AI-governance

AI-governance is hoe een organisatie haar gebruik van AI in de hand houdt: welke AI-tools medewerkers waarvoor mogen gebruiken, welke gegevens erin mogen, wie de uitkomsten controleert en wie verantwoordelijk is als het misgaat. In de EU komen daar wettelijke plichten bij uit de AI-verordening, afhankelijk van hoe riskant een toepassing is. Software die sollicitanten selecteert, valt bijvoorbeeld onder strenge regels.

Hoe ziet het er in de praktijk uit?

Het Amerikaanse standaardeninstituut NIST publiceerde in januari 2023 zijn AI Risk Management Framework, voor vrijwillig gebruik. Het verdeelt het werk in vier functies: govern, map, measure en manage. Onder govern staan onder meer de wettelijke eisen kennen, een overzicht van de AI-systemen bijhouden en vastleggen wie waarvoor verantwoordelijk is; onder manage een werkwijze om incidenten te melden en af te handelen. ISO/IEC 42001 (december 2023) is de internationale norm met eisen voor een managementsysteem voor AI, voor organisaties die AI aanbieden of gebruiken.

Wat eist de Europese AI-verordening?

De AI-verordening (Verordening (EU) 2024/1689) is op 1 augustus 2024 in werking getreden. De Europese Commissie beschrijft vier risiconiveaus:

• Onaanvaardbaar risico: verboden, zoals sociale scoring of emotieherkenning op de werkvloer. Deze verboden gelden sinds 2 februari 2025; een negende verbod, op AI die seksuele content zonder toestemming of beelden van kindermisbruik maakt, volgt op 2 december 2026.
• Hoog risico, zoals cv-screening bij werving of kredietscores van personen: strenge plichten voor de maker en voor het bedrijf dat het systeem gebruikt, dat de gebruiksaanwijzing moet volgen en bekwame mensen toezicht moet laten houden.
• Transparantierisico: mensen moeten horen dat ze met een chatbot praten, tenzij dat duidelijk is, en door AI gemaakte content moet herkenbaar zijn. Deze regels gelden sinds 2 augustus 2026.
• Minimaal risico, zoals spamfilters: geen specifieke regels. Volgens de Commissie valt de meeste AI die in de EU wordt gebruikt hieronder.

Sinds 2 februari 2025 heeft elk bedrijf dat AI in zijn werk gebruikt ook een plicht rond AI-geletterdheid. De oorspronkelijke tekst vroeg om zoveel als mogelijk te zorgen voor een toereikend niveau van AI-kennis bij het personeel. Boetes voor verboden praktijken lopen op tot 35 miljoen euro of 7% van de wereldwijde jaaromzet; voor mkb-bedrijven geldt het laagste bedrag.

De AI-omnibus (Verordening (EU) 2026/1744), in werking sinds 27 juli 2026, verschoof de regels voor hoog risico naar 2 december 2027, en naar 2 augustus 2028 voor AI in producten zoals liften of speelgoed. Ook werd de plicht rond AI-geletterdheid lichter: bedrijven moeten maatregelen nemen die de AI-geletterdheid van hun personeel ondersteunen, zonder een niveau te hoeven garanderen.

Voorbeeld

Stel: een webwinkel met twaalf medewerkers beantwoordt klantvragen met een chatbot en laat een AI-tool sollicitaties voorsorteren. De governance past op één pagina: beide tools op een lijst, een regel over welke klantgegevens erin mogen, een vaste eigenaar en een medewerker die elke week een steekproef van chatgesprekken naleest. De chatbot moet duidelijk maken dat het een AI-systeem is. De sollicitatietool valt onder hoog risico; voor zulke systemen gelden vanaf 2 december 2027 plichten voor de gebruiker, zoals de gebruiksaanwijzing volgen en een bekwame medewerker toezicht laten houden (human-in-the-loop).

En buiten de EU?

In de Verenigde Staten werd Executive Order 14110 over veilige en betrouwbare AI (30 oktober 2023) op 20 januari 2025 ingetrokken. Het NIST-framework blijft beschikbaar als vrijwillige leidraad.