AI-compliance en governance opzetten: zo pak je het aan binnen jouw organisatie

Kunstmatige intelligentie (AI) is in korte tijd een vast onderdeel geworden binnen organisaties om sneller en efficiënter te werken. Deze ontwikkelingen bieden kansen, maar brengen ook risico’s met zich mee. Denk aan dataverlies, onbedoelde verwerking van persoonsgegevens, onbetrouwbare uitkomsten of het niet voldoen aan regelgeving zoals de Europese AI Act.

AI-governance en AI-compliance bieden hiervoor een duidelijke structuur. In dit blog leggen wij uit wat deze begrippen betekenen en hoe je dit binnen jouw organisatie gestructureerd opzet volgens de richtlijnen van de EU AI Act (AI-Verordening) en AI-compliance vereisten.

In dit blog: 

• Wat is AI-governance?
• Wat is AI-compliance en waarom is het belangrijk?
• Welke AI-regelgevingen gelden in Nederland en Europa
• AI-governance en compliance in 6 stappen
• Risicobeheersing rondom AI

Wat is AI-governance?

AI-governance is de manier waarop je als organisatie richting en controle geeft aan het gebruik van AI. Het gaat om het vastleggen van kaders, verantwoordelijkheden en controles die ervoor zorgen dat AI-systemen veilig, verantwoord en in lijn met wet- en regelgeving worden ingezet.

Het gaat hierbij niet alleen om techniek, maar vooral om: 

• Wie mag AI-tools gebruiken?
• Welke AI-toepassingen gebruiken wij?
• Met welke data werken deze systemen?
• Welke risico's brengen die systemen met zich mee?
• Wie is verantwoordelijk voor toezicht en controle?

AI-governance creëert structuur en voorkomt dat AI op verschillende afdelingen wordt ingezet zonder duidelijke kaders en inzicht in de bijbehorende risico’s. Het zorgt ervoor dat AI geen losse tool blijft, maar onderdeel wordt van een beheerst proces.

Waarom is AI-governance nodig?

De snelle adoptie van AI leidt in veel organisaties tot zogenoemde ‘schaduw AI’. Medewerkers gebruiken hierbij AI-tools zonder beleid of toezicht. Dit heeft verschillende gevolgen:

• Vertrouwelijke bedrijfsinformatie kan ingevoerd worden in openbare AI-tools.
• Schending van de AVG bij de verwerking van persoonsgegevens.
• Beslissingen worden genomen op basis van oncontroleerbare of bevooroordeelde output van een AI-tool.
• Verschillende AI-tools worden door elkaar gebruikt.

Zeker wanneer AI wordt ingezet in processen die impact hebben op klanten of medewerkers, kan het ontbreken van controle grote gevolgen hebben.

Daarnaast groeit de externe druk. Met de komst van de EU AI Act wordt van organisaties verwacht dat zij hun AI-gebruik kunnen verantwoorden. Het is niet langer voldoende om te stellen dat een tool ‘handig’ is, je moet kunnen aantonen dat risico’s zijn beoordeeld, beheerst en gedocumenteerd.

AI-governance is daarmee geen luxe, maar een noodzakelijke stap om AI verantwoord te integreren in je organisatie.

Wanneer is een AI-toepassing risicovol?

Binnen de EU AI Act wordt een AI-toepassing als hoog risico beschouwd wanneer deze een aanzienlijke impact kan hebben op fundamentele rechten of veiligheid. Voorbeelden hiervan zijn AI-systemen die worden ingezet bij:

• Werving en selectie.
• Kredietbeoordelingen.
• Onderwijs en examinering.
• Gezondheidssector.
• Kritieke infrastructuur.

Voor deze toepassingen gelden aanvullende verplichtingen, waaronder uitgebreide documentatie, risicomanagement en menselijk toezicht. Het correct classificeren van AI-toepassingen is daarom een belangrijke eerste stap in AI-governance en compliance.

Wat zijn belangrijke aspecten binnen AI-governance?

Effectieve AI-governance bestaat uit meerdere samenhangende onderdelen. De belangrijksten zijn:

• Beleid en richtlijnen: Heldere kaders voor het gebruik van AI. Denk bijvoorbeeld aan richtlijnen voor het gebruik van generatieve AI-tools, zoals het verbod op het invoeren van vertrouwelijke bedrijfsinformatie in openbare AI-modellen.
• Risicobeheersing: Breng in kaart welke AI-toepassingen worden gebruikt en welke risico's daaraan verbonden zijn. Een organisatie kan bijvoorbeeld een risicoanalyse uitvoeren op een AI-model dat wordt ingezet voor klantacceptatie, om discriminatie of foutieve beslissingen te voorkomen.
• Rollen en verantwoordelijkheden: Wie is eigenaar van de AI-toepassing? Wie beoordeelt risico's? Wie houdt er toezicht? Zorg dat de rollen en verantwoordelijkheden rondom AI duidelijk zijn binnen de organisatie. Zo kan er iemand verantwoordelijk zijn voor de kwaliteit van de data, terwijl een andere werknemer toeziet op de naleving van wet- en regelgevingen.
• Documentatie en transparantie: Leg vast welke AI-systemen er worden gebruikt, met wel doel en op basis van welke data. Bijvoorbeeld door per AI-toepassing een modelkaart of dossier bij te houden waarin staat hoe het model werkt en welke data deze gebruikt. 
• Monitoring en evaluatie: Beoordeel periodiek de prestaties, beveiliging en naleving van AI-systemen. Denk aan het continu monitoren van een AI-chatbot om ongewenste of foutieve output tijdig te signaleren en bij te sturen.

Deze onderdelen sluiten nauw aan bij bestaande normenkaders zoals ISO 27001 voor informatiebeveiliging en ISO 9001 voor kwaliteitsmanagement.

Is AI-governance verplicht?

Nee, AI-governance is niet verplicht gesteld in de wet. Wel is het in de praktijk noodzakelijk.

De EU AI Act (AI-Verordening), de AVG en andere relevante regelgeving verplichten organisaties om risico’s te beoordelen en passende maatregelen te treffen. Wanneer je AI inzet, moet je kunnen aantonen dat je controle hebt over het gebruik en de impact ervan.

Zonder gestructureerde governance wordt het vrijwel onmogelijk om aantoonbaar compliance te realiseren. AI-governance is daarmee geen extra laag, maar een voorwaarde om aan bestaande verplichtingen te voldoen.

Wat is AI-compliance en waarom is het belangrijk?

AI-compliance gaat over het daadwerkelijk naleven van wet- en regelgeving rondom AI. Het gaat erom dat je waarborgt dat AI-toepassingen veilig, eerlijk en controleerbaar zijn voor alle betrokkenen. Het is niet alleen een juridische verplichting, maar bouwt ook vertrouwen op bij jouw klanten en medewerkers.

Waar AI-governance de structuur en inrichting beschrijft, richt AI-compliance zich op het voldoen aan concrete verplichtingen. Denk hierbij aan:

• Voldoen aan de verplichtingen uit de EU AI Act.
• Het uitvoeren van risicoanalyses.
• Het vastleggen van documentatie en technische informatie.
• Het organiseren van menselijk toezicht op AI-beslissingen.

AI-governance en compliance versterken elkaar. Zonder governance blijft compliance versnipperd. Zonder compliance heeft governance geen aantoonbare waarde.

Welke AI-regelgevingen gelden in Nederland en Europa?

Op dit moment bestaan er twee kaders rondom AI in Nederland en Europa: de EU AI Act en de ISO 42001. Hieronder lichten we beide normeringen nader toe.

De Europese AI Act

De EU AI Act (AI-Verordening) is de eerste Europese wetgeving die specifiek gericht is op AI. De wet hanteert een risicogebaseerde aanpak en maakt onderscheid tussen vier categorieën:

• Verboden toepassingen die een onacceptabel risico vormen.
• Hoog-risico toepassingen die te maken krijgen met strengere eisen.
• Beperkt risico toepassingen met transparantieverplichtingen.
• Laag-risico toepassingen met beperkte verplichtingen.

Voor organisaties betekent dit dat zij eerst moeten bepalen in welke categorie hun AI-toepassing valt. Op basis daarvan moeten passende maatregelen worden ingericht, zoals risicomanagement, documentatie en toezicht.

Wat als ik zelf AI-toepassingen ontwikkel?

Naast organisaties die AI gebruiken, richt de AI-Verordening zich ook op organisaties die AI-systemen ontwikkelen of aanbieden. Deze partijen worden binnen de wet aangeduid als providers. Voor deze groep gelden aanvullende eisen op het gebied van AI-compliance en governance. Denk hierbij aan:

• Het waarborgen van datakwaliteit en het minimaliseren van vooroordelen in modellen.
• Het opstellen van technische documentatie over het AI-systeem.
• Het uitvoeren van risicomanagement gedurende de volledige lifecycle van het model.
• Het aantonen dat het systeem voldoet aan de gestelde eisen, bijvoorbeeld via conformiteitsbeoordelingen.

Voor organisaties die zowel AI ontwikkelen als gebruiken, betekent dit dat governance en compliance op twee niveaus ingericht moeten worden: zowel op het gebruik van AI binnen de organisatie als op de ontwikkeling van AI-producten zelf.

Door deze verplichtingen tijdig te integreren in je processen, voorkom je compliance-risico’s en ben je beter voorbereid op audits en toezicht vanuit de EU AI Act. 

ISO 42001

ISO 42001 is een internationale norm voor een AI-managementsysteem. De norm helpt organisaties om:

• AI-risico's systematisch te beheersen.
• Rollen en verantwoordelijkheden vast te leggen.
• Continue verbeteringen toe te passen.
• Transparantie en documentatie te waarborgen.

De norm sluit goed aan op bestaande kaders zoals ISO 27001 en ISO 27701. Samen vormen ze een solide basis voor aantoonbare AI-governance en AI-compliance.

AI-governance en compliance in 6 stappen

Het opzetten van AI-governance hoeft niet complex te zijn wanneer je het gestructureerd aanpakt. In grote lijnen bestaat het traject uit de volgende stappen: 

1. Inventariseer het huidige AI-gebruik: Breng in kaart welke AI-toepassingen binnen jouw organisatie momenteel worden gebruikt. Zowel formeel als informeel.
   
   
2. Voer een risicobeoordeling uit: Beoordeel per toepassing de risico's. Kijk hierbij niet alleen naar de EU AI Act, maar ook naar informatiebeveiliging, privacy en operationele impact. Op basis hiervan bepaal je gerichte beheersmaatregelen.
   
   
3. Stel een beleid en richtlijnen op: Leg duidelijke kaders vast voor verantwoord gebruik van AI. Dit beleid moet praktisch toepasbaar zijn en aansluiten bij de dagelijkse praktijk van medewerkers.
   
   
4. Wijs verantwoordelijkheden toe: Zorg dat eigenaarschap en toezicht helder belegd zijn binnen de organisatie.
   
   
5. Documenteer en monitor: Leg keuzes vast en monitor periodiek of systemen blijven voldoen aan interne en externe eisen.
   
   
6. Integreer AI in je bestaande managementsystemen: Sluit AI-governance aan op bestaande processen rondom risicomanagement, audits en compliance.

Door AI niet als los project te behandelen, maar te integreren in bestaande structuren, voorkom je versnippering en creëer je samenhang.

Risicobeheersing rondom AI

Veel AI-risico’s overlappen met bestaande thema’s zoals informatiebeveiliging en privacy. Denk aan datalekken, onbevoegde toegang tot systemen of onvoldoende controle op besluitvorming.

In plaats van hiervoor een volledig nieuw systeem op te zetten, kiezen steeds meer organisaties ervoor om AI-governance te integreren in hun bestaande Information Security Management System (ISMS). Daarmee kun je AI-risico’s opnemen in je reguliere risicoanalyse, beheersmaatregelen vastleggen, audits uitvoeren en incidenten structureel opvolgen.

Door AI onder te brengen in een bestaand managementsysteem, ontstaat er overzicht, samenhang en aantoonbare controle. Zo werk je niet alleen efficiënter met AI, maar ook veilig en verantwoord.

Start vandaag nog met het opzetten van AI-compliance en governance

AI wordt steeds vaker ingezet om processen te versnellen en besluitvorming te ondersteunen. Juist daarom is het belangrijk dat dit op een veilige, transparante en beheersbare manier gebeurt.

Een modern ISMS zoals Base27 ondersteunt organisaties bij het integreren van AI in hun bestaande governance- en complianceproces. Met Base27 kun je AI-risico’s opnemen in je risicoanalyse, beleid vastleggen conform relevante normenkaders zoals ISO 27001 en ISO 42001 en audits en documentatie centraal beheren. Veranderingen in wet- en regelgeving worden direct verwerkt, zodat jouw organisatie altijd up-to-date blijft.

Daarnaast helpt het ISMS om gestructureerd en verantwoord met AI te werken  binnen één beveiligde omgeving. Zo combineer je innovatie met controle en blijft jouw organisatie aantoonbaar compliant met de geldende regelgeving.

Benieuwd hoe Base27 jouw organisatie kan ondersteunen bij het opzetten van AI-governance en compliance?