Elke organisatie met enige omvang heeft al een risicostructuur. Een risicocommissie, een auditcommittee, een lijn van control functions, een format waarin risico's worden opgenomen, besproken en afgesloten. Dat proces heeft een ritme, een taal en eigenaren die weten waar ze aan toe zijn.
Als AI-governance daarnaast komt te staan — een eigen commissie, een eigen rapportagelijn, een eigen kalender — dan ontstaat er een tweede proces. En een tweede proces naast een bestaand proces wordt niet uitgevoerd. Niet omdat mensen onwillig zijn, maar omdat capaciteit al is toegewezen aan het proces dat er is. Wie AI-risico als apart onderwerp behandelt, vraagt om extra tijd, extra vergaderingen en extra rapportages naast alles wat al loopt. Dat verliest het, iedere keer.
De inventaris en classificatie van AI-systemen leveren geen nieuw risicokader op. Ze leveren input voor het kader dat er al is. Dat betekent concreet:
De governance-set die uit de scan volgt, is daarom geen op zichzelf staand document. Het is een set die is geschreven om te passen op wat er al ligt: de risicomatrix, de rapportagestructuur, de escalatielijnen. Waar die dingen nog niet werken zoals ze zouden moeten, geldt dezelfde logica als bij AI: het gaat om inbedding, niet om een nieuw systeem. Hoe dat eruitziet voor een concreet onderdeel, staat beschreven in hoe een AI-beleid wordt ingebed in bestaande besluitvorming in plaats van er los naast te staan, in hoe een oversight-besluitenlijst wordt ingebed in het overleg dat er al is en in hoe escalatiepaden voor AI worden ingebed in de bestaande incidentlijn.
Een apart AI-risicokader klinkt zorgvuldig, maar creëert een parallel circuit. Er ontstaan twee waarheden: de risicorapportage die de bestuurder al kent, en een AI-rapportage die ernaast leeft, met eigen definities van risiconiveau en eigen eigenaren. Op het moment dat die twee circuits niet op elkaar aansluiten — en dat gebeurt vroeg of laat — is niet duidelijk welk circuit gezag heeft. Dat is precies het scenario waarin toezicht op papier bestaat, maar in de praktijk niemand aanspreekbaar is.
De governance-set die uit de inventaris volgt, is er daarom op gericht om te verdwijnen in het bestaande proces. Geen nieuw dashboard, geen nieuwe vergadering, geen nieuw goedkeuringsformulier — maar een uitbreiding van het format dat de risicocommissie al gebruikt, met AI als vast onderdeel. Dat is ook de manier waarop een bestuurder er iets aan heeft: niet als apart AI-rapport dat wordt doorgebladerd, maar als regel in de rapportage die al wordt gelezen. Hoe die rapportage eruitziet als hij compact genoeg is om daadwerkelijk gelezen te worden, staat beschreven op de opzet van een board-rapportage die op één pagina past.
De reden dat aansluiting bij de bestaande structuur ook juridisch en organisatorisch de sterkere keuze is, ligt in aantoonbaarheid. Een toezichthouder of auditor die vraagt hoe AI-risico wordt beheerst, krijgt liever het antwoord "via het risicoproces dat we al voeren, met AI als vast onderdeel" dan "via een apart AI-traject dat naast het reguliere proces loopt". Het eerste antwoord toont een organisatie die risico integraal beheert. Het tweede toont een organisatie die AI als uitzonderingsgeval behandelt — met het risico dat die uitzondering, zodra de aandacht verschuift, wordt losgelaten.
Dezelfde logica geldt voor monitoring. Een los AI-dashboard dat niemand raadpleegt, levert niets op. Monitoring die is ingebed in het overzicht dat risicomanagers en de bestuurder al gebruiken, wordt gezien omdat het al op de plek staat waar wordt gekeken. Wat daarvoor nodig is, staat toegelicht op hoe monitoring van AI-systemen wordt ingebed in het overzicht dat al wordt gebruikt en, breder, op hoe de aansluiting op de bestaande risicostructuur in de praktijk wordt opgebouwd.
Een risicostructuur die AI heeft ingebed, geeft antwoord op de vraag wat er draait en wie daarvoor verantwoordelijk is. Dat is een ander antwoord dan de vraag wat AI in het dagelijkse werk zou kunnen overnemen. Die tweede vraag wordt beantwoord door de werkscan van FTE TO AI, die per taak berekent welk deel van het werk voor overname in aanmerking komt. Beide antwoorden horen bij elkaar: de risicostructuur bepaalt onder welke voorwaarden AI mag worden ingezet, de werkscan laat zien waar die inzet het werk daadwerkelijk verandert.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.