Een AI-toepassing maakt een fout. Een besluit klopt niet, een advies is misleidend, een klant wordt onterecht afgewezen. De vraag die dan volgt is niet alleen technisch. Wie had dit moeten zien aankomen, wie beheerde het systeem, en wie kan uitleggen waarom het werd ingezet zoals het werd ingezet.
Dat antwoord bestaat niet los van een register. Verantwoordelijkheid veronderstelt dat iemand weet dat een toepassing bestaat, waarvoor die dient, en wie erover gaat. Zonder die basis is de vraag naar aansprakelijkheid retorisch: er is niemand die het weet, dus er is niemand die het kan uitleggen.
Een Responsible AI Scan brengt in kaart wat er draait, wie het gebruikt en met welk risiconiveau dat gepaard gaat. Dat is een startpunt, geen uitspraak over schuld. De scan classificeert een toepassing naar rol en risico; hij beoordeelt niet of een individuele beslissing juist was. Die beoordeling hoort bij het incident zelf, niet bij de inventaris die eraan voorafging.
Wat de scan wel doet, is de structuur leveren waarbinnen die beoordeling later te maken is. Als bekend is wie een toepassing heeft aangeschaft, wie hem beheert en voor welk doel hij is goedgekeurd, is er een lijn om op terug te vallen. Ontbreekt die structuur, dan valt de vraag naar verantwoordelijkheid terug op giswerk achteraf.
De meeste organisaties hebben een overzicht van goedgekeurde software. Dat overzicht is bijna nooit compleet. Medewerkers gebruiken tools die niemand heeft aangemeld, vaak omdat het werk sneller gaat en niemand ernaar vroeg. Dat is niet per definitie onverantwoord gedrag; het is wat er gebeurt als een organisatie geen andere weg biedt.
Wie wil weten wat er echt gebruikt wordt, moet het vragen. En dat werkt alleen als vragen geen gevolgen heeft. Zodra een medewerker vermoedt dat een eerlijk antwoord tot een corrigerend gesprek leidt, stopt het antwoord. Wat doet u met medewerkers die een tool gebruiken die niemand heeft goedgekeurd gaat over precies dat mechanisme: de inventaris is zo goed als het vertrouwen waarmee ze wordt opgehaald.
Daarbij hoort ook de vraag wat er met bedrijfsinformatie gebeurt zodra die in een extern venster wordt getypt. Wat doet u met bedrijfsdata in een gratis chatvenster beschrijft een risico dat los staat van kwaadwillendheid: iemand wil gewoon een tekst laten controleren, en typt daarbij mee wat niet had gemogen.
Een governance-set die op een inventaris volgt, regelt wie een toepassing goedkeurt, wie toezicht houdt en hoe dat wordt vastgelegd. Dat sluit aan op de risicostructuur die een organisatie al heeft voor andere domeinen: dezelfde comités, dezelfde rapportagelijnen, dezelfde escalatiepaden. Er komt geen nieuw apparaat naast het bestaande; er komt een categorie toe aan wat al bestaat.
Dit levert aantoonbaarheid op: een bestuur kan laten zien dat er is gekeken, geclassificeerd en toezicht is ingericht. Het levert geen garantie op dat een toepassing nooit meer een fout maakt. Die twee liggen uit elkaar en de scan doet geen uitspraak over de tweede. Wat hij oplevert is een basis waarop een bestuur kan uitleggen wat er is gedaan, niet een verzekering tegen wat er nog kan gebeuren.
Een vaak gemaakte fout is een apart AI-proces optuigen, los van de bestaande risico- en compliancestructuur. Dat proces krijgt in het begin aandacht en verdwijnt daarna naar de achtergrond, omdat niemand een tweede systeem naast het eerste blijft onderhouden. Waarom een tweede proces naast het bestaande wordt genegeerd legt uit waarom aansluiting bij bestaande structuren niet een kwestie van efficiëntie is, maar een voorwaarde om iets te laten bestaan.
Daar hoort ook bij dat een inventaris een moment is, geen eindpunt. Nieuwe toepassingen komen erbij, bestaande veranderen van functie, en een classificatie die klopte bij oplevering klopt niet automatisch een jaar later. Hoe vaak moet u opnieuw classificeren en hoe houdt u een AI-register actueel beschrijven wat dat onderhoud in de praktijk vraagt, en waarom een register dat eenmalig is opgesteld binnen afzienbare tijd niet meer klopt met de werkelijkheid.
De mensen die met deze toepassingen werken, zijn bovendien onderdeel van de oplossing, niet alleen een risico dat beheerst moet worden. Wat medewerkers wel en niet begrijpen van de systemen die ze gebruiken, bepaalt of een governance-set in de praktijk iets betekent. Wat betekent AI-geletterdheid voor uw medewerkers gaat in op dat aspect.
Wie eenmaal weet welke AI-toepassingen er draaien en wie erover gaat, stuit vanzelf op een vervolgvraag: welk deel van het werk dat nu handmatig gebeurt, is eigenlijk geschikt om aan een AI-toepassing over te laten. Dat is een andere vraag dan verantwoordelijkheid, maar wel een die op dezelfde inventaris steunt. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk over te nemen is door AI, als een volgende stap nadat helder is wat er al draait en wie erover beslist.
De scan die op deze pagina wordt beschreven, is in aanbouw. Wie hierin geïnteresseerd is, kan zich aanmelden voor de wachtlijst; er wordt nu nog niets geleverd dat niet af is.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.