AI aan tafel, mensen aan het roer: governance die werkt
Governance rond AI is niets anders dan vooraf vastleggen wie waarover gaat, waar cijfers vandaan komen en wie tekent. Zes afspraken volstaan voor het gros van de MKB-directies: data-eigenaren, herleidbare bronnen, menselijke goedkeuring, privacy en bewaartermijnen, periodieke controle, en scheiding tussen signaleren, adviseren en beslissen. Zet ze op papier voordat de eerste toepassing draait, niet erna.
Wat is AI-governance aan de managementtafel?
AI-governance is het geheel van afspraken dat bepaalt wat AI in je bedrijf mag doen, met welke gegevens, onder wiens verantwoordelijkheid en met welke controle. Geen beleidsstuk van veertig pagina’s, maar een set besluiten die het MT in twee uur kan nemen en op één A4 kan vastleggen.
De reden is simpel. Zolang AI een presentatie samenvat, is het risico klein. Zodra AI meepraat over prijzen, capaciteit, kredietlimieten of personeel, gaat het over geld en mensen. Dan wil je weten waar een cijfer vandaan komt en wie het besluit draagt.
Afspraak 1: leg vast wie eigenaar is van welke data
Per bron één naam. De salarisadministratie hoort bij HR, de debiteurenstand bij finance, de projectcalculatie bij operatie. Die eigenaar bepaalt wie toegang krijgt en of een bron gebruikt mag worden voor een toepassing.
Zonder eigenaarschap ontstaat de bekende situatie: iedereen mag alles zien omdat niemand nee zegt. Werk met rollen, niet met personen, en leg toegangsrechten vast in dezelfde tabel waarin je de bronnen benoemt. Herzie die tabel bij elke nieuwe toepassing.
Afspraak 2: elke analyse is herleidbaar tot de bron
Bij elk cijfer dat op tafel komt, moet je binnen één klik kunnen zien uit welk systeem het komt, van welke datum, en welke bewerking erop is losgelaten. Een uitkomst zonder spoor terug is geen managementinformatie, het is een mening met een getal ervoor.
Toets dit hard. Neem drie willekeurige uitkomsten uit een rapportage en vraag om de bron. Lukt dat niet binnen een minuut, dan is de toepassing niet klaar voor besluitvorming. In de 45-dagenpilot is herleidbaarheid daarom een van de vier meetpunten.
Afspraak 3: mensen keuren goed wat gevoelig of materieel is
Bepaal vooraf twee drempels. Een bedragdrempel: boven welk bedrag komt er altijd een handtekening van een mens? Bijvoorbeeld alles boven € 10.000 aan omzeteffect of kosten. En een onderwerpdrempel: welke thema’s vragen altijd menselijke goedkeuring, ongeacht bedrag?
Onder die tweede categorie horen in elk geval personeel, kredietwaardigheid van klanten, prijsafspraken, leveranciersselectie en alles wat naar buiten gaat richting een klant. De AI mag daar signaleren en voorbereiden. Tekenen doet een mens.
Afspraak 4: privacy, beveiliging en bewaartermijnen staan op papier
Drie vragen die je beantwoordt voordat er één bron wordt gekoppeld.
- Welke persoonsgegevens raken we? Urenregistratie en verzuim raken bijna altijd de AVG. Bepaal of je met geanonimiseerde of geaggregeerde gegevens toe kunt. Vaak wel.
- Waar staan de gegevens en wie kan erbij? Leg vast in welke regio data wordt verwerkt, of gegevens gebruikt worden voor het trainen van modellen (het antwoord hoort nee te zijn), en wie technisch toegang heeft.
- Hoe lang bewaren we wat? Signalen, analyses en tussenbestanden hebben een bewaartermijn nodig, net als je financiële administratie. Zonder termijn groeit een schaduwarchief.
Afspraak 5: beoordeel periodiek of het nog klopt
Een toepassing die in januari betrouwbaar was, kan in juni scheef staan. Een systeem is vervangen, een veld wordt anders gevuld, een klantgroep is geherstructureerd. Plan daarom elk kwartaal een controle van dertig minuten met drie vaste onderdelen.
- Steekproef op juistheid. Vijf signalen handmatig natrekken. Klopte het cijfer, klopte de conclusie?
- Datakwaliteit. Hoe compleet en hoe actueel waren de bronnen? Uren die gemiddeld negen dagen te laat binnenkomen, maken elk signaal negen dagen ouder dan het lijkt.
- Vals alarm. Hoeveel meldingen bleken loos? Boven de 20% raakt het MT de aandacht kwijt en wordt de bandbreedte aangescherpt.
Afspraak 6: scheid signalering, advies en besluit
Dit is de belangrijkste afspraak en de makkelijkste om te laten vervagen. Drie rollen, expliciet gescheiden.
- Signalering. De AI meldt wat afwijkt, feitelijk, met bron en omvang. Geen aanbeveling.
- Advies. Een mens duidt het signaal, weegt context mee en formuleert opties met consequenties. Dat kan een controller, een manager of een adviseur zijn.
- Besluit. Het MT of de bevoegde functionaris kiest, tekent en draagt de gevolgen.
De zesde stoel heeft geen stemrecht. Wie dat loslaat, verliest niet alleen controle maar ook het vermogen om achteraf uit te leggen waarom iets is besloten.
Wat een agent feitelijk wel en niet doet, staat beschreven in Wat zijn AI-agents.
Wat betekent de EU AI Act voor jouw MT?
De EU AI Act is Europese wetgeving die AI-toepassingen indeelt naar risico en daar verplichtingen aan koppelt. Toepassingen met een hoger risico, zoals systemen die worden gebruikt bij werving, beoordeling of promotie van personeel, kennen zwaardere eisen rond documentatie, menselijk toezicht en transparantie. Daarnaast geldt een algemene verplichting om medewerkers die met AI werken voldoende kennis van zaken te geven.
Voor de meeste management-toepassingen in het MKB, denk aan margebewaking of projectrisico, geldt een lichter regime. Dat ontslaat je niet van de plicht om te weten welke toepassingen je hebt en wat ze doen. Houd daarom een eenvoudig register bij: naam van de toepassing, doel, gebruikte bronnen, eigenaar, en of er personeelsgegevens bij betrokken zijn. Dit artikel geeft geen juridisch advies. Toets je situatie bij een jurist of bij je brancheorganisatie.
Checklist voor het MT, vóór de start
Elf punten. Loop ze in één sessie langs en zet er een naam en een datum bij.
- Per bron is een data-eigenaar benoemd, met naam en rol.
- Toegangsrechten zijn per rol vastgelegd, niet per persoon.
- Elke uitkomst is binnen één minuut herleidbaar tot de bron.
- De bedragdrempel voor menselijke goedkeuring staat vast.
- De onderwerpen die altijd menselijke goedkeuring vragen, staan op papier.
- Vastgelegd is welke persoonsgegevens worden geraakt en of aggregatie volstaat.
- Verwerkingslocatie is bekend en modeltraining op eigen data is uitgesloten.
- Bewaartermijnen voor signalen en analyses zijn bepaald.
- De kwartaalcontrole staat in de agenda, met een verantwoordelijke.
- Signalering, advies en besluit zijn aan verschillende rollen toegewezen.
- De toepassing staat in een register, met doel, bronnen en eigenaar.
Deze afspraken maak je aan het begin van de 45-dagenpilot, en ze schalen mee als je toegroeit naar een Digital Business Twin.
Veelgestelde vragen
- Hebben wij een AI-beleid nodig als we één toepassing draaien?
- Een beleidsdocument van veertig pagina’s niet. Wel de elf punten uit de checklist hierboven, vastgelegd op één A4 met namen en datums. Dat is genoeg om verantwoord te starten en groeit mee als je opschaalt.
- Mag AI meebeslissen over personeel?
- Meebeslissen niet. Toepassingen rond werving, beoordeling en promotie vallen onder een zwaarder regime van de EU AI Act, met eisen aan menselijk toezicht en transparantie. Ons uitgangspunt is strenger dan de wet: bij personeel signaleert AI hooguit, en beoordeelt en beslist altijd een mens.
- Wie is aansprakelijk als een AI-signaal fout blijkt?
- De persoon of het orgaan dat het besluit heeft genomen. Dat is precies waarom signalering, advies en besluit gescheiden blijven en waarom elk cijfer herleidbaar moet zijn. Kun je niet reconstrueren waar een cijfer vandaan kwam, dan kun je een besluit ook niet verdedigen.
- Hoe voorkomen we dat het MT blind vertrouwt op de signalen?
- Door elk kwartaal vijf signalen handmatig na te trekken en het percentage vals alarm bij te houden. Zolang mensen de uitkomsten steekproefsgewijs toetsen, blijft de gezonde twijfel intact. Verdwijnt die controle, dan verdwijnt binnen een half jaar ook het kritische gesprek.