Een General Counsel wordt niet afgerekend op wat er misgaat met AI. Die wordt afgerekend op het moment dat blijkt dat de organisatie niet kon aantonen dat zij het wist, of erger, dat zij het had kunnen weten en niets deed. Dat is het verschil tussen een incident en een tekortkoming. Het eerste overkomt een organisatie. Het tweede wordt haar aangerekend.
De juridische vraag — wat is toegestaan, wat is verplicht, welke termijn geldt — is belangrijk, maar zij komt na een andere vraag. Die vraag is: wat gebruiken wij eigenlijk. Niet wat is aangeschaft, niet wat op de leverancierslijst van IT staat, maar wat mensen in de praktijk laten meebeslissen, meeschrijven of meebeoordelen. Zonder antwoord op die vraag is elk juridisch advies een advies over een situatie die u niet kent.
Dat maakt de positie van de General Counsel ongemakkelijk. U wordt geacht risico's te beoordelen op basis van een inventaris die meestal niet bestaat, of die bestaat uit wat is goedgekeurd — wat per definitie niet is wat iemand zonder toestemming is gaan gebruiken.
"Wij hebben geen AI-beleid nodig, want wij hebben geen AI" is geen antwoord dat standhoudt. Het is een aanname, en aannames zijn precies wat een toezichthouder, een rechter of een journalist niet accepteert achteraf. Evenmin accepteert u een lijst van goedgekeurde tools als volledig beeld: die lijst zegt iets over wat is ingekocht, niets over wat wordt gebruikt.
Wat u wel nodig heeft is een onderscheid tussen soorten gebruik. Een taalmodel dat interne notities samenvat draagt een ander risico dan een systeem dat meeweegt in een aannamebeslissing of een kredietbeoordeling. Zonder classificatie naar rol en risiconiveau is elke discussie over AI-risico een discussie in het algemeen, en algemene discussies leiden niet tot verdedigbare posities.
Schaduw-AI — het gebruik dat buiten iedere goedkeuring om ontstaat — is niet iets dat een IT-afdeling detecteert met een netwerkscan. Mensen gebruiken AI op hun eigen laptop, in hun browser, met hun eigen account. Dat gebruik laat weinig sporen na in een systeem dat daar niet naar zoekt.
Wat wel werkt, is vragen. Maar alleen als het antwoord geen gevolgen heeft voor wie het geeft. Iemand die AI gebruikt om een conceptcontract voor te bereiden, of om een risicoanalyse te laten samenvatten, meldt dat niet als de melding kan leiden tot een berisping. De inventaris die u nodig heeft, komt er alleen als vragen stellen niet gelijkstaat aan afrekenen.
Dat is een precaire balans voor een juridische functie. U bent gewend risico te beoordelen op basis van wat fout kan gaan. Hier moet u eerst zorgen dat mensen durven te vertellen wat zij al doen, voordat u kunt beoordelen of dat een risico is.
De kern van uw positie is niet het voorkomen van elk risico — dat is niet realistisch en wordt ook niet van u verwacht. De kern is aantoonbaarheid: kunt u laten zien dat de organisatie wist wat zij gebruikte, had beoordeeld welk risico daaraan verbonden was, en een structuur had om daar iets mee te doen. Dat is een andere opdracht dan het beheersen van uitkomsten. Het is het beheersen van het proces waarmee uitkomsten worden bewaakt.
Die aantoonbaarheid hoeft niet te steunen op een nieuw kader. De meeste organisaties hebben al een risicostructuur — voor financieel risico, operationeel risico, compliance. AI-risico hoort daarin te landen, niet naast staan als een apart traject dat niemand kent en niemand onderhoudt. Een governance-set die aansluit op wat er al is, wordt gebruikt. Een aparte structuur wordt vergeten na het eerste kwartaal.
Deze positie beschrijft het mechanisme: inventariseren, classificeren, aansluiten op bestaande structuur, aantoonbaar maken. Zij beschrijft niet welke wet- of regelgeving op uw organisatie van toepassing is, welke termijnen gelden, of welke verplichting op welk moment intreedt. Die inhoud verandert, wordt aangevuld, wordt uitgelegd door wie daar gespecialiseerd in is. Wat hier telt, is de structuur waarbinnen die inhoud kan landen zodra u die nodig heeft.
De vragen die u stelt overlappen met wat een risicomanager over AI-risico moet weten en met de positie van een compliance officer die AI-gebruik moet kunnen aantonen. Ook de bestuurder die verantwoording draagt richting raad van commissarissen heeft baat bij dezelfde inventaris waarop u uw eigen beoordeling baseert — het is dezelfde feitenbasis, bekeken vanuit een andere verantwoordelijkheid.
De Responsible AI Scan die dit mechanisme uitvoert — inventariseren, classificeren, aansluiten op de bestaande risicostructuur — is in ontwikkeling. Wie hier nu behoefte aan heeft, kan zich aanmelden voor de wachtlijst. Er is nog geen dienst te leveren; er is een richting waarin dit wordt gebouwd, en die richting is deze.
Zodra duidelijk is welke AI er draait en welk risico daaraan hangt, volgt een andere vraag, die buiten uw eigen verantwoordelijkheid ligt maar er wel op aansluit: welk deel van het onderliggende werk is die AI eigenlijk aan het overnemen. Dat is een vraag die niet over risico gaat, maar over inrichting van werk, en die wordt beantwoord door de werkscan van FTE TO AI, die per taak berekent welk deel voor overname in aanmerking komt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.