Een bestuur krijgt periodiek rapportages: financieel, operationeel, over risico's die al een plek hebben in de bestaande structuur. Een rapportage over AI die daar los naast staat, met een eigen ritme en een eigen format, wordt in de praktijk overgeslagen. Niet omdat het onderwerp onbelangrijk is, maar omdat een tweede proces naast een bestaand proces een aparte inspanning vraagt die concurreert met alles wat al op de agenda staat. Wat wél gelezen wordt, is wat binnen de bestaande rapportagelijn past: hetzelfde ritme, dezelfde lengte, dezelfde plek in de vergadering.
Een board-rapportage over AI heeft geen behoefte aan een volledige technische inventaris. Het bestuur heeft behoefte aan een antwoord op een beperkt aantal vragen: welke AI-toepassingen zijn er, in welke risicocategorie vallen ze, wat is er sinds de vorige rapportage veranderd, en zijn er escalaties geweest. Dat laatste punt is waar de meeste rapportages leeg blijven — niet omdat er niets gebeurt, maar omdat er geen route bestaat waarlangs een signaal het bestuur bereikt. Zonder werkende escalatiepaden die werken is een rapportage een momentopname zonder geschiedenis: ze laat zien wat er nu is, niet wat er onderweg is misgegaan of bijna is misgegaan.
De rapportage steunt op wat er al vastligt. Een oversight-besluitenlijst met wie wat heeft goedgekeurd, is de bron waaruit de pagina wordt samengevat, niet een apart document dat er los naast bestaat. Wat op de pagina staat, is een verdichting van besluiten die al genomen zijn; het is geen nieuwe beoordeling die het bestuur zelf moet maken op basis van ruwe gegevens.
Organisaties hebben al een risicostructuur: een auditcommittee, een risicocomité, een vaste plek op de bestuursagenda voor operationele risico's. Een AI-rapportage die een eigen commissie, een eigen kalender of een eigen sjabloon introduceert, vraagt van iedereen die er al aan meedoet om iets extra's te doen bovenop wat ze al doen. Dat extra werk wordt uitgesteld zodra de agenda vol raakt, en de agenda raakt altijd vol. Het gevolg is dat de rapportage na een paar keer wegvalt, niet omdat iemand besloot dat AI-risico niet belangrijk is, maar omdat niemand besloot dat het belangrijker was dan wat er al lag.
De oplossing zit niet in meer nadruk op het onderwerp, maar in minder frictie bij het opnemen ervan. Een pagina die in hetzelfde kwartaalritme verschijnt als de andere risicorapportages, die dezelfde lay-out gebruikt en op dezelfde plek in het pakket zit, wordt gelezen omdat lezen ervan geen aparte handeling vraagt. Wat níet werkt, is een aparte AI-governance-cyclus die los van de bestaande cyclus draait — die wordt genegeerd zodra de eerste drukke maand zich aandient.
Een rapportage van een pagina kan alleen kort zijn als de onderliggende structuur compleet is. Ze veronderstelt een wat moet een bestuurder weten over AI-risico-achtig overzicht van rollen en verantwoordelijkheden, zodat de pagina niet elke keer opnieuw hoeft uit te leggen wie waarvoor verantwoordelijk is. Ze veronderstelt een inventaris die niet alleen bevat wat IT heeft goedgekeurd, maar ook wat afdelingen zelf zijn gaan gebruiken zonder dat te melden — schaduw-AI die pas zichtbaar wordt als mensen zonder gevolgen mogen vertellen wat ze werkelijk gebruiken. Een rapportage die alleen de goedgekeurde lijst toont, rapporteert een fictie.
De pagina veronderstelt ook dat er iets gebeurt tussen de rapportages door: monitoring die iets oplevert in plaats van een logboek dat niemand raadpleegt. Zonder die tussenliggende laag is de kwartaalpagina een verrassing bij elke editie, in plaats van een samenvatting van iets dat het hele kwartaal al gevolgd werd. En ze veronderstelt dat het onderliggende beleid geen documentatie voor de vorm is, maar een AI-beleid dat gelezen wordt door de mensen die de systemen dagelijks gebruiken — want een rapportage over naleving van een beleid dat niemand kent, rapporteert vooral over zichzelf.
De bestuurspagina is een verdichting; de onderbouwing zit een laag dieper, bij degene die de systemen kent. Wat een CIO daaraan bijdraagt staat beschreven op wat moet een CIO weten over AI-risico, en die twee lagen — bestuurlijk overzicht en operationele kennis — moeten op elkaar aansluiten voordat de pagina van een kwartier lezen daadwerkelijk iets zegt over wat er in de organisatie gebeurt.
Deze structuur wordt opgebouwd, niet aangeboden als afgerond product. Wie de scan wil die deze inventaris, classificatie en rapportagestructuur oplevert, komt op een wachtlijst; het is in aanbouw en wordt niet als kant-en-klaar instrument verkocht voordat het dat daadwerkelijk is.
Als eenmaal duidelijk is welke AI er draait en in welke risicocategorie ze valt, volgt een andere vraag, die niet over risico gaat maar over inrichting van het werk zelf: welk deel van de taken die nu worden uitgevoerd, zich leent om door AI te worden overgenomen. Dat is een aparte rekensom, die niet op risico maar op taken is gebouwd. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk voor overname in aanmerking komt, als vervolgstap zodra helder is wat er al aan AI in de organisatie aanwezig is.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.