Een compliance officer verliest niet bij de eerste vraag over AI. Die verliest bij de tweede: als blijkt dat het antwoord op de eerste vraag onvolledig was. "Welke AI-systemen zet uw organisatie in" is te beantwoorden met een lijst uit het IT-portfolio. De vraag die daarna komt — "is dat de volledige lijst" — is de vraag waar de meeste compliance-dossiers op stuklopen.
Niet: welke AI-tools heeft de organisatie aangeschaft. Wel: welke AI-systemen worden daadwerkelijk gebruikt, door wie, voor welke beslissingen, en op basis van welke risico-inschatting. Dat zijn vier vragen, geen één. De eerste is een inkooplijst. De overige drie vereisen dat mensen vertellen wat ze doen, inclusief wat ze niet hebben laten goedkeuren. Een compliance officer die alleen de inkooplijst heeft, heeft een vals gevoel van dekking — en dat is riskanter dan geen dekking, omdat het gerapporteerd wordt als volledig.
Medewerkers die een taal- of analysetool gebruiken zonder dat in te kopen via IT, laten daar geen spoor van na in een assetregister. Ze laten er wel een spoor van na in wat ze produceren: rapportages, klantcommunicatie, adviezen. Het gat tussen wat geregistreerd staat en wat gebruikt wordt, is meestal geen opzettelijke overtreding. Het is de uitkomst van een organisatie die sneller een tool vindt dan een goedkeuringsproces doorloopt. Compliance kan dat gat niet dichten met een strenger verbod — dat verplaatst het gebruik alleen verder uit het zicht. Het gat dicht je door te vragen zonder dat er een sanctie op het antwoord staat. Wie bang is voor een aantekening in zijn dossier, vertelt niet wat hij gebruikt; hij vertelt wat hij denkt dat u wilt horen.
Een risicomanager wil weten hoe groot de blootstelling is. Een compliance officer wil dat, plus iets extra's: kan ik aantonen dat we het proces gevolgd hebben, ook als de uitkomst achteraf discutabel blijkt. Dat is een ander soort bewijslast. Het gaat niet alleen om de classificatie van een systeem, maar om het spoor: wie heeft dit beoordeeld, op welk moment, met welke informatie, en is die beoordeling herhaald toen het systeem veranderde. AI-systemen worden bijgewerkt zonder aankondiging; een classificatie van een half jaar geleden zegt weinig over het systeem van vandaag. Compliance moet dus niet alleen een uitkomst kunnen tonen, maar een proces dat blijft lopen.
"We hebben een AI-beleid" is geen antwoord op de vraag of dat beleid iets dekt. Een beleidsdocument dat nooit is getoetst aan wat er werkelijk gebruikt wordt, is een verklaring van intentie, geen verklaring van stand van zaken. Wat een compliance officer nodig heeft is een inventaris die aansluit bij bestaande risicocategorieën — dezelfde indeling die al gebruikt wordt voor andere operationele risico's — zodat AI niet als apart, exotisch onderwerp naast de rest van het risicoraamwerk komt te staan, maar erin.
De compliance officer werkt dit zelden alleen uit. De vraag welke systemen als hoogrisico gelden en welke bewijslast daarbij hoort, raakt aan wat een General Counsel moet weten over AI-risico vanuit aansprakelijkheid en contractuele verplichtingen. De vraag of de organisatie technisch kan traceren welke systemen draaien, ligt bij wat een CIO moet weten over AI-risico. En de vraag of dit onderwerp de bestuurstafel bereikt voordat het escaleert, hoort bij wat een bestuurder moet weten over AI-risico. Compliance is vaak de partij die deze drie lijnen bij elkaar moet brengen zonder zelf eigenaar te zijn van de techniek of het contract.
De regelinhoud — welke verplichtingen precies gelden, per risicocategorie, met welke termijnen — staat elders en verandert. Deze pagina beschrijft het mechanisme: hoe u weet wat er draait, hoe u dat classificeert, en hoe u aantoont dat het proces gevolgd is. Een compliance officer die op zoek is naar de actuele wettekst vindt die niet hier.
Hoeveel schaduw-AI een organisatie heeft, hangt af van de sector, de cultuur en hoe streng eerdere verboden zijn gehandhaafd. Een strenger verbod correleert vaak met meer verborgen gebruik, niet met minder. Dat patroon is niet overal gelijk: in de bouw ligt het zwaartepunt bij projectcalculatie en planning, terwijl in de installatiebranche het vaker gaat om onderhoudsdiagnostiek en storingsanalyse. De inventarisatie moet dus per organisatie gebeuren; een landelijk gemiddelde zegt weinig over uw eigen blootstelling.
De Responsible AI Scan brengt in kaart wat er werkelijk gebruikt wordt, classificeert dat naar rol en risiconiveau, en levert een governance-set die aansluit op de bestaande risicostructuur — zonder daarbij vooruit te lopen op wat elders al is vastgelegd. Deze scan is in aanbouw. Wie hier belang bij heeft, kan zich aanmelden voor de wachtlijst; er wordt niets aangeboden dat nog niet af is.
Wie eenmaal weet welke AI-systemen er draaien, stuit vaak op de vervolgvraag: wat betekent dat voor de personeelsbezetting en de taakverdeling. Dat is een andere rekensom dan risicoclassificatie, en die maakt FTE TO AI met de werkscan, die per taak berekent welk deel van het werk door AI is over te nemen.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.