Responsible AI Governance
Herkent u dit: iemand op de financiële afdeling gebruikt een AI-tool om rapportages te schrijven, niemand op IT weet dat hij bestaat, en als er iets misgaat is niet duidelijk wie erop aangekeken wordt. Of: de tool die op de IT-lijst staat is allang vervangen door iets dat medewerkers zelf hebben gevonden, sneller werkt, en met bedrijfsdata voedt zonder dat iemand ernaar heeft gekeken. Dat is niet een registratieprobleem. Dat is een verantwoordelijkheidsprobleem dat pas zichtbaar wordt op het moment dat het te laat is om het rustig te regelen.
Deze pagina beschrijft wat er op tafel ligt zodra dat beeld compleet is: niet als belofte, maar als opsomming van onderdelen.
De scan levert geen enkel document op, maar een reeks onderdelen die op elkaar aansluiten.
Allereerst een overzicht van toepassingen, opgebouwd via een uitvraag-tool die naar afdelingen en medewerkers gaat en via geleide deskresearch wordt aangevuld. Dat overzicht bevat niet alleen wat IT kent, maar ook wat daarbuiten is gegroeid: de toepassingen die niemand formeel goedkeurde, met wie ze gebruikt en waarvoor.
Daarna volgt, per toepassing, een classificatie: welke rol de organisatie erin speelt (aanbieder of gebruiker) en welk risiconiveau van toepassing is. Die classificatie komt uit de aiacta-datasets, niet uit een inschatting ter plekke. Op basis daarvan ontstaat een tijdlijn: wat nu een verplichting is, en wat later gepland kan worden. Zo wordt zichtbaar waar haast bij hoort en waar niet.
Vervolgens is er een governance-framework, uitgewerkt als sjablonen-set. Die sjablonen zijn gemaakt om aan te sluiten op de bestaande risicostructuur van de organisatie, zodat er geen tweede proces naast het eerste hoeft te ontstaan. Daar komt een board-rapportage bij, samengevat op één pagina, bedoeld om de kern van de situatie te delen zonder dat iedereen het onderliggende materiaal doorspit.
Ten slotte is er een abonnement op een horizon-scanner, om te volgen wat er in de tijd verandert: nieuwe toepassingen, nieuwe regelgeving, verschuivingen in risico. Wat op het moment van de scan klopt, kan enkele maanden later weer achterhaald zijn; het abonnement is daar het antwoord op, niet een eenmalig rapport.
Hoe deze onderdelen precies tot stand komen, van uitvraag tot sjabloon, staat uitgewerkt op hoe het werkt; wie wil zien hoe de eindresultaten er inhoudelijk uitzien, vindt dat op uitkomsten.
De gegevens komen uit twee bronnen. Het overzicht van toepassingen komt uit wat de organisatie zelf invoert via de uitvraag-tool, aangevuld met deskresearch die zichtbaar maakt waar het overzicht op rust. De classificatie van rol, risico en verplichting komt uit de aiacta-datasets: gestructureerde informatie over de AI Act, niet uit een losse beoordeling. Dat betekent dat elke uitkomst te herleiden is naar waar ze vandaan komt, en dat niets in het rapport op een onderbouwde inschatting berust die niet ook is terug te vinden in de bron. Wie wil weten hoe die datasets zijn opgebouwd en bijgehouden, kan dat nalezen in de kennisbank.
Drie dingen liggen buiten wat deze scan doet, en dat is met opzet zo.
Het is geen AI Act-compliance-tool. Voor register, classificatie en geletterdheid volgens de AI Act is aiacta.eu het huis; die grens verschuift niet. Deze scan gebruikt de datasets van dat huis, maar vervangt het niet.
Het is geen bewijs van een uitgevoerd traject. De scan structureert wat er is op het moment van uitvoering; ze toont geen staat van dienst en claimt geen ervaring met eerder afgeronde trajecten. Wat de scan oplevert is een foto van de huidige situatie, niet een track record.
Het is geen tweede proces naast de bestaande structuur. De sjablonen zijn gemaakt om in te voegen in wat er al aan risicomanagement of compliance bestaat, niet om daarnaast een eigen leven te gaan leiden. Of dat inpassen in de praktijk soepel verloopt, hangt af van hoe die bestaande structuur is opgebouwd — dat kan de scan zelf niet garanderen.
Met het overzicht, de classificatie, de tijdlijn en de sjablonen op tafel, ontstaat een keuzemoment over de vervolgstap. Sommige organisaties pakken register, sjablonen en tijdlijn zelf op, en regelen geletterdheid via de aiacta-stoelen. Andere zoeken een partner voor het ontwerp van het oversight-proces en de inbedding in de bestaande risicostructuur. Weer andere besteden het volledige governance-traject uit aan een partner, met de scan als het dossier waarop dat traject start. Welke route passend is, hangt af van de omvang van de organisatie, de complexiteit van de gevonden toepassingen en de capaciteit die intern beschikbaar is — dat is een afweging die de organisatie zelf maakt, niet iets wat de scan voorschrijft.
De knop om de scan te starten staat momenteel op een wachtlijst; wie zich aanmeldt, krijgt bericht zodra de tool beschikbaar is.
AI-governance krijgt pas betekenis als duidelijk is welke taken, uren en systemen er concreet mee gemoeid zijn. Die vertaalslag, van toepassing naar werklast, maakt de werkscan van FTE TO AI (ftetoai.com) inzichtelijk.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.