De meeste organisaties hebben inmiddels een AI-beleid. Vaak is het goed geschreven, juridisch sluitend en volledig. En vaak wordt het niet gelezen, of gelezen op de dag dat het wordt vastgesteld en daarna niet meer. Dat is geen kwestie van slechte wil. Het is een kwestie van plek in het proces.
Medewerkers die met AI werken, hebben al een proces: het werk zelf. Een AI-beleid dat naast dat werk staat, als apart document dat je erop naslaat, concurreert met de tijd die iemand al niet heeft. Wie een tekst moet schrijven, een dataset moet analyseren of een klantvraag moet beantwoorden, gaat niet eerst het beleid raadplegen. Hij gebruikt de tool die werkt, en denkt er pas aan als iemand ernaar vraagt.
Het gevolg is voorspelbaar. Er ontstaat een praktijk die afwijkt van het document, zonder dat iemand dat kwaad bedoelt. Niemand heeft het beleid genegeerd uit onwil; het paste gewoon niet in het moment waarop de keuze werd gemaakt. Een beleid dat gelezen wil worden, moet daarom niet naast het werk staan, maar erin. Dat betekent dat het antwoord geeft op vragen die zich al voordoen — welke tool mag hier, wie is verantwoordelijk als het misgaat, wat gebeurt er met de output — op het moment dat die vraag zich voordoet, niet drie hoofdstukken verderop in een pdf.
Een AI-beleid dat werkt in de praktijk, bevat in de kern een paar herkenbare onderdelen. Ten eerste een indeling naar risico: niet elke toepassing van AI vraagt dezelfde aandacht, en een document dat alles op één hoop veegt, wordt door niemand serieus toegepast. Ten tweede een helder antwoord op de vraag wie beslist als een geval niet in de indeling past — dat hoort thuis in een oversight-besluitenlijst die vastlegt wie waarover gaat, in plaats van in een voetnoot die niemand terugvindt.
Ten derde een route voor wat er gebeurt als iets misgaat of twijfelachtig is: escalatiepaden die werken beschrijven wie je belt, niet wie je in theorie zou moeten inlichten. Een beleid zonder werkende escalatie is een beleid dat pas wordt gelezen na het incident, en dan is het te laat om nog iets te sturen.
Ten vierde een vorm van opvolging die niet stopt bij vaststelling. Beleid dat eenmalig wordt geschreven en daarna nooit meer wordt getoetst, veroudert sneller dan de praktijk die het moet dekken. Monitoring die iets oplevert is niet een rapportagelast erbij, maar het mechanisme waarmee het beleid weet blijft aansluiten op wat er werkelijk gebeurt.
Een veelgemaakte misvatting is dat AI-beleid een nieuw governancekader nodig heeft. Dat is meestal niet zo. De meeste organisaties hebben al een risicostructuur — voor privacy, voor financiële risico's, voor operationele continuïteit. AI-risico past daar in de meeste gevallen in, als extra categorie of extra vraag binnen bestaande besluitvormingslijnen, niet als apart circuit met eigen vergaderingen en eigen rapportagelijnen. Aansluiten op de bestaande risicostructuur is precies om die reden vaak effectiever dan een nieuw kader optuigen: mensen kennen het proces al, en hoeven niet te leren waar het nieuwe document staat.
Dat aansluiten is ook waar het praktisch vastloopt of juist slaagt. Een beleid dat op papier goed aansluit maar in de praktijk een los document blijft, wordt evengoed genegeerd. De vraag is niet alleen wat er in het document staat, maar hoe het is ingebed in wat mensen al doen — vergaderstructuren, goedkeuringsflows, rapportagemomenten die al bestonden voordat AI een thema werd. Hoe dat er in de praktijk uitziet, hangt af van hoe de organisatie nu al werkt, en daar gaat verder op in wat beschreven staat over hoe zo'n beleid ingebed raakt in wat er al is.
Een beleid dat werkt, laat zich ook in een paar zinnen samenvatten aan wie er niet dagelijks mee werkt. Een bestuur heeft geen behoefte aan het volledige document, maar aan een antwoord op de vraag of het onder controle is en waar niet. Een board-rapportage van een pagina is de test of het beleid werkt: als het niet in een pagina samen te vatten is, is het waarschijnlijk ook niet in de praktijk toe te passen.
Een beleid dat aansluit op de praktijk, veronderstelt dat u weet wat die praktijk is: welke taken er worden gedaan, en welk deel daarvan al met AI wordt uitgevoerd of uit te voeren zou zijn. Dat is een andere vraag dan governance, en die vraag beantwoordt de werkscan van FTE TO AI: die rekent per taak uit welk deel van het werk door AI over te nemen is, zodat beleid niet op aannames rust maar op een concreet beeld van het werk zelf.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.