Een AI-programmaleider krijgt doorgaans één mandaat: zorg dat AI wordt geadopteerd, dat teams er sneller van worden, dat het programma resultaat laat zien. Er komt zelden een tweede mandaat bij: zorg dat alles wat er ondertussen ontstaat, verantwoord is. Toch wordt hij op beide afgerekend zodra er iets misgaat. Dat is de kern van zijn risico: hij is verantwoordelijk voor een programma waarvan hij de randen niet kent.
Wat hij wint met adoptie — snellere processen, tevreden teams, een zichtbaar vernieuwingsverhaal — staat tegenover wat hij verliest als het misgaat: een incident met een tool die niet op zijn lijst stond, een audit die vragen stelt waar hij geen antwoord op heeft, een bestuur dat vraagt waarom het programma niet zag wat er al draaide. Die asymmetrie maakt zijn positie kwetsbaar, ook als het programma zelf goed loopt.
Zijn vraag is niet "welke AI-tools hebben we goedgekeurd". Die lijst heeft hij, en die is vaak korter dan de werkelijkheid. Zijn vraag is: wat gebruiken teams die niet op mijn lijst staan, en hoe krijg ik dat inzichtelijk zonder dat mensen het verbergen. Een programmaleider die adoptie wil stimuleren, kan zich niet permitteren dat gebruikers hun tools verstoppen uit angst voor een correctie. Wie vraagt wat er gebruikt wordt en er vervolgens een probleem van maakt, krijgt bij de volgende vraag geen antwoord meer. Governance en adoptie werken hier tegen elkaar in als het verkeerd wordt aangevlogen.
Een antwoord dat hij niet accepteert is een enkele blokkade: "AI-gebruik is niet toegestaan zonder goedkeuring." Dat antwoord bevredigt een auditor voor een moment, maar verplaatst het gebruik naar plekken die niemand ziet. Het is het tegenovergestelde van wat een programmaleider wil bereiken: hij wil dat AI-gebruik zichtbaar en begeleid is, niet dat het ondergronds gaat. Een verbod zonder mechanisme om te melden en te leren is voor hem een verlies, ook als het op papier compliant klinkt.
Hij accepteert ook geen antwoord dat alles gelijk behandelt. Een tool die tekst samenvat voor intern gebruik is niet hetzelfde risico als een tool die automatisch beslissingen neemt over klanten of medewerkers. Zonder onderscheid naar rol en risiconiveau kan een programma niet prioriteren, en een programmaleider die niet kan prioriteren, kan zijn mandaat niet uitvoeren.
Wat wel werkt, is een inventarisatie die begint bij wat er is, niet bij wat is goedgekeurd. Dat betekent vragen stellen aan teams over wat ze daadwerkelijk gebruiken, en dat doen op een manier die geen afrekening met zich meebrengt. Alleen dan komt schaduw-AI in beeld — de systemen die zonder formeel traject zijn ingevoerd, vaak omdat ze werk verlichtten en niemand een reden zag om te wachten op goedkeuring.
Daarna volgt classificatie: welke toepassing raakt klanten, welke raakt alleen intern proces, welke neemt beslissingen zonder mens ertussen. Die indeling bepaalt waar toezicht zwaar moet zijn en waar het licht kan blijven. Zonder die indeling behandelt een programma alles even zwaar of even licht, en beide zijn een probleem: het eerste remt adoptie af, het tweede laat risico's onbeheerd.
De governance-structuur die daarop volgt, moet aansluiten op wat er al bestaat binnen de organisatie — de bestaande risicocommissies, de bestaande rapportagelijnen — niet een nieuw circuit ernaast. Dat is ook waar een programmaleider zich onderscheidt van andere rollen in de organisatie: een bestuurder wil weten wat een bestuurder moet weten over AI-risico op het niveau van eindverantwoordelijkheid, een CIO benadert het vanuit systemen en toegang zoals beschreven in wat een CIO moet weten over AI-risico, en een General Counsel kijkt naar aansprakelijkheid en documentatieplicht via wat een General Counsel moet weten over AI-risico. Een programmaleider moet die drie perspectieven kunnen bedienen zonder zijn eigen taak — adoptie — te verliezen.
Welke concrete verplichtingen gelden voor welke risicocategorie, en binnen welke termijnen, is niet het onderwerp van deze pagina. Die tekst verandert, wordt aangescherpt en krijgt uitleg op andere plekken. Hier gaat het om het mechanisme: hoe een programma zicht krijgt op wat er speelt, hoe het dat vertaalt naar risiconiveaus, en hoe het dat aantoonbaar maakt richting bestuur en toezicht, ongeacht wat de exacte regeltekst op een gegeven moment voorschrijft.
Zodra duidelijk is wat er draait en wie ervoor verantwoordelijk is, ontstaat een andere vraag: wat levert het op als dat werk goed wordt ingericht. Dat is een vraag die per taak beantwoord moet worden, niet per organisatie. De werkscan van FTE TO AI rekent op dat niveau uit welk deel van het werk over te nemen is door AI, zodat een programmaleider niet alleen weet wat er speelt, maar ook waar het toevoegen van capaciteit daadwerkelijk verschil maakt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.