Wat is AI-governance? Afspraken over wie verantwoordelijk is, welke AI wordt gebruikt en hoe je toezicht houdt. Praktisch ingevuld voor het mkb.
AI-governance is de verzameling afspraken over hoe een organisatie AI gebruikt: wie er verantwoordelijk is, welke toepassingen er mogen draaien, welke data ze mogen zien en hoe je toezicht houdt. Voor een mkb-bedrijf is het praktisch te vullen met een register, een beleid en één aanspreekpunt. Governance voorkomt dat AI-gebruik een wildgroei wordt die niemand meer overziet.
Governance klinkt als iets voor banken en overheden, maar de vraag is simpel: als er iets misgaat met AI bij jou, wie lost het op. En weet je überhaupt dat het misging? Die vraag beantwoorden is governance. Het draait om drie dingen: duidelijkheid over eigendom, zichtbaarheid van gebruik en een controlestap waar het risico daarom vraagt.
In de praktijk bestaat het uit kleine middelen. Een register waarin elke AI-toepassing staat met zijn doel en zijn data. Een beleid dat medewerkers vertelt wat mag en wat niet. Eén naam die aanspreekpunt is. En per toepassing de vraag: wat gebeurt er als dit antwoord fout is, en wie ziet dat vóór de klant het ziet? Wie die vragen per toepassing kan beantwoorden, heeft governance.
Bij grotere risico's (persoonsgegevens, besluiten over mensen) komt de EU AI Act om de hoek kijken, met verplichtingen per risicoklasse. Voor de meeste mkb-toepassingen valt die plicht mee, maar de richting is duidelijk: weten wat je draait, kunnen uitleggen waarom, en kunnen aantonen dat een mens de regie houdt waar dat moet.
Zodra meerdere medewerkers met AI werken, is de vraag niet óf je governance nodig hebt, maar of je hem nu opzet of achteraf. Nu kost het een middag; achteraf kost het een inventarisatie van alles wat intussen ongevraagd is gaan draaien. Zeker bij klantgegevens is één afspraak (welke modellen zien welke gegevens) goud waard, want die voorkomt de enige discussie die je niet wilt voeren: na een incident.
Het loont níet om een bestuurscommissie te formeren of een handboek van tientallen pagina's te schrijven. Governance die niemand kent, bestaat niet. Eén bladzijde die iedereen gelezen heeft, wint van tien pagina's die niemand las. En governance is geen eenmalig project: elke nieuwe toepassing wordt kort langs dezelfde vragen gelegd, waarna het register en het beleid worden bijgewerkt.
Bij elke automatisering die we bouwen leggen we vast wat de agent mag, welke gegevens hij ziet en waar de mens de eindcontrole houdt. En die afspraken belanden in een kort overzicht waarmee je je eigen register en beleid kunt vullen. Zo groeit governance mee met het gebruik, in plaats van er als een apart project naast te staan.
Er is geen aparte plicht die 'AI-governance' heet, maar de onderdelen ervan komen uit regels die wel gelden: de AVG voor persoonsgegevens, en de EU AI Act die per risicoklasse verplichtingen stelt. Voor de meeste mkb-toepassingen beperkt, maar niet nul. Praktisch gezien moet je kunnen uitleggen welke AI je draait, welke gegevens hij verwerkt en waar de mens toezicht houdt. Dat je dat op papier hebt, is precies wat governance biedt.
Governance is het kader: wie draagt de verantwoordelijkheid, welke toepassingen zijn toegestaan en hoe wordt getoetst. Het beleid is het deel dat medewerkers te zien krijgen: welke tools mogen worden gebruikt, met welke gegevens en wat te doen bij twijfel. Beleid is dus één van de instrumenten binnen governance, naast het register en het toezicht. In een klein bedrijf vallen ze vaak samen op één bladzijde; de functies blijven wel anders.
Er is geen drempelgetal, maar de bruikbare maat is: zodra je ze niet meer op één hand kunt opnoemen, of zodra klantgegevens meedoen. Eén chatbot zonder persoonsgegevens kun je in één regel in een register zetten en daarmee af. De waarde van het register groeit met het aantal toepassingen, omdat het precies datgene levert wat anders verdwijnt: overzicht over wat er draait en wie eraan hangt.
Eén persoon met mandaat, niet een commissie. In een mkb is dat meestal de eigenaar of de mensen die nu al verantwoordelijk zijn voor systemen en privacy. Die persoon houdt het register en het beleid bij, is het aanspreekpunt voor vragen en beoordeelt nieuwe toepassingen aan dezelfde korte lijst met vragen. Belangrijker dan de functietitel is dat er één naam bij hoort. Zolang het ieders taak is, is het niemands taak.
EIGHTY8