Veel organisaties gaan ervan uit dat de indeling in aanbieder of gebruiker eenmalig is: een systeem wordt ergens ingekocht, en daarmee is de rol van uw organisatie bepaald. In de praktijk ligt dat genuanceerder. De rol die u heeft ten opzichte van een AI-systeem hangt af van wat u ermee doet, niet van waar het systeem vandaan komt. Dezelfde organisatie kan voor het ene systeem gebruiker zijn en voor het andere, zonder dat iemand dat zo heeft benoemd, aanbieder.
De kernvraag is niet wie het systeem heeft gebouwd, maar wie het op de markt brengt of onder eigen naam inzet. Een organisatie die een kant-en-klaar AI-systeem afneemt en gebruikt voor het eigen proces, is doorgaans gebruiker. Zodra diezelfde organisatie een systeem aanpast, doorontwikkelt, herlabelt of onder eigen naam aanbiedt aan anderen, verschuift dat beeld. Ook de mate van controle over het model speelt mee: wie bepaalt met welke data getraind wordt, wie stelt de parameters vast, wie draagt de verantwoordelijkheid voor het gedrag van het systeem in productie. Deze vragen worden niet één keer beantwoord bij aanschaf, maar blijven relevant zolang het systeem in gebruik is.
De rol van een organisatie is dus geen vast label, maar een uitkomst van feitelijk gebruik. Dat betekent dat interne wijzigingen — een nieuwe toepassing van een bestaand systeem, een aanpassing door de eigen IT-afdeling, het doorleveren van een AI-functie aan een klant of dochterorganisatie — de indeling kunnen wijzigen zonder dat er een formeel besluit aan vooraf is gegaan. Wat dit voor de praktijk betekent, en op welk moment een rol daadwerkelijk verschuift, wordt verder uitgewerkt op de pagina over het moment waarop uw rol ten opzichte van een AI-systeem wijzigt. Belangrijk is dat deze verschuiving vaak niet wordt opgemerkt, omdat ze zich afspeelt op afdelingsniveau, ver van waar het beleid wordt vastgesteld.
De vraag of u aanbieder of gebruiker bent, staat niet op zichzelf. Ze is verweven met de vraag welk risiconiveau een toepassing heeft, en met de vraag of een toepassing binnen de reikwijdte van regelgeving valt. Een systeem dat als gebruiker met een lage impact wordt ingezet, kan een andere behandeling vragen dan wanneer diezelfde organisatie het systeem verder aanpast en daarmee dichter bij de rol van aanbieder komt. Wat een hoger risiconiveau concreet betekent voor de organisatie wordt beschreven op de pagina over wat een hoog risiconiveau betekent voor de eigen organisatie. Ook is niet elke toepassing binnen scope van dezelfde eisen; welke toepassingen daarbuiten vallen en waarvan dat afhangt, staat op de pagina over welke toepassingen buiten scope vallen.
De reden dat deze indeling voor veel organisaties onduidelijk blijft, is niet dat de regels ontbreken. De actuele tekst en de precieze criteria staan elders en veranderen niet door dit stuk. Het probleem zit ervoor: om te weten welke rol van toepassing is, moet eerst bekend zijn welke AI-systemen er daadwerkelijk in gebruik zijn, door wie, en met welke mate van aanpassing. Die inventarisatie ontbreekt in de meeste organisaties. De officiële lijst van door IT goedgekeurde tools beschrijft zelden wat er werkelijk wordt gebruikt. Afdelingen nemen tools in gebruik, passen modellen aan met eigen data, of bouwen een AI-functie in een intern proces, zonder dat dit ergens centraal wordt vastgelegd. Wie wil weten of de organisatie aanbieder of gebruiker is, moet dus eerst weten wat er draait — en dat is een vraag die niet met een beleidsdocument wordt beantwoord, maar met een inventaris die mensen durft te vragen wat ze gebruiken, zonder daar een afrekening aan te verbinden.
Omdat de rol van een organisatie kan verschuiven zonder formeel besluit, is het voor bestuur en toezichthouders van belang dat rapportages dit meebewegen. Een governance-aanpak die uitgaat van een statische rolverdeling, mist het moment waarop een interne aanpassing de organisatie feitelijk in een andere positie brengt. Hoe een AI-beleid zo kan worden opgesteld dat het dit soort verschuivingen zichtbaar maakt in plaats van verbergt, en dat daadwerkelijk wordt gelezen door wie er verantwoordelijk voor is, komt aan bod op de pagina over een AI-beleid dat aansluit op de praktijk in plaats van op de kast.
De vraag of uw organisatie aanbieder of gebruiker is, gaat over verantwoordelijkheid en verplichtingen. Ze zegt nog niets over wat AI voor het werk zelf betekent: welke taken erdoor worden overgenomen, gewijzigd of ondersteund. Die vraag ligt in het verlengde van de rolbepaling, maar vraagt een andere blik — niet op governance, maar op de werkinhoud. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk door AI over te nemen is, ongeacht welke rol de organisatie inneemt ten opzichte van het onderliggende systeem.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.