De vraag of een AI-toepassing binnen uw organisatie als hoog risico geldt, is geen vraag die u eenmalig beantwoordt en dan afvinkt. Het is een uitkomst van een aantal factoren die samen bepalen hoe zwaar een toepassing weegt. Verandert een van die factoren, dan verandert mogelijk ook de indeling. Dat maakt risicoclassificatie minder een kwestie van invullen en meer een kwestie van bijhouden.
Deze pagina beschrijft het mechanisme achter die indeling: waar hangt het van af, en wat gebeurt er als de situatie wijzigt. De actuele wettelijke definities en drempels staan elders; hier gaat het om wat u in de eigen organisatie moet kunnen zien en aantonen.
Een aantal factoren speelt structureel een rol bij de vraag of een toepassing zwaar weegt.
De eerste is het domein waarin de toepassing wordt ingezet. Sommige domeinen — denk aan beslissingen over mensen, hun kansen of hun rechten — wegen zwaarder dan toepassingen die uitsluitend intern en ondersteunend zijn. Wat de toepassing precies doet binnen dat domein maakt daarbij verschil: een systeem dat adviseert weegt anders dan een systeem dat automatisch beslist.
De tweede factor is de rol die uw organisatie speelt ten opzichte van het systeem. Bouwt u het zelf, koopt u het in, of gebruikt u een dienst waarin AI verwerkt zit zonder dat u dat als zodanig heeft ingekocht? De rol die u vervult — aanbieder of gebruiker — bepaalt mede welke verplichtingen op uw bord liggen en welk deel van de verantwoordelijkheid bij een leverancier blijft.
De derde factor is wat er met het model gebeurt na de eerste inzet. Een systeem dat ongewijzigd wordt gebruikt zoals het is aangeleverd, is een andere situatie dan een systeem dat u finetunet, herconfigureert of laat leren op eigen data. Wat er verandert als u een model zelf aanpast is dan ook een vraag die apart beantwoord moet worden — aanpassing kan een systeem van categorie laten wisselen.
De vierde factor is de reikwijdte: hoeveel mensen worden er geraakt, met welke frequentie, en hoe omkeerbaar is een fout. Een toepassing die incidenteel wordt gebruikt door een klein team weegt anders dan een toepassing die dagelijks besluiten voor duizenden klanten beïnvloedt.
Deze factoren zijn niet statisch. Een toepassing die vandaag als beperkt risico geldt, kan dat morgen niet meer zijn — niet omdat de regels veranderden, maar omdat de toepassing zelf veranderde. Een pilot die opschaalt naar de hele organisatie, een intern hulpmiddel dat een klantproces gaat raken, een model dat wordt bijgetraind op nieuwe data: elk van die stappen kan de indeling doen kantelen.
Dat betekent dat classificatie geen eenmalige exercitie is. Het is een vraag die telkens opnieuw gesteld moet worden zodra er iets wijzigt aan wat een systeem doet, wie het raakt, of wie het beheert. Een governance-structuur die dat niet volgt, loopt achter de praktijk aan.
Niet elke AI-toepassing hoeft door dit hele traject. Een deel van wat er binnen een organisatie draait, valt buiten de reikwijdte van risicoclassificatie — bijvoorbeeld omdat het geen besluiten over mensen raakt of omdat het uitsluitend een ondersteunende, niet-bepalende functie heeft. Waar die grens precies ligt en welke toepassingen buiten scope vallen hangt af van dezelfde factoren als hierboven beschreven: domein, rol, aanpassing en reikwijdte. Het is dus geen aparte lijst, maar de andere kant van dezelfde beoordeling.
Een indeling op zichzelf verandert niets. Ze bepaalt alleen welke vervolgstappen aan de orde zijn, en met welke urgentie. Sommige acties zijn direct nodig, andere kunnen ingepland worden — en wat er nu moet gebeuren en wat gepland kan worden hangt weer samen met hoe zwaar de toepassing weegt en hoeveel mensen ze raakt.
Om die stappen zichtbaar en navolgbaar te maken, moeten besluiten over classificatie en vervolgacties ergens vastgelegd worden — niet als losse notities, maar als onderdeel van een oversight-besluitenlijst die laat zien wie wat besloot en op basis van welke informatie. Zonder die vastlegging is een indeling een momentopname die niemand meer kan reconstrueren.
Deze indelingsvraag kan alleen goed beantwoord worden als bekend is wat er daadwerkelijk draait. Een IT-lijst met goedgekeurde tools is daarvoor niet genoeg: een groot deel van het gebruik ontstaat buiten die lijst, in teams die een tool zijn gaan gebruiken zonder dat ergens te melden. Wie dat gebruik in kaart wil brengen, moet ernaar vragen — en dat alleen doen zonder dat er een afrekening aan vastzit, anders blijft het antwoord uit.
Zodra duidelijk is welke toepassingen er zijn en hoe ze wegen, ontstaat een vervolgvraag die niet meer over risico gaat, maar over werk: welk deel van een taak kan een AI-systeem overnemen, en welk deel blijft mensenwerk. Die vraag beantwoordt de werkscan van FTE TO AI, die per taak berekent welk deel van het werk over te nemen is — een andere invalshoek dan risicoclassificatie, maar een die op dezelfde inventaris voortbouwt.
Deze pagina beschrijft het mechanisme achter de indeling. De Responsible AI Scan zelf is in ontwikkeling; wie de uitkomsten ervan wil gebruiken zodra ze beschikbaar zijn, kan zich aanmelden voor de wachtlijst.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.