Een AI-governancekader opbouwen

Het juridisch kader

Geen enkele wet zegt "je moet een AI-governancekader hebben". Maar een aantal plichten uit Verordening (EU) 2024/1689 (de AI-verordening of AI Act) en uit de GDPR kun je alleen nakomen als je er een hebt. Zo'n kader is het geheel van beleid, rollen, registers en controles waarmee je per systeem kunt aantonen dat je weet welke AI je gebruikt, welk recht van toepassing is en wie verantwoordelijk is.

Wat de wet vraagt en governance moet leveren

• AI-geletterdheid (artikel 4 AI Act). Aanbieders en gebruiksverantwoordelijken (deployers) moeten maatregelen nemen zodat hun personeel voldoende AI-geletterd is, passend bij rol en context. De plicht geldt sinds 2 februari 2025. De Digital Omnibus on AI (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026) heeft de tekst van artikel 4 gewijzigd. Check de actuele tekst als je opleidingen opzet.
• Verboden praktijken (artikel 5). Bepaalde toepassingen, zoals emotieherkenning op de werkplek of social scoring, zijn sinds 2 februari 2025 verboden. Governance moet voorkomen dat ze in je organisatie belanden.
• Hoogrisicosystemen. Aanbieders moeten risicobeheer (artikel 9), datagovernance (artikel 10), documentatie (artikel 11), logging (artikel 12) en menselijk toezicht (artikel 14) op orde hebben. Deployers moeten het systeem gebruiken volgens de gebruiksaanwijzing, menselijk toezicht toewijzen aan bekwame mensen, de werking opvolgen, logs minstens zes maanden bewaren en werknemersvertegenwoordigers en getroffen werknemers informeren (artikel 26). De Omnibus heeft de toepassing van de hoogrisicoregels verschoven naar 2 december 2027 voor Bijlage III-systemen en naar 2 augustus 2028 voor systemen in gereguleerde producten (Bijlage I). Zie de tijdlijn van de AI Act.
• Transparantie (artikel 50). Gebruikers moeten weten wanneer ze met een AI-systeem praten of AI-gegenereerde inhoud zien, in de gevallen die het artikel opsomt.
• GDPR. Het verwerkingsregister (artikel 30), de gegevensbeschermingseffectbeoordeling (artikel 35), de regels over uitsluitend geautomatiseerde besluitvorming (artikel 22) en verwerkersovereenkomsten (artikel 28) gelden zodra AI persoonsgegevens verwerkt. Zie de AI Act en de GDPR.

Vijf bouwstenen

1. Inventaris. Een lijst van elk AI-systeem dat je gebruikt of ontwikkelt: doel, data, betrokken personen, leverancier en jouw rol als aanbieder of deployer.
2. Classificatie en beoordeling. Per systeem het risiconiveau onder de AI Act, of je een DPIA nodig hebt en, voor de deployers die artikel 27 viseert, een beoordeling van de gevolgen voor de grondrechten.
3. Verantwoordelijkheid. Een eigenaar per systeem, iemand die beslist over goedkeuren, wijzigen en stopzetten, en een escalatieroute. In kleinere organisaties kunnen die rollen bij dezelfde mensen liggen.
4. Controles. Een gebruiksbeleid voor werknemers, procedures voor menselijk toezicht, logging, incidentbeheer en opleiding.
5. Leveranciersbeheer. Due diligence vóór aankoop, contractvoorwaarden en een periodieke herziening.

In de praktijk

Een Leuvens logistiek bedrijf met 300 werknemers gebruikt een AI-tool om sollicitanten te rangschikken, een chatbot op zijn website en een generatieve assistent waarmee werknemers teksten schrijven. Een AI-beleid heeft het niet.

Het start met een inventaris en vindt elf tools, waarvan drie die niemand in de directie had goedgekeurd. De wervingstool valt onder Bijlage III en is hoog risico. Het bedrijf is deployer en moet zich voorbereiden op de verplichtingen vanaf de toepasselijke datum. Voor de chatbot is een melding nodig dat het om AI gaat. De generatieve assistent is oké voor algemene tekst, maar niet voor klantgegevens, en dat zegt het beleid.

Het bedrijf benoemt een AI-verantwoordelijke in HR en een in IT, zet AI op de aankoopchecklist, doet een DPIA voor de wervingstool en plant opleidingen. Het hele kader bestaat uit een paar documenten en een register. Het staat in verhouding tot het bedrijf en je kunt het aan een toezichthouder laten zien.

Een jaar later wil de klantendienst een nieuwe tool om gesprekken samen te vatten. Dankzij het kader loopt die aanvraag via een vaste route: de systeemeigenaar vult de inventaris aan, het risiconiveau wordt bepaald, de leverancier wordt getoetst aan de aankoopchecklist en de DPO beoordeelt of een DPIA nodig is. De beslissing en de motivering komen in het register, zodat je ze later kunt herhalen of verdedigen.

Veelgestelde vragen

Hebben we een kader nodig als we alleen tools zoals ChatGPT gebruiken?

Je hebt minstens een beleid, een inventaris en opleiding nodig. De geletterdheidsplicht en de GDPR gelden ook bij beperkt gebruik.

Wie moet de AI-governance beheren?

Een senior persoon met gezag over juridisch, IT en HR, vaak met de DPO als steun. De AI Act schrijft geen specifieke functietitel voor.

Hoe verschilt dit van GDPR-compliance?

De GDPR gaat over persoonsgegevens. De AI Act gaat over AI-systemen, met of zonder persoonsgegevens. Ze delen instrumenten zoals registers en effectbeoordelingen, maar niet hetzelfde toepassingsgebied.

Hoe vaak moeten we het bijwerken?

Bij de invoering of wijziging van een systeem, bij wijzigingen in de regelgeving en op een vast moment om te herzien, bijvoorbeeld jaarlijks.

Hoe dit samenhangt

Met onze dienst naleving van de AI-verordening bouwen we dit kader samen met je op. Ons AI Act-register en onze beoordelingen houden inventaris, classificatie en beoordelingen bij, onze nalevingsregisters bevatten de GDPR-registers en onze DPIA-tool helpt bij de effectbeoordelingen, waarna een jurist de resultaten nakijkt.