Een classificatie van een AI-toepassing beschrijft een situatie op een bepaald moment: welk model, welke toepassing, welke gebruikers, welk risico. Die situatie verandert. Een leverancier past een model aan, een team gebruikt een tool voor iets anders dan waarvoor die is aangeschaft, een aanbieder voegt een functie toe zonder dat iemand daar toestemming voor vraagt. De classificatie die u vorig jaar maakte, beschrijft daardoor niet automatisch nog de situatie van vandaag.
De vraag "hoe vaak" heeft geen vast antwoord dat voor elke organisatie geldt. Het hangt af van hoeveel AI-toepassingen er zijn, hoe snel die veranderen, hoe divers de teams zijn die ermee werken, en hoe streng het toezicht op de sector is waarin u opereert. Een vast jaarlijks moment is een startpunt, geen garantie dat u niets mist tussendoor.
Een jaarlijkse of halfjaarlijkse herijking werkt goed voor toepassingen die u al kent en die via een formeel traject zijn binnengekomen. Voor toepassingen die niemand heeft aangemeld, werkt een vast interval niet, simpelweg omdat er niets is om op een vaste datum te herbeoordelen. Wat doet u met medewerkers die een tool gebruiken die niemand heeft goedgekeurd beschrijft waarom die vraag zich niet oplost met een terugkerende afspraak in de agenda, maar met een andere manier van vragen stellen aan de organisatie.
Daarnaast verandert risico niet alleen door wat een toepassing doet, maar ook door wat ermee wordt gevoed. Een chatvenster dat vandaag wordt gebruikt voor het samenvatten van openbare tekst, kan morgen worden gebruikt voor het samenvatten van een contract. Wat doet u met bedrijfsdata in een gratis chatvenster laat zien dat het risiconiveau van eenzelfde tool kan verschuiven zonder dat de tool zelf verandert.
Naast een vast moment zijn er gebeurtenissen die om een tussentijdse herijking vragen. Een wijziging in de functie van een toepassing, een uitbreiding van de gebruikersgroep, een incident of near-miss, een wijziging in de voorwaarden van de leverancier, of een signaal van een medewerker dat iets anders wordt gebruikt dan bedoeld. Die signalen zijn niet allemaal even zwaar, en niet elke organisatie zal ze even snel opmerken.
De vraag wie op die signalen reageert, en wie eigenaarschap heeft over de herijking zelf, is een aparte vraag. Wie is verantwoordelijk als een AI-toepassing een fout maakt beschrijft dat verantwoordelijkheid vaak pas wordt vastgesteld op het moment dat er iets misgaat, terwijl die vraag eigenlijk al bij de eerste classificatie beantwoord had moeten zijn.
Een herijkingsritme dat naast de bestaande risicoprocessen wordt gezet, zonder daarin te integreren, verliest meestal binnen een jaar aan prioriteit. Het is een extra stap die niemand vraagt totdat er iets fout gaat, en juist daardoor blijft het liggen. Waarom een tweede proces naast het bestaande wordt genegeerd legt uit waarom herijking effectiever werkt wanneer die is ingebed in bestaand risicomanagement, in plaats van als losstaand traject dat om aandacht concurreert met de rest van de organisatie.
Een classificatiemethode kan een structuur bieden om AI-toepassingen consistent te beoordelen op rol en risiconiveau, en die structuur kan herhaalbaar worden toegepast. Wat de methode niet kan, is garanderen dat u alles ziet. Een classificatie is zo goed als de informatie die eronder ligt, en die informatie komt deels van mensen die een reden kunnen hebben om iets niet te melden. Een medewerker die een tool gebruikt die niet is goedgekeurd, meldt dat niet uit zichzelf als de verwachting is dat er een sanctie volgt.
De methode kan ook niet voorspellen wanneer een leverancier een model wijzigt, of wanneer een toepassing die vandaag laag risico is, morgen anders wordt ingezet. Herijking blijft daarom een kwestie van herhaling en van openheid organiseren, niet van een systeem dat eenmalig wordt ingesteld en daarna zelfstandig actueel blijft. Hoe u dat register bijhoudt zonder dat het na een paar maanden weer achterloopt, staat beschreven in hoe houdt u een AI-register actueel, waarin het onderscheid tussen een eenmalige inventarisatie en een lopend proces centraal staat.
Daarbij hoort ook de vraag wat toezicht op AI in de praktijk betekent tussen de herijkingsmomenten door: wie kijkt mee, met welke frequentie, en op basis van welke signalen. Wat is menselijk toezicht in de praktijk maakt dat onderscheid tussen toezicht als formeel vinkje en toezicht als iets dat continu meeloopt met het gebruik.
Een classificatie vertelt u welke toepassingen er zijn, welke rol ze hebben en welk risiconiveau daarbij past. Die classificatie vertelt u niet hoeveel van het werk daadwerkelijk door AI wordt gedaan, en hoeveel ruimte er per taak nog over is. Wie die vraag wil beantwoorden, kan niet volstaan met een risico-inventarisatie; dat vraagt een blik op het werk zelf, taak voor taak. De werkscan van FTE TO AI rekent per taak uit welk deel daarvan door AI over te nemen is, als aanvulling op het beeld dat een classificatie oplevert.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.