AI verandert de manier waarop organisaties werken en beslissingen nemen. Steeds vaker speelt AI een rol in kernprocessen, zoals klantcontact en marketing, maar ook in HR, compliance en besluitvorming. Die ontwikkeling biedt duidelijke kansen, maar brengt ook verantwoordelijkheid met zich mee.
Tegelijkertijd merken wij bij SenS juristen dat veel organisaties nog maar beperkt zijn begonnen met het structureel inrichten van hun AI governance. De naleving van de EU AI Act wordt vaak als complex en abstract ervaren. Verantwoordelijkheden zijn regelmatig onduidelijk, bijvoorbeeld wanneer een DPO AI-compliance er min of meer bij krijgt, terwijl een samenhangende AI-risicomanagementstrategie ontbreekt. Ook training en bewustwording op het gebied van AI blijven in veel organisaties achter.
Dat is begrijpelijk. AI ontwikkelt zich snel en is laagdrempelig beschikbaar. Maar juist daardoor is afwachten geen neutrale keuze meer.
Wat bedoelen we met AI governance?
AI governance wordt vaak verward met een AI-beleid of een set ethische principes. In werkelijkheid gaat het om iets breders en vooral praktischers: de manier waarop een organisatie AI bestuurbaar maakt. Je kunt AI governance het beste zien als het geheel aan kaders, processen en verantwoordelijkheden waarmee AI-risico’s worden beheerst, vertrouwen wordt opgebouwd en compliance aantoonbaar wordt gemaakt.
AI governance zorgt ervoor dat AI-systemen:
- rechtmatig worden ingezet,
- beheersbare risico’s hebben,
- uitlegbaar blijven,
- en aansluiten bij maatschappelijke en organisatorische waarden.
Het gaat dus niet alleen om wat technisch mogelijk is, maar om wat een organisatie verantwoord vindt en hoe die keuzes worden geborgd in besluitvorming en dagelijkse praktijk.
Waarom afwachten geen optie meer is
Tot voor kort konden organisaties AI governance nog behandelen als iets voor later. Eerst experimenteren, pilots draaien en kijken hoe de technologie zich ontwikkelt. Die ruimte verdwijnt snel.
Het regelgevend landschap is fundamenteel veranderd. De EU AI Act is op 1 augustus 2024 in werking getreden. Dat betekent niet dat alle verplichtingen direct gelden, maar wel dat het juridische kader vastligt. De eerste concrete verplichtingen, waaronder verboden toepassingen en eisen rond AI-vaardigheden (AI literacy), zijn al vanaf februari 2025 van toepassing. In augustus 2025 volgen governanceverplichtingen voor general-purpose AI-modellen. In augustus 2026 wordt een groot deel van de verplichtingen voor high-risk AI-systemen handhaafbaar (tenzij de Digitale Omnibus wordt aangenomen).
Voor organisaties die actief zijn op de Europese markt, of Europese klanten bedienen, is AI governance daarmee geen toekomstvraagstuk meer. Wie nu niets doet, loopt het risico straks onder grote tijdsdruk te moeten handelen, terwijl AI-systemen al operationeel zijn en lastig te corrigeren blijken.
Maar regelgeving is niet de enige reden om nu stappen te zetten.
AI-risico’s zijn niet alleen juridisch, maar ook reputatiegevoelig
Naast juridische en compliance-risico’s speelt reputatie een steeds grotere rol. AI-systemen laten sporen na. Beslissingen, interacties en outputs zijn niet onzichtbaar en blijken in toenemende mate toetsbaar (door bijvoorbeeld toezichthouders, journalisten en het publiek).
Organisaties worden aangesproken op hoe AI wordt ingezet, wat ermee gebeurt en welke informatie daaruit voortvloeit. Een gebrek aan AI governance wordt daarmee niet alleen een complianceprobleem, maar ook een reputatierisico. Vertrouwen dat eenmaal is beschadigd, laat zich lastig herstellen.
Effectieve AI governance begint met een inventarisatie
AI governance begint met inzicht. Als organisatie kun je geen risico’s beheersen van AI-toepassingen waarvan je niet weet dat ze bestaan. Toch ontbreekt in veel organisaties een volledig overzicht van waar, hoe en door wie AI wordt ingezet, zeker wanneer AI via leveranciers of generatieve tools wordt gebruikt.
Een AI-inventarisatie vormt daarom de basis van operationele AI governance. Zij maakt zichtbaar welke AI-systemen in gebruik zijn, met welk doel en onder welke verantwoordelijkheid. Dat inzicht is noodzakelijk om AI-toepassingen risicogestuurd te beoordelen en proportionele governance toe te passen.
Van daaruit kan governance worden doorgetrokken over de hele AI-levenscyclus. Risico’s worden niet alleen vooraf, maar ook tijdens gebruik en bij wijzigingen opnieuw gewogen. Zo vormt inventarisatie het fundament voor aantoonbare en toekomstbestendige AI governance.
Het opzetten van een AI governance framework
Voor veel organisaties is het opzetten van een AI governance framework de eerste concrete stap richting gestructureerde AI governance. Zo’n framework brengt duidelijkheid in werkafspraken en samenwerkingsmodellen tussen AI- en datateams, legal, inkoop en bestuur. Daarmee wordt voorkomen dat AI governance versnipperd raakt of afhankelijk wordt van individuele initiatieven.
Een goed AI governance framework biedt structuur en processen voor de verantwoorde ontwikkeling, inzet en het gebruik van AI binnen de organisatie. Het helpt om AI governance niet als iets extra’s te behandelen, maar te laten aansluiten op bestaande corporate governance-, risicomanagement- en complianceprocessen. Juist die inbedding maakt governance uitvoerbaar en schaalbaar.
Bij het ontwerpen van een framework moet rekening worden gehouden met toepasselijke regelgeving, zoals de EU AI Act en de AVG, maar vaak ook met relevante standaarden en best practices, waaronder ISO-normen en internationale AI-frameworks. Deze kaders bieden houvast, maar vragen altijd om een vertaling naar de specifieke context van de organisatie.
Dat is des te belangrijker nu AI zich steeds breder door organisaties verspreidt. Generatieve AI heeft de toegang tot AI gedemocratiseerd, waardoor gebruik niet langer beperkt is tot gespecialiseerde teams. In zo’n omgeving is een consistent en herkenbaar governance-framework essentieel om verantwoord AI-gebruik te borgen, zonder innovatie onnodig te belemmeren.
Hoe ziet AI governance eruit?
AI governance is geen vast stramien en ook geen kant-en-klaar model dat voor elke organisatie hetzelfde werkt. De inrichting hangt af van factoren zoals sector, omvang, type AI-toepassingen en de rol die de organisatie vervult, bijvoorbeeld als ontwikkelaar, deployer, distribiteur of afnemer. Governance is daarom altijd maatwerk.
Dat neemt niet weg dat volwassen AI governance in de praktijk terug te voeren is op een aantal herkenbare bouwstenen:
- AI-beleid: een richtinggevend kader dat vastlegt hoe en onder welke voorwaarden AI binnen de organisatie wordt ingezet. Het beleid vormt het uitgangspunt voor consistente keuzes.
- Best practices: praktische werkafspraken die beleid vertalen naar de dagelijkse praktijk, bijvoorbeeld rond menselijke controle, testen, monitoring en incidentafhandeling.
- Third-party management: beheersing van risico’s die voortkomen uit AI-systemen en -diensten van leveranciers, inclusief contractuele afspraken en verantwoordelijkheden in de keten.
- AI-risicomanagement: een doorlopend proces om AI-risico’s te identificeren, beoordelen, vast te leggen en te beheersen, afgestemd op de concrete use case en context.
- Compliance management: borging van naleving van toepasselijke wet- en regelgeving, zoals de EU AI Act en de AVG, inclusief het vermogen om die naleving aan te tonen.
- Datamanagement: processen voor rechtmatig, zorgvuldig en veilig gebruik van data, met aandacht voor datakwaliteit, herkomst, bias en beveiliging.
- Rollen en verantwoordelijkheden: duidelijke toedeling van eigenaarschap en taken, zodat helder is wie beslist, wie toezicht houdt en wie ingrijpt bij incidenten.
- Transparantie en documentatie: vastlegging van informatie over AI-systemen en gemaakte afwegingen, zodat intern en extern kan worden uitgelegd hoe en waarom AI wordt gebruikt.
Hulp nodig bij het opzetten van AI governance en EU AI Act-compliance?
AI governance draait niet om het afremmen van innovatie, maar om het duurzaam mogelijk maken ervan. Organisaties die nu investeren in duidelijke verantwoordelijkheden en een samenhangende governance-structuur, creëren ruimte om AI verantwoord op te schalen.
Afwachten vergroot juist het risico dat AI-gebruik versnipperd raakt en beslissingen impliciet worden genomen. En precies die situaties zijn later het lastigst te herstellen.
Heb je vragen over waar jouw organisatie staat of over hoe AI governance praktisch kan worden ingericht? SenS juristen ondersteunt organisaties bij het opzetten en toetsen van AI governance, AI-risicomanagement en EU AI Act-compliance, met oog voor juridische houdbaarheid en werkbaarheid in de praktijk. Neem gerust contact op voor een verkennend gesprek.
