U beheert een risicoregister dat is opgebouwd rond risico's die zich laten identificeren, wegen en toewijzen. Operationeel risico, kredietrisico, compliance-risico: elk heeft een eigenaar, een beheersmaatregel, een rapportagelijn. AI-risico past niet vanzelf in dat patroon, omdat het eerste probleem niet de weging is. Het eerste probleem is dat u niet weet wat u weegt. Een team dat een taalmodel gebruikt om conceptadviezen te schrijven, een afdeling die een extern AI-abonnement heeft afgesloten buiten de IT-inkoop, een spreadsheet-macro die inmiddels een voorspelmodel is geworden: dit zijn geen randgevallen, dit is waar het risico zit, en het staat nergens.
Uw vraag is niet "is AI risicovol". Uw vraag is: wat draait er, wie is er verantwoordelijk voor, en op basis van welke informatie kan ik dat aan het bestuur en de toezichthouder verantwoorden. Het antwoord dat u niet accepteert, is de geruststelling zonder onderbouwing. "Er loopt niets bijzonders" is geen antwoord op een risicovraag, het is de afwezigheid van een antwoord. Een risicomanager die dat doorgeeft aan het bestuur, geeft door dat er niet is gekeken, niet dat er niets is.
Het tweede antwoord dat u niet accepteert, is de lijst uit het IT-systeembeheer als volledig beeld. Die lijst toont wat is aangevraagd en goedgekeurd. AI-gebruik ontstaat voor een groot deel juist buiten die aanvraag, omdat een los abonnement, een browserextensie of een ingebouwde functie in bestaande software niet als "nieuw systeem" wordt herkend. Wie het risico wil kennen, moet dus niet alleen het systeemlandschap raadplegen, maar de mensen die het werk doen, en dat vraagt een andere aanpak dan een IT-audit.
Als risicomanager kent u het patroon van onder-rapportage bij elk risicothema waar een medewerker iets te verliezen heeft bij eerlijk antwoorden. AI-gebruik is daar een scherp voorbeeld van: als het melden van een gebruikt hulpmiddel gepaard gaat met het intrekken van de toegang, meldt niemand het meer. De inventarisatie die iets oplevert, is de inventarisatie die vraagt zonder gevolgen te verbinden aan het antwoord. Dat is een andere vaardigheid dan risicobeheersing normaal vereist, en het is waarom een schaduw-AI-inventaris niet als controle wordt ingericht, maar als peiling.
Zodra het gebruik in beeld is, is de volgende stap niet het beoordelen van de leverancier of het model. Het is het beoordelen van de rol die het systeem speelt in een proces. Een AI-toepassing die tekst herformuleert draagt een ander risico dan een toepassing die meeweegt in een besluit over een klant, een medewerker of een investering. Diezelfde technologie, ingezet in een andere rol, valt in een andere risicoklasse. Dat onderscheid is precies wat een risicoregister nodig heeft om AI-risico te kunnen plaatsen naast de risico's die er al in staan, zonder een apart, geïsoleerd AI-hoofdstuk te creëren dat niemand raadpleegt.
Een risicomanager heeft geen belang bij een nieuw framework naast het bestaande. Het belang ligt bij een governance-set die aansluit op de risicostructuur die er al staat: dezelfde eigenaarschapslogica, dezelfde escalatiepaden, dezelfde rapportagecyclus naar het bestuur. AI-risico dat als losstaand thema wordt behandeld, verdwijnt tussen de reguliere rapportages. AI-risico dat wordt ingebed in de bestaande risicotaxonomie, blijft zichtbaar op de plek waar het bestuur al kijkt.
U zult op een gegeven moment gevraagd worden wat u weet over AI-gebruik in de organisatie, door een toezichthouder, een auditor of het bestuur zelf. Het antwoord dat standhoudt, is niet "alles is in kaart", want dat is voor een dynamisch gebruikspatroon zelden waar te maken. Het antwoord dat standhoudt, is een aantoonbaar proces: hoe is geïnventariseerd, welke classificatie is toegepast, welke governance-afspraken volgen daaruit, en met welke frequentie wordt dat herhaald. Dat is een andere lat dan volledigheid, en het is de lat waarop risicomanagement normaal al wordt beoordeeld.
Deze vraag stelt zich niet identiek voor elke rol in de organisatie. Wat een compliance officer nodig heeft van deze inventarisatie, leest u in wat moet een compliance officer weten over AI-risico, de sturingsvraag van wie het programma trekt staat in wat moet een AI-programmaleider weten over AI-risico, en hoe dit onderwerp landt op het niveau van het bestuur zelf staat beschreven in wat moet een bestuurder weten over AI-risico. Voor risicomanagement in specifieke sectoren, met eigen ketens en toezichtvormen, is het beeld verder aangescherpt in hoe AI-governance eruitziet in de bouw en in hoe AI-governance eruitziet in de installatiebranche.
De tekst van de geldende regels, met hun precieze definities en termijnen, staat niet op deze pagina en wordt elders actueel gehouden. Wat hier beschreven is, is het mechanisme: hoe u van een onbekend gebruikspatroon naar een classificeerbaar, rapporteerbaar risico komt.
Een inventarisatie van AI-risico brengt onvermijdelijk ook iets anders in beeld: welk deel van het werk al feitelijk door AI wordt gedaan, en welk deel dat zou kunnen. Dat is een andere vraag dan risicobeheersing, maar ze deelt de bron. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk over te nemen is door AI, en sluit daarmee aan op precies de inventarisatie die risicomanagement nu al nodig heeft.
De Responsible AI Scan wordt momenteel ontwikkeld. Wie hier gebruik van wil maken zodra deze beschikbaar is, kan zich aanmelden voor de wachtlijst.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.