Governance die meebeweegt: waarom AI-beheersing innovatie moet versnellen in plaats van remmen
Bijgewerkt op: 3 dagen geleden
Generatieve AI en geautomatiseerde besluitvorming vinden in hoog tempo hun weg naar de werkvloer. Dat legt een spanning bloot die in veel directiekamers onbenoemd blijft. Het bestuur wil de strategische kansen benutten en de lijn wil snelheid. Risk, compliance en audit willen kunnen aantonen dat het beheerst gebeurt, in lijn met de EU AI Act en ISO/IEC 42001.
Vaak wordt dit voorgesteld als een keuze tussen innovatie en controle. Dat is een denkfout. Het probleem is niet dat er te veel beheersing is. Het probleem is dat de beheersing is ontworpen voor een ander soort risico.
Waarom het klassieke model vastloopt
Traditionele frameworks voor governance en interne beheersing rusten op drie stille aannames. Bij AI gaan die niet meer op.
1. Het beheerste object is stabiel. Een ERP-proces verandert na go-live nauwelijks, een AI-systeem wel. Leveranciers updaten hun modellen, data verschuift en prompts en configuraties worden aangepast. De output kan geleidelijk afwijken zonder dat iemand bewust iets heeft gewijzigd. Een beheersmaatregel die bij ingebruikname is getoetst, zegt weinig over het gedrag van het systeem drie maanden later.
2. Periodieke toetsing is voldoende. De jaarlijkse toetsing van opzet, bestaan en werking geeft houvast bij stabiele processen. Bij systemen die maandelijks veranderen, toets je een momentopname van iets dat al niet meer bestaat. Het resultaat is een in-control-verklaring die op papier klopt, maar weinig zegt over het actuele risicoprofiel.
3. Beheersing is een centrale toets vooraf. In het klassieke model beoordeelt een centrale functie, vaak de tweede lijn, elk initiatief vooraf. Bij een handvol projecten werkt dat. Bij tientallen AI-toepassingen, waarvan de meeste een laag risico hebben, ontstaat een bottleneck. Bovendien blijft het eigenaarschap van de risico’s dan ten onrechte buiten de eerste lijn liggen.
Twee faalpatronen
In de praktijk lopen organisaties in één van twee valkuilen.
De rem op innovatie. Het goedkeuringsproces is zo zwaar dat initiatieven maanden stilliggen. Medewerkers wijken uit naar eigen tools: shadow AI. Zo leidt strenge governance juist tot minder grip op risico’s, omdat het werkelijke gebruik buiten beeld raakt. Je kunt geen risico beheersen in een systeem waarvan je niet weet dat het bestaat.
Schijnzekerheid. De organisatie laat een extern bureau een AI-beleid, een risicoraamwerk en een uitgebreide controlelijst opstellen. Op papier is alles geregeld. Maar beleid zonder werkende beheersmaatregelen is papieren governance. De opzet staat, het bestaan is twijfelachtig en de werking is nooit getoetst. Zodra de adviseurs vertrekken, verdwijnt ook de kennis om het raamwerk bij te houden. Technologie, regelgeving en risico’s bewegen intussen gewoon door.
Beide patronen hebben dezelfde oorzaak: beheersing wordt behandeld als iets wat na of naast het werk gebeurt, in plaats van als onderdeel ervan.
Het alternatief: beheersing als stuurmechanisme
Goede governance is geen rem maar een roer. Ze zorgt ervoor dat de organisatie bewust kiest welke kansen ze benut, binnen een risicobereidheid die het bestuur expliciet heeft vastgesteld.
Voor AI vraagt dat om een continu managementsysteem in plaats van statische controlepunten. ISO/IEC 42001 biedt daarvoor een structuur: een AI-managementsysteem (AIMS) dat via de Plan-Do-Check-Act-cyclus doorlopend wordt geëvalueerd en verbeterd. Voor de risicokant sluit het NIST AI Risk Management Framework daar goed op aan, met de functies Govern, Map, Measure en Manage als praktische leidraad.
Concreet gaat het om vijf bouwstenen.
1. Begin bij strategie, niet bij technologie
AI-governance die losstaat van de strategie wordt een compliance-oefening. Vertaal daarom eerst de strategische doelen naar een portfolio van AI-toepassingen. Welke toepassing draagt bij aan welke doelstelling, en welke waarde verwachten we ervan? Pas dan wordt zichtbaar welk risico het waard is om te lopen. Strategy deployment en AI-governance horen aan dezelfde tafel.
2. Maak risicobereidheid expliciet en beheersing proportioneel
Niet elke toepassing verdient hetzelfde regime. Een interne tool die vergadernotities samenvat, is iets anders dan een model dat kredietaanvragen beoordeelt of sollicitanten selecteert.
Leg vast wat de risicobereidheid van de organisatie is en vertaal die naar een triage met twee routes:
Snelle route: voor toepassingen met een laag risico, met standaardmaatregelen.
Zwaarder traject: voor toepassingen met grote impact op mensen of op de organisatie, inclusief een AI-impactbeoordeling (ISO/IEC 42001, clausule 6.1.4).
Zo versnelt governance het merendeel van de initiatieven en concentreert ze de aandacht waar het telt.
3. Bouw beheersing in het proces in (governance by design)
Beheersing hoort in het ontwikkel- en implementatieproces zelf te zitten, niet in een controle achteraf. Denk aan:
vaste momenten in de levenscyclus voor data- en privacytoetsing;
vastgelegde acceptatiecriteria vóór livegang;
logging waarmee je beslissingen achteraf kunt reconstrueren.
Vervang periodieke steekproeven waar mogelijk door continue monitoring van output, afwijkingen en incidenten. Dat is effectiever. Het levert bovendien het bewijs dat audit en toezichthouders vragen, zonder extra werk achteraf.
4. Leg eigenaarschap in de eerste lijn
Volgens het Three Lines Model ligt het eigenaarschap van risico’s bij het management dat de toepassing gebruikt. Voor AI betekent dat: elk systeem heeft een eigenaar die verantwoordelijk is voor het gebruik, de prestaties en de risico’s. De tweede lijn stelt kaders, ondersteunt en houdt toezicht. De derde lijn geeft onafhankelijke zekerheid over de werking van het geheel. Wie dit omdraait, maakt van risicomanagement een afdeling in plaats van een verantwoordelijkheid.
5. Investeer in AI-geletterdheid als voorwaarde, niet als vinkje
Artikel 4 van de EU AI Act verplicht aanbieders en gebruiksverantwoordelijken om maatregelen te nemen die de AI-geletterdheid van hun medewerkers ondersteunen. Sinds de Digital Omnibus van juli 2026 is die verplichting zachter geformuleerd: organisaties hoeven geen specifiek kennisniveau per persoon meer te garanderen.
Wie dat leest als een reden om minder te doen, mist het punt. Zonder voldoende begrip kunnen medewerkers geen zinvol menselijk toezicht uitoefenen. Voor hoog-risicosystemen is dat toezicht vereist onder artikel 14, en dat vereiste is niet afgezwakt; alleen de ingangsdatum is voor de meeste systemen verschoven naar december 2027. Ook bestuurders en commissarissen kunnen zonder dat begrip hun toezichthoudende rol niet waarmaken.
Geletterdheid is de basis waarop elke andere beheersmaatregel rust. Beheersing werkt pas echt wanneer die kennis permanent in de organisatie aanwezig is, en niet bij een externe adviseur ligt.
Drie vragen voor de bestuurstafel
Wil je weten waar je organisatie staat? Begin met deze drie vragen:
Hebben we een volledig en actueel overzicht van de AI-systemen die in gebruik zijn, inclusief de tools die medewerkers zelf zijn gaan gebruiken?
Is voor elk systeem duidelijk wie eigenaar is van het gebruik en de risico’s? En past dat risico binnen onze vastgestelde risicobereidheid?
Kunnen we aantonen dat onze beheersmaatregelen werken, en niet alleen dat ze op papier bestaan?
Is het antwoord op één van deze vragen “nee” of “dat weten we niet zeker”, dan ligt daar de eerste stap.
Houd zelf het roer in handen
Bij The Wise Sailor geloven we dat goede governance niet te koop is in de vorm van een rapport. Ze moet in de organisatie zelf groeien. Daarom richten we ons op het overdragen van kennis, niet op het creëren van afhankelijkheid.
We verbinden strategie, corporate governance, interne beheersing, risicomanagement, operational excellence en AI-integratie tot één samenhangend geheel. Via incompany maatwerksessies, masterclasses, e-learnings en fractional consulting helpen we je eigen team een AI-managementsysteem op te bouwen. Dat systeem sluit aan op ISO/IEC 42001, de EU AI Act en het NIST AI RMF, en het beweegt mee met je organisatie.
Wil je ontdekken hoe jouw organisatie innovatie kan versnellen zonder de controle te verliezen? Neem vrijblijvend contact op met The Wise Sailor.
Opmerkingen