?

2. Welke daarvan vallen mogelijk in de hoog-risicocategorie, en wat moet er vóór december 2027 gebeuren?

3. Wie in de eerste lijn is eigenaar van elk AI-risico?

4. Kunnen we aantonen welke maatregelen we nemen voor AI-geletterdheid, per rol?

5. Hoe weten we dat een AI-systeem over een jaar nog doet wat het moet doen?

   
   

Twijfel je bij één of meer van deze vragen? Dan is AI nog geen volwaardig onderdeel van jullie governance, en is het tijd om dat te veranderen.

Hoe The Wise Sailor helpt

Wij werken vanuit strategie, governance en control, aangevuld met risicomanagement, operational excellence en responsible AI. AI is daarbij onderdeel van het geheel, geen doel op zich. Ons doel is dat jouw organisatie zelf de regie voert:

• AI-geletterdheid die past bij de rol: praktijkgerichte incompany-trainingen en e-learnings over veilig en verantwoord gebruik van AI-systemen, met aantoonbare vastlegging.

• Fractional consulting: tijdelijke versterking om kaders te bouwen en kennis over te dragen, zodat je team het daarna zelf draagt.

• AI-governance en managementsysteem: inrichting van een AIMS volgens ISO/IEC 42001, ingebed in je bestaande risk- en controlstructuur en Three Lines-verdeling.

  
  

Wil je verantwoord innoveren met AI en zelf de regie houden? Neem contact op en ontdek hoe we je organisatie helpen met AI-strategie, governance en control, zodat je team het daarna zelf kan.