AI-governance opzetten voor een organisatie die AI al volop gebruikte

De bouwstenen lagen er, maar los van elkaar. Er was geen volledig zicht op alle AI-toepassingen in gebruik, geen eenduidig eigenaarschap voor AI-governance, en onduidelijkheid over de rollen van business owners, juristen, privacy, security en systeemverantwoordelijken. Buiten het centrale AI-team ontbrak een gedeelde aanpak, het aankoopproces hield nog te weinig rekening met AI-componenten, en juridische vereisten waren nauwelijks vertaald naar uitvoerbaar werk.

Medewerkers gebruikten de tool met de beste bedoelingen, maar zonder afspraken en richtlijnen ontstonden er risico's. Dat is de duurste volgorde: gedrag dat al is ingeburgerd, moet achteraf worden teruggeschroefd, en dat weegt zwaarder dan het vooraf kaderen. De richtlijnen zelf raakten wel uitgewerkt, maar het beleidskader stokte: zonder eigenaarschap werden de keuzes die zo'n kader nodig heeft niet gemaakt. Elke nieuwe toepassing kwam daardoor opnieuw als een uitzondering binnen, en elke vraag werd een rondgang langs diensten die elkaar niet automatisch vonden. Precies het patroon waarin AI de zwaarste veranderlast wordt: veel beweging, weinig beslissing.

Drie sporen: onderzoek en juridische interpretatie, ontwerp van het operating model, en implementatie met structurele opvolging. De mogelijke aanpakken werden uitgewerkt in ambitieniveaus, van minimale naleving tot volledige implementatie, en getoetst op juridisch risico, capaciteit, haalbaarheid, businesswaarde, impact op bestaande processen, reputatie en het verandervermogen van de organisatie. Dat leidde tot een gefaseerde keuze: de zwaarste risico's en wettelijke verplichtingen eerst, met een groeipad daarna.

Samen met de betrokken experten kwam er een operating model dat de rollen en verantwoordelijkheden verduidelijkte, van AI-leiding en systeemeigenaarschap over business owners, ambassadeurs, data-eigenaarschap, juridische ondersteuning, privacy en security tot aankoop en contractbeheer, met de adviserende en beslissende fora erbij. Daarnaast processen voor de volledige levenscyclus: identificeren en registreren, risico's klasseren en opvolgen, aangekochte oplossingen met een AI-component beoordelen, voorwaarden voor ingebruikname en periodieke herbeoordeling.

Het zwaartepunt lag bij de bruikbaarheid. Niet iedereen die een AI-toepassing start of een assistent bouwt, is jurist of AI-specialist. Juridische checklists en classificatiemodellen werden daarom vertaald naar instrumenten voor projectleiders, product owners en medewerkers: een centrale inventaris, een eenvoudige intake en triage, heldere rollen en escalatielijnen, concrete beslisvragen, praktische richtlijnen voor generatieve AI, en communicatie gericht op AI-geletterdheid.

Het moment waarop het kader en een echte toepassing elkaar begonnen te voeden. Een organisatiebrede generatieve-AI-oplossing diende als prototype: ze ging van experiment naar een beheerste, goedgekeurde werkwijze met gebruiksvoorwaarden, menselijke eindverantwoordelijkheid, toetsing, opleiding en centrale opvolging, en liet tegelijk zien waar het model nog vaag was. Een echt dossier dwong de keuzes af die op papier open bleven, en versnelde daarmee het kader zelf. Wat daar geleerd werd over kwaliteit en beheersbaarheid, ging rechtstreeks de organisatiebrede uitwerking in.

Een geïntegreerde governancewerking waarin regelgeving, innovatie en dagelijkse praktijk aan elkaar hangen. Er ligt een gedragen implementatiestrategie en een organisatiebreed operating model, met duidelijke rollen en beslissingsfora. Registratie, classificatie en risicobeheer verlopen volgens vaste processen, voor zelfgebouwde én aangekochte AI. En juristen, AI-experten, business en ondersteunende diensten vinden elkaar nu langs een vaste weg.

Nieuwe AI-toepassingen doorlopen dat traject sindsdien sneller, omdat de weg die de eerste moest banen nu vastligt. Verantwoorde AI-governance gaat immers over meer dan juridische risico's vermijden: ze bepaalt de voorwaarden waaronder een organisatie AI duurzaam kan inzetten, met behoud van menselijke verantwoordelijkheid en met ruimte voor innovatie. De AI Act werd zo geen rem, maar een aanleiding om AI bewuster te verankeren.