Niet elke AI-toepassing in een organisatie vraagt om dezelfde snelheid. Sommige zaken vragen directe aandacht, andere kunnen worden meegenomen in een normale planningscyclus. Het probleem is dat die indeling zelden expliciet wordt gemaakt. Zonder classificatie krijgt alles dezelfde urgentie, of — vaker — geen urgentie.
De vraag of iets nu moet of later kan, is geen kwestie van voorkeur. Ze hangt af van een aantal factoren die samen bepalen hoe zwaar een toepassing weegt.
Het risiconiveau van de toepassing is de eerste factor. Een systeem dat beslissingen neemt over mensen — aanwerving, kredietverlening, toegang tot diensten — weegt anders dan een tool die tekst samenvat voor intern gebruik. Wat een hoog risiconiveau precies betekent voor de verplichtingen van een organisatie, en waarom dat niet voor elke toepassing gelijk is, staat beschreven op wat een hoog risiconiveau betekent voor uw organisatie.
De rol van de organisatie is de tweede factor. Een organisatie die een AI-systeem zelf ontwikkelt of aanpast, draagt andere verantwoordelijkheden dan een organisatie die een kant-en-klaar systeem afneemt en gebruikt. Die rol kan bovendien wijzigen zonder dat er een bewuste keuze aan ten grondslag ligt: wie een model finetunet, aanpast of anders inzet dan bedoeld, kan daarmee van gebruiker naar aanbieder verschuiven. Waar die grens ligt, staat toegelicht op wat verandert er als u een model zelf aanpast en op bent u aanbieder of gebruiker, waar hangt dat van af.
De derde factor is of de toepassing binnen scope valt. Niet elk systeem dat AI wordt genoemd, valt onder dezelfde verplichtingen; sommige toepassingen zijn uitgesloten of vallen onder een lichter regime. Welke toepassingen buiten scope vallen en waarom, staat beschreven op welke toepassingen buiten scope vallen.
Deze drie factoren — risiconiveau, rol, scope — bepalen samen waar een toepassing in de tijdlijn valt. Een hoog-risicotoepassing waarbij de organisatie als aanbieder optreedt, vraagt om andere snelheid dan een laag-risicotoepassing die binnenkort mogelijk buiten scope valt.
De indeling is niet blijvend. Een toepassing die vandaag als beheersbaar geldt, kan dat morgen niet meer zijn — niet omdat de regels veranderen, maar omdat de toepassing zelf verandert. Een model dat wordt aangepast, een systeem dat een nieuwe taak krijgt, een tool die van interne pilot naar productie gaat: elk van die stappen kan de rol of het risiconiveau doen verschuiven.
Ook organisatorische veranderingen spelen een rol. Een fusie, een nieuwe leverancier, een uitbreiding van het gebruik naar een andere afdeling — al deze gebeurtenissen kunnen een toepassing die eerder als 'kan gepland worden' gold, verplaatsen naar 'moet nu'. Wanneer een rol verandert en waar die omslag precies ligt, staat uitgewerkt op wanneer verandert uw rol, waar hangt dat van af.
Dit betekent dat een eenmalige indeling niet volstaat. Wat vandaag als gepland item op de agenda staat, kan door een verandering elders in de organisatie een ander gewicht krijgen. Een vaste, periodieke herbeoordeling is daarom onderdeel van elke indeling die stand moet houden — niet als extra stap, maar als voorwaarde om de indeling actueel te houden.
Een heldere indeling voorkomt twee tegengestelde fouten. De eerste is dat alles als urgent wordt behandeld, waardoor prioriteiten vervagen en de aandacht versnippert over toepassingen die weinig risico dragen. De tweede is dat niets als urgent wordt gezien, waardoor toepassingen met reëel risico jarenlang onder de radar blijven — vaak omdat niemand ze ooit heeft geclassificeerd.
De indeling zelf is geen eenmalig document maar een structuur die met de organisatie meebeweegt. Ze levert een overzicht op van wat aandacht vraagt op korte termijn, wat kan worden meegenomen in een regulier proces, en — cruciaal — wat opnieuw beoordeeld moet worden zodra de situatie wijzigt. Precies dat onderscheid, en de vraag waar het van afhangt, is verder uitgewerkt op wat moet er nu en wat kan gepland worden, waar hangt dat van.
Deze indeling veronderstelt dat bekend is welke toepassingen er zijn. In de praktijk is dat lang niet altijd het geval. Naast de systemen die via IT of inkoop zijn goedgekeurd, draaien er in vrijwel elke organisatie tools die niemand heeft aangevraagd en niemand heeft geregistreerd — een spreadsheet-assistent hier, een tekstgenerator daar, ingezet door mensen die een probleem wilden oplossen en geen procedure wilden doorlopen. Die schaduw-AI verschijnt niet op de IT-lijst, en wie ernaar vraagt zonder dat er iets op het spel staat voor de gebruiker, krijgt eerder een eerlijk antwoord dan wie meteen met een sanctie dreigt. Zonder die inventaris is elke indeling naar urgentie een indeling van een deel van de werkelijkheid, niet van het geheel.
Deze pagina gaat over classificatie: wat weegt zwaar, wat weegt licht, wat vraagt nu aandacht en wat kan wachten. Een andere, aanvullende vraag is wat een AI-toepassing binnen een taak daadwerkelijk oplevert. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk door AI over te nemen is, en biedt daarmee een concreet beeld naast de governance-indeling: niet alleen of een toepassing risico draagt, maar ook wat ze bijdraagt aan het werk zelf.
De Responsible AI Scan is in ontwikkeling. Wie de inventaris, classificatie en governance-set wil gebruiken zodra deze beschikbaar is, kan zich aanmelden voor de wachtlijst.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.