Responsible AI Governance
De scan levert een dossier op: een register van AI-toepassingen, een classificatie van rol en risiconiveau, een gap- en verplichtingenrapport, en een set governance-sjablonen met board-rapportage. Wat daarna gebeurt, is niet aan de tool. Dat is aan u, en er zijn drie manieren om het te doen.
De volgorde hieronder is bewust. Zelf doen staat eerst, niet omdat het altijd de beste keuze is, maar omdat het de uitgangssituatie is. Alles wat u aan een partner overdraagt, draagt u aan een partner over nadat het dossier er ligt, niet in plaats van het dossier.
Wat u krijgt: het volledige dossier uit de scan, plus de sjablonen om zelf in te vullen. Het register, de classificatie en de tijdlijn met wat nu moet en wat later kan, staan er. De governance-sjablonen sluiten aan op de bestaande risicostructuur, zodat er geen tweede proces naast het eerste ontstaat. Voor de onderliggende AI Act-kennis, register en geletterdheid is er aiacta.eu, waar dat huis al staat.
Wanneer dit past: als er al een risico- of compliancefunctie is die classificaties, verplichtingen en tijdlijnen kan omzetten in beleid en toewijzing van verantwoordelijkheid. Als de organisatie klein of overzichtelijk genoeg is om het aantal toepassingen en de bijbehorende afspraken zelf te dragen.
Wat u zelf moet kunnen: sjablonen invullen zonder dat iemand ze voor u interpreteert. Accountability daadwerkelijk toewijzen aan een naam, niet aan een team. Human oversight inrichten en volgen, ook als daar geen directe druk vanuit een toezichthouder achter staat. Wie dat niet in huis heeft, loopt het risico dat het dossier op de plank blijft liggen terwijl de scan het net had losgetrokken.
Waar dit niet past: als er geen enkele capaciteit is om het gap-rapport te vertalen naar interne afspraken, of als het aantal toepassingen en betrokken afdelingen te groot is om overzicht zelf vast te houden.
Wat u krijgt: hetzelfde dossier, aangevuld met een partner die met u het oversight-ontwerp maakt en het inbedt in de bestaande risicostructuur. De partner werkt na het rapport, buiten de tool om. De scan blijft het dossier waarop die begeleiding zich baseert; er komt geen los, parallel proces naast te staan.
Wanneer dit past: als de classificatie en de verplichtingen duidelijk zijn, maar het ontwerp van wie waarvoor verantwoordelijk is, en hoe monitoring loopt, meer denkwerk vraagt dan intern beschikbaar is. Ook passend als er wel een risicostructuur bestaat, maar onduidelijk is hoe AI-specifieke oversight daarin landt zonder dubbel werk.
Wat u zelf moet kunnen: de resultaten van het gap-rapport aanleveren en toelichten aan de partner, en zelf beslissen over de inhoud van het beleid. De partner ontwerpt mee, maar de organisatie blijft eigenaar van de keuzes over rol, risico en verantwoordelijkheid.
Waar dit niet past: als er behoefte is aan iemand die het hele traject van begin tot eind overneemt, inclusief uitvoering en monitoring. Dat is route 3, niet deze.
Wat u krijgt: het complete governance-traject bij een partner, met de scan als vaststaand dossier. De partner voert uit wat het gap-rapport aangeeft, richt oversight in, en volgt de horizon-scanner voor wijzigingen. De tool blijft het uitgangspunt en de vastlegging; de uitvoering ligt elders.
Wanneer dit past: als er geen interne capaciteit is om classificatie, oversight en monitoring te vertalen naar lopend beleid, of als de omvang en snelheid van AI-gebruik in de organisatie sneller gaat dan intern bij te houden is.
Wat u zelf moet kunnen: de scope en de opdracht aan de partner scherp maken op basis van het dossier, en de voortgang blijven volgen. Uitbesteden van uitvoering is geen uitbesteden van eigenaarschap: de organisatie blijft verantwoordelijk voor wat er met AI-toepassingen gebeurt, ook als een partner het proces draait.
Waar dit niet past: als het idee is dat een partner ook de beslissing over risicoacceptatie overneemt. Die beslissing ligt bij de organisatie zelf, hoe het traject ook georganiseerd is.
In geen van de drie routes zit een partij van deze scan zelf in de uitvoering. De tool levert het dossier; wat daarna gebeurt, is een keuze die na het rapport wordt gemaakt, niet erin verwerkt. Hoe die uitvraag, classificatie en sjabloonstructuur precies tot stand komen, staat beschreven op hoe het werkt, en wie meer achtergrond zoekt over rol, risico en verplichtingen vindt dat in de kennisbank.
Welke route ook past, geen van de drie zegt iets over hoeveel tijd het kost of welke rollen het raakt. Dat wordt pas concreet wanneer governance wordt vertaald naar taken, uren en systemen, en daarvoor is de werkscan van FTE TO AI (ftetoai.com) de volgende stap. Dat is een ander instrument voor een andere vraag, na deze.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.