Waarom uw organisatie een AI Management Systeem nodig heeft, en waarom het een bestuursvraagstuk is

In de meeste organisaties wordt AI al volop gebruikt, en vaak weet niemand precies waar. Een controller laat een taalmodel variantieanalyses schrijven. Sales gebruikt een tool die offertes genereert. Een leverancier heeft stilletjes een AI-module aan het ERP-pakket toegevoegd. Het probleem is meestal niet dat AI wordt ingezet. Het probleem is dat niemand er eigenaar van is.

Dat is geen technisch probleem. Het is een governanceprobleem. En dat hoort daarom op de agenda van het bestuur, de CFO en de raad van commissarissen, niet alleen bij IT.

Ongestuurde AI is het echte risico

De bekende risico’s van AI zijn reëel: datalekken, bias, hallucinaties, intellectueel eigendom dat buiten de deur belandt. Het onderliggende risico is fundamenteler. Organisaties nemen beslissingen op basis van systemen die ze niet hebben geïnventariseerd, niet hebben beoordeeld en waarvan ze de werking niet kunnen uitleggen.

Elke CFO kent het principe: je kunt niet beheersen wat je niet kent. Toch ontbreekt bij veel organisaties zelfs een basaal overzicht van welke AI-toepassingen in gebruik zijn, wie ze heeft goedgekeurd en welke beslissingen erop leunen. Zolang dat overzicht er niet is, kan het bestuur niet geloofwaardig verklaren dat het in control is.

Wat een AI Management System is, en wat het niet is

Een AI Management System (AIMS) is het geheel van beleid, rollen, processen en controles waarmee een organisatie AI verantwoord selecteert, ontwikkelt, inzet en bewaakt. ISO/IEC 42001 biedt hiervoor de internationale norm. De opbouw is herkenbaar voor wie ISO 27001 kent: een managementsysteem met een Plan-Do-Check-Act-cyclus, met als doel continue verbetering en niet een eenmalige toets.

Twee misverstanden zijn het benoemen waard.

Een AIMS is geen IT-beleid. Het gaat over besluitvorming, verantwoordelijkheden en risicobereidheid. Daarom hoort het ook in de tweede en derde lijn: risk, compliance en internal audit moeten het kunnen toetsen.

Een ISO 42001-certificaat is geen vrijbrief voor de EU AI Act. De norm helpt je om aantoonbaar te werken, maar de AI Act stelt eigen eisen die afhangen van je rol (ontwikkelaar of gebruiker) en het risiconiveau van de toepassing. Wie denkt dat certificering compliance automatisch regelt, zal teleurgesteld worden.

Waarom dit op de bestuurstafel hoort

1. De verantwoording ligt bij het bestuur. De Corporate Governance Code vraagt het bestuur om de belangrijkste risico’s te kennen en te beheersen, en de RvC om daarop toezicht te houden. AI valt daar inmiddels onder. Een bestuur dat een in-control-verklaring tekent zonder zicht op het AI-gebruik in de organisatie, neemt een risico dat het zelf niet heeft gewogen.

2. AI raakt je interne beheersing. Zodra AI-output terechtkomt in forecasts, journaalposten, fraudesignalering of klantbeslissingen, wordt het onderdeel van je controleomgeving. Wie valideert de output? Wat gebeurt er als een model ongemerkt anders gaat presteren? Welke controle steunt op informatie die een AI-systeem heeft gegenereerd? Dit zijn klassieke vragen uit COSO, toegepast op een nieuw soort systeem. Controllers en auditors die ze nu niet stellen, krijgen ze later van de externe accountant.

3. Regelgeving vraagt aantoonbaarheid, niet goede bedoelingen. De EU AI Act vraagt organisaties onder meer om te zorgen voor voldoende AI-geletterdheid bij medewerkers (artikel 4, al van kracht sinds februari 2025), om toepassingen naar risico in te delen en om bij hoog-risicotoepassingen documentatie, menselijk toezicht en monitoring op orde te hebben. Dat lukt alleen als je weet wat je hebt en wie waarvoor verantwoordelijk is. Precies dat regelt een AIMS.

4. Risicobeheer moet het tempo bijhouden. AI-toepassingen veranderen per kwartaal, soms per week. Een risicoanalyse die eens per jaar wordt herzien, loopt per definitie achter. Een goed ingericht AIMS koppelt nieuwe toepassingen aan een vaste route: impact assessment, toetsing aan de risicobereidheid, goedkeuring, monitoring. Zo wordt risicobeheer een onderdeel van innovatie in plaats van een rem erop.

Het grootste risico: een AIMS dat in de la verdwijnt

Veel organisaties besteden AI-governance volledig uit. Er komt een beleidsdocument, een risicomatrix en een presentatie voor het bestuur. Een jaar later is het beleid verouderd, zijn de toepassingen veranderd en is de kennis vertrokken met de adviseurs.

Een managementsysteem werkt alleen als de organisatie het zelf draait. De eerste lijn moet AI-risico’s kunnen herkennen, de tweede lijn moet kunnen toetsen en uitdagen, en internal audit moet kunnen beoordelen of het systeem werkt. Dat vraagt eigenaarschap en kennis in huis, niet een dikker rapport.

Onze aanpak: bouwen en overdragen

The Wise Sailor helpt organisaties een AI Management System op te zetten dat ze zelf kunnen beheren. Wij combineren governance, interne beheersing, risicomanagement en strategie, omdat AI-governance precies op dat snijvlak zit. Via ons AI Governance Mastery Framework, praktijkgerichte trainingen en fractional consulting bouwen we samen met uw team. Het doel is dat uw eigen mensen na afloop risico’s beoordelen, controles inrichten en het systeem bijsturen, ook als de technologie en de regelgeving weer veranderen.

Drie vragen voor uw volgende bestuurs- of RvC-vergadering

• Hebben we een actueel overzicht van alle AI-toepassingen in onze organisatie, inclusief AI in software van leveranciers?

• Wie is eigenaar van elk van die toepassingen, en wie toetst onafhankelijk of de risico’s beheerst worden?

• Welke besluiten en welke cijfers in onze rapportages steunen op AI-output, en hoe weten we dat die output klopt?

  
  

Als het antwoord op een van deze vragen “dat weten we niet precies” is, is dit het moment om te beginnen.

Neem contact op met The Wise Sailor voor een kennismaking over onze trainingen, masterclasses en fractional consulting op het gebied van AI-governance.