Wat is een AI-register? Een overzicht van alle AI-toepassingen in je organisatie, met doel, data en risico.
Een AI-register is een overzicht van alle AI-toepassingen die in je organisatie draaien: wat elke toepassing doet, welke data ze gebruikt, wie er verantwoordelijk is en welk risico ze draagt. Het is het document waarop governance en het AI-beleid rusten. Met een register kun je aantonen wat je draait; zonder blijf je gissen zodra iemand het vraagt.
Vraag vijf bedrijven welke AI er in huis draait en je krijgt vijf halve antwoorden. De chatbot op de website wordt genoemd, de hulp in de tekstverwerker niet, en de automatisering die een leverancier stilletjes meelevert al helemaal niet. Een register maakt dat zichtbaar: één lijst, met per toepassing het doel, de gegevens, de eigenaar en het risico.
Zo'n lijst hoeft geen software te zijn; een tabel volstaat. Wat telt is dat elke toepassing vier vragen beantwoordt. Wat doet hij. Welk proces draagt hij? Welke gegevens ziet hij? Wie is het aanspreekpunt? En wat gebeurt er als het antwoord fout is? Die laatste vraag sorteert je register meteen op risico, en dat is precies de volgorde waarop toezicht en wetgeving naar je organisatie kijken.
Het register is ook het document dat je kunt laten zien: aan een opdrachtgever die vraagt hoe je met zijn gegevens omgaat, of als onderbouwing bij de EU AI Act, die onderscheid maakt tussen risicoklassen met elk eigen plicht. Wie zijn toepassingen niet kent, kan dat verhaal niet voeren. Wie ze kent, heeft het in een middag op papier.
De moeite waard zodra er meer AI in je organisatie zit dan je uit je hoofd kunt opnoemen, en beslist zodra klantgegevens meedoen. Het register is dan geen administratie maar een zekerheid: je kunt uitleggen wat er draait en waarom. Ook bij personeelswisseling bewijst het zijn waarde. De kennis over die ene automatisering staat op papier in plaats van in het hoofd van één collega die net is vertrokken.
Niet de moeite waard is een register als verslag van de vergadering: honderden regels die niemand bijwerkt en waarvan de inhoud na een halfjaar niet meer klopt. Houd het kort genoeg om actueel te houden. Een half verouderd register is gevaarlijker dan geen register, omdat het een schijn van overzicht geeft terwijl de werkelijkheid er van is afgeweken.
Bij elke automatisering die we opleveren leveren we de vier registerregels mee: doel, gegevens, eigenaar en risico. Daarmee staat elke nieuwe toepassing er binnen enkele minuten in, in jouw eigen vorm. Een tabel of een bestaand overzicht. Zo groeit het register mee met het gebruik, zonder dat het een project wordt dat naast het werk wordt gevoerd.
Vier dingen: wat de toepassing doet en welk proces ze draagt, welke gegevens ze ziet of verwerkt, wie de eigenaar of het aanspreekpunt is, en welk risico er hoort als de uitkomst fout is. Vul naar eigen smaak aan met leverancier, startdatum of koppeling. Maar die vier regels maken het register al bruikbaar. Houd elke toepassing kort: een regel of een paar regels per toepassing volstaat, zolang het maar klopt en actueel is.
Een register onder die naam is niet overal verplicht, maar de EU AI Act stelt wél plichten per risicoklasse. En je kunt die plichten alleen nakomen als je weet welke toepassingen je draait en in welke klasse ze vallen. Voor hoogrisico-toepassingen gelden documentatie- en registratieverplichtingen. Voor de meeste mkb-toepassingen, zoals een chatbot of teksthulp, valt dat mee. Het eigen register is de praktische manier om dat alles overzichtelijk en aantoonbaar te houden.
Voor bijna elk mkb is een spreadsheet de juiste keuze: één tabel, één eigenaar, en per toepassing de vier vaste regels. Software wordt pas interessant bij tientallen toepassingen, meerdere vestigingen of een eis om het register automatisch te synchroniseren. En zelfs dan is de inhoud belangrijker dan het gereedschap. Begin met de tabel die iemand vandaag kan invullen; een systeem dat later volgt, vult je nu al kloppende overzicht in.
Het verwerkersregister is een AVG-document: het legt vast welke partijen namens jou persoonsgegevens verwerken en onder welke afspraken. Het AI-register is breder en technischer: het overziet alle AI-toepassingen, óók zonder persoonsgegevens, met doel, gegevens en risico per toepassing. Ze overlappen gedeeltelijk (elke AI-provider die persoonsgegevens verwerkt hoort in beide) maar beantwoorden andere vragen. In de praktijk verwijs je vanuit het ene naar het andere in plaats van alles dubbel op te schrijven.
EIGHTY8