AI veilig inzetten: een governance-checklist

AI kan veel werk uit handen nemen: documenten samenvatten, e-mails sorteren, gegevens uit facturen halen of medewerkers sneller laten vinden wat ze zoeken. Maar zodra AI echt in je processen meedraait, krijgt het toegang tot data en invloed op beslissingen. Dan wil je vooraf weten wat er gebeurt, en wie waarvoor verantwoordelijk is.

Deze checklist helpt je die afspraken te maken. Hij is geen juridisch advies, maar een praktische basis om samen met je team, je IT-partner en zo nodig je jurist of functionaris gegevensbescherming door te lopen.

1. Begin met een concreet doel

‘Iets met AI’ is geen doel. Formuleer welk werk je wilt verbeteren en hoe je meet of het gelukt is. Bijvoorbeeld: ‘binnenkomende offerteaanvragen worden binnen een uur ingedeeld en aan de juiste collega toegewezen’. Een concreet doel maakt het makkelijker om de risico’s te overzien en om later te beoordelen of de toepassing waarde levert.

2. Breng in kaart welke data waar naartoe gaat

Schrijf op welke gegevens de AI-toepassing gebruikt en waar die gegevens worden verwerkt.

• Gaat het om persoonsgegevens, bedrijfsgevoelige informatie of beide?
• Waar wordt de data verwerkt en opgeslagen: binnen de EU of daarbuiten?
• Gebruikt de leverancier je invoer om zijn modellen te trainen? Leg in het contract vast dat dat niet gebeurt.
• Is er een verwerkersovereenkomst met elke partij die persoonsgegevens verwerkt?

Stuur niet meer data naar een model dan nodig is voor de taak.

3. Kies het model en de hosting bewust

Een groot model via een cloudaanbieder is krachtig en snel ingezet. Een kleiner model dat je zelf of binnen de EU host, geeft meer controle over waar data blijft. De keuze hangt af van de gevoeligheid van de data, de kwaliteit die je nodig hebt en de kosten bij het verwachte gebruik. Leg vast waarom je voor een bepaald model en een bepaalde hosting hebt gekozen.

4. Geef AI niet meer rechten dan een medewerker

Een AI-assistent die in je systemen kan zoeken of acties kan uitvoeren, mag nooit meer zien of doen dan de gebruiker voor wie hij werkt. Werk met de bestaande rechten in je systemen, beperk welke acties de AI zelfstandig mag uitvoeren en log wat er is opgevraagd en gedaan. Hoe wij dat in de code vastleggen, lees je in AI-agents in je eigen software.

5. Houd een mens in de lus waar het ertoe doet

Laat AI voorbereiden en voorstellen, maar laat een mens beslissen als de gevolgen groot zijn: bij financiële beslissingen, bij communicatie naar klanten of bij beslissingen over personen. Spreek af bij welke drempel een mens meekijkt, en maak het makkelijk om een voorstel van de AI te corrigeren.

6. Test de kwaliteit, en blijf meten

AI-modellen maken fouten, en ze kunnen die met veel overtuiging brengen. Stel vooraf een testset samen met echte voorbeelden en het juiste antwoord, en meet hoe vaak de toepassing het goed doet. Blijf dat na de livegang doen: data, processen en modellen veranderen. Zorg dat gebruikers fouten eenvoudig kunnen melden.

7. Wees open over het gebruik van AI

Medewerkers en klanten moeten weten wanneer ze met AI te maken hebben, en waar ze terechtkunnen met vragen. Leg intern vast welke toepassingen er zijn, waarvoor ze worden gebruikt en wie de eigenaar is.

8. Houd rekening met wet- en regelgeving

Voor persoonsgegevens geldt de AVG, ook als een AI-model ze verwerkt. Daarnaast is de Europese AI-verordening (de AI Act) van kracht. Die werkt risicogebaseerd: sommige toepassingen zijn verboden, voor toepassingen met een hoog risico gelden strenge eisen en voor de meeste zakelijke toepassingen gaat het vooral om transparantie. De verplichtingen gaan gefaseerd in. Sinds februari 2025 moeten organisaties er bijvoorbeeld al voor zorgen dat medewerkers die met AI werken, voldoende kennis hebben van wat de systemen doen en wat de risico’s zijn.

Bepaal per toepassing in welke categorie hij valt en welke verplichtingen daarbij horen.

9. Spreek eigenaarschap en beheer af

Wie is verantwoordelijk voor de toepassing als hij eenmaal draait? Wie houdt de kwaliteit in de gaten, beslist over updates van het model en handelt incidenten af? Behandel een AI-toepassing als elke andere bedrijfskritische software: met beheer, monitoring en een plan voor als er iets misgaat.

De checklist op een rij

1. Het doel en de meetbare uitkomst zijn vastgelegd.
2. Je weet welke data de toepassing gebruikt en waar die wordt verwerkt.
3. Model en hosting zijn bewust gekozen, en die keuze is vastgelegd.
4. De AI heeft niet meer rechten dan de gebruiker, en acties worden gelogd.
5. Bij beslissingen met impact controleert een mens.
6. Er is een testset, en de kwaliteit wordt na livegang gemeten.
7. Gebruikers weten wanneer ze met AI werken.
8. Je hebt per toepassing bepaald wat de AVG en de AI Act vragen.
9. Er is een eigenaar, en beheer en incidentafhandeling zijn geregeld.

Wil je AI inzetten in je eigen processen en systemen? Lees hoe we AI-implementatie en intelligente automatisering aanpakken en hoe we met informatiebeveiliging omgaan. Of bespreek je idee met een van onze engineers.