Het verborgen risico van AI Governance: Waarom afhankelijkheid van externe adviseurs je organisatie kwetsbaar maakt

Stel dat in een leveranciersbeoordeling een kritieke functie volledig bij één externe partij ligt, en dat er intern niemand is die het werk kan overnemen. Elke CFO zou dat direct als risico markeren. Toch hebben veel organisaties hun AI-governance precies zo ingericht.

Die keuze is begrijpelijk. AI-toepassingen komen sneller in processen terecht dan de organisatie ze kan doorgronden: een copilot hier, een automatische factuurclassificatie daar, een klantagent die zelfstandig beslissingen voorbereidt. Tegelijk verandert het speelveld onder de EU AI Act. Ook groeit de verwachting dat organisaties hun AI-gebruik net zo beheerst inrichten als hun financiële verslaglegging. Wie dan snel zekerheid wil, belt een adviesbureau. Een half jaar later liggen er een gedegen rapport, een beleidsdocument en een risicoregister. En er is een organisatie die het geheel niet zelf kan onderhouden.

Onze stelling: bij AI-governance is externe afhankelijkheid zelf een van de grootste risico’s. Dat komt niet doordat adviseurs slecht werk leveren. Het komt doordat dit onderwerp zich niet laat uitbesteden.

Verantwoordelijkheid kun je niet inhuren

Het bestuur is verantwoordelijk voor risicobeheersing en interne beheersing, en de RvC houdt daar toezicht op. Dat geldt onverkort voor AI. Stel dat een AI-toepassing een verkeerde kredietbeslissing voorbereidt, vertrouwelijke data lekt of een selectieproces scheeftrekt. Een extern rapport verandert dan niets aan wie daarop aanspreekbaar is. Uitbesteding vergroot alleen de afstand tussen wie verantwoordelijk is en wie begrijpt wat er gebeurt.

AI-governance is bovendien meer dan compliance. Het bepaalt waar de organisatie AI wel en niet inzet, en tegen welk risico. Dat zijn strategische keuzes. Ze horen aan de bestuurstafel thuis, niet in een bijlage van een adviesrapport.

Drie manieren waarop afhankelijkheid je kwetsbaar maakt

1. Een beheersmaatregel die niemand kan uitvoeren, is geen beheersmaatregel

Controllers en auditors kennen het onderscheid tussen opzet en werking. Een adviesrapport levert hooguit een goede opzet: beleid, rollen en een risicomatrix. Werking ontstaat pas als mensen in de organisatie de maatregelen dagelijks toepassen. Ze moeten afwijkingen herkennen en weten wanneer ze moeten escaleren.

Vertrekt de adviseur, dan verdwijnt ook het begrip van waarom een maatregel zo is ontworpen. Wat achterblijft is papieren beheersing, en die houdt bij de eerste serieuze toets geen stand.

2. Je risicobeoordeling veroudert sneller dan je hem kunt laten herhalen

Een jaar geleden ging een AI-risicobeoordeling over chatbots. Vandaag gaat hij over agents die zelfstandig taken uitvoeren in ERP, CRM en mailbox. Hij gaat ook over leveranciers die ongemerkt AI-functionaliteit toevoegen aan software die je al jaren gebruikt. Je risicoprofiel verandert dus niet per project, maar per release.

Moet elke wijziging langs een extern bureau, dan ontstaan er twee problemen. Je reageert te laat, en de advieskosten worden een vaste kostenpost in plaats van een investering. Wendbare AI-governance betekent dat je eigen mensen een nieuwe toepassing beoordelen in de week dat hij opduikt, niet een kwartaal later.

3. AI-geletterdheid koop je niet in

De EU AI Act verplicht organisaties die AI inzetten om maatregelen te nemen die de AI-geletterdheid van hun medewerkers ondersteunen. Sinds de recente aanpassing van de wet is die plicht proportioneler geformuleerd. Je hoeft niet meer voor ieder individu een bepaald niveau te garanderen.

Wie dat als versoepeling leest, mist het punt. De wet legt het oordeel over wat passend is juist nadrukkelijker bij de organisatie zelf. Welke medewerker welke kennis nodig heeft, hangt af van jouw toepassingen, jouw risico’s en jouw processen. Dat oordeel kun je laten voorbereiden, maar niet laten vellen. Ook het beste rapport helpt niet bij de medewerker die vanmiddag klantdata in een openbaar taalmodel plakt.

De vraag die bestuur en RvC zouden moeten stellen

De vraag is niet óf je externe expertise inschakelt. Specialistische kennis, een onafhankelijke blik en tijdelijke capaciteit kunnen veel waarde hebben. De vraag is wat er overblijft als de adviseur weg is. Een paar toetsvragen:

• Wie in onze organisatie kan zonder externe hulp uitleggen welke AI-toepassingen we gebruiken en welke risico’s daarbij horen?

• Is er in de lijn een eigenaar van AI-risico’s, en weet de risk- en compliancefunctie hoe ze die eigenaar kritisch kan bevragen?

• Kunnen we een nieuwe AI-toepassing beoordelen en goedkeuren zonder een nieuw adviestraject?

• Toetst interne audit of de AI-beheersing werkt, of alleen of er beleid bestaat?

• Als ons adviesbureau morgen stopt, wat valt er dan om?

• 
  

Heb je op meer dan één van deze vragen geen helder antwoord, dan heb je een continuïteitsrisico.

Van adviesrapport naar eigen managementsysteem

AI-governance is geen project met een einddatum. Het is een cyclus die in de lijn moet draaien. Een AI-managementsysteem (AIMS) volgens ISO/IEC 42001 is daarvoor een logisch fundament, juist omdat de norm uitgaat van eigenaarschap. Hij vraagt om betrokkenheid van de top, toegewezen rollen en aantoonbare competenties. Met de bekende plan-do-check-act-cyclus leert de organisatie zelf om:

• AI-toepassingen te inventariseren en nuchter vast te stellen hoe volwassen de organisatie daarin is;

• per toepassing de risico’s te beoordelen op betrouwbaarheid, bias, privacy (AVG) en informatiebeveiliging, en die te verbinden met het bestaande risicomanagement en de interne beheersing;

• incidenten te registreren, interne audits uit te voeren en het systeem bij te sturen als technologie of regelgeving verandert.

• 
  

Het belangrijkste woord in dat rijtje is “zelf”. Een managementsysteem dat alleen een extern bureau begrijpt, is niet het managementsysteem van de organisatie.

Hoe The Wise Sailor werkt

Wij vinden dat goed advies zichzelf overbodig moet maken. Daarom helpen we organisaties hun eigen AI-managementsysteem op te zetten en in beheer te nemen. Kennisoverdracht is daarbij de kern, geen bijproduct. We werken met incompany-sessies op maat, trainingen en e-learnings. Daarnaast bieden we fractional consulting: ervaren professionals die tijdelijk in jouw team meedraaien, tot dat team het zelf kan.

We kennen beide kanten van de tafel, omdat we zelf als consultant én als opdrachtgever hebben gewerkt. Daardoor weten we hoe afhankelijkheid ontstaat, en hoe je die voorkomt.

Hoe zelfstandig staat jouw organisatie ervoor op AI-governance? Neem contact op met The Wise Sailor voor een kennismaking over onze trainingen, masterclasses en fractional consulting.