Weet welke AI je bedrijf gebruikt, wat die doet en wie erop let

Ergens in je bedrijf draait al AI. Een collega vat klantgesprekken samen met ChatGPT, de binnendienst laat een tool orders uit pdf's lezen en op de website staat een chatbot die een leverancier ooit heeft aangezet. Niemand weet precies welke data erdoorheen gaat, wie de uitkomsten controleert en wat je antwoordt als een klant of toezichthouder ernaar vraagt. AI-governance is het antwoord op die vragen: vastleggen wat er draait, afspreken wie erop let en regelmatig toetsen of het nog doet wat je denkt.

Welke AI draait er eigenlijk al in je bedrijf

We beginnen met een inventarisatie. Niet van wat je gepland hebt, maar van wat er nu in gebruik is: losse abonnementen, functies die in Exact of AFAS zijn aangezet, scripts die een ontwikkelaar ooit heeft gebouwd en de tools die medewerkers privé gebruiken voor hun werk. Bij de meeste bedrijven van tien tot honderd mensen komen we op meer systemen uit dan de directie verwacht. Per systeem noteren we welke data erin gaat, waar het model draait, wie de uitkomst ziet en welke beslissing daarvan afhangt.

Dat register is de basis van alles wat volgt. Zonder overzicht kun je geen spelregels maken en niets toetsen. Heb je net een AI & Processcan gedaan, dan gebruiken we die proceskaart als vertrekpunt en vullen we hem aan met wat daar nog niet in stond.

Een register, spelregels en iemand die erop let

Governance klinkt als een map met beleid die niemand leest. Wij houden het praktisch: een register dat je zelf bij kunt houden, spelregels van hooguit een paar pagina's en per AI-systeem één persoon die verantwoordelijk is. De spelregels beantwoorden concrete vragen. Welke data mag wel en niet naar een model? Wanneer moet een mens de uitkomst controleren voordat die naar een klant gaat? Wat doe je als het model iets verkeerds oplevert, en bij wie meld je dat?

We richten ook de techniek in die de spelregels controleerbaar maakt: logging van wat een model heeft gezien en geantwoord, versiebeheer van prompts en modellen, en een afgeschermde omgeving binnen de EU voor alles wat persoonsgegevens verwerkt. Bouwen we zelf een oplossing via AI-implementatie, dan zit dit er standaard in. Voor systemen die je al had, voegen we het toe.

Een audit die kijkt naar wat het model echt doet

Een model dat bij oplevering goed werkte, blijft dat niet vanzelf. De invoer verandert, een leverancier wisselt stilletjes van modelversie, of medewerkers gaan de tool anders gebruiken dan bedoeld. Daarom toetsen we periodiek, meestal elk kwartaal of elk halfjaar. We nemen een steekproef van echte invoer en uitkomsten en meten hoe vaak het model ernaast zit, of die fouten vaker voorkomen bij bepaalde klanten of documenten, en of iemand het heeft opgemerkt.

Het resultaat is een kort auditrapport in gewone taal: wat werkt, wat afwijkt en wat je moet aanpassen. Blijkt een model structureel slechter te presteren op jouw soort documenten, dan is Fine-tuning op eigen data vaak de volgende stap. Blijkt een tool meer data te versturen dan je dacht, dan vertellen we je dat direct en helpen we hem in te perken of te vervangen.

Wat de EU AI Act van je vraagt, zonder paniek

De EU AI Act deelt AI-toepassingen in op risico. Een tool die pdf's samenvat valt in een andere klasse dan een systeem dat sollicitanten voorselecteert of kredietwaardigheid inschat. Voor de meeste toepassingen in het MKB zijn de eisen overzichtelijk: weet wat je gebruikt, wees er open over naar klanten en medewerkers, en zorg dat een mens kan ingrijpen. Voor de hogere risicoklassen komen daar documentatie, logging en een risicobeoordeling bij.

We classificeren elk systeem uit je register, leggen per klasse vast wat je moet regelen en zorgen dat de documentatie er ligt voordat iemand erom vraagt. Dat sluit aan op wat je vaak al doet voor de AVG, en voor organisaties in de zorg op NEN 7510. Wil je het formeel laten toetsen of een certificering halen, dan sluit dit aan op de diensten Compliance & AVG en ISO 27001 & NEN 7510. Wij zorgen dat de AI-kant klopt. Jij bent en blijft de eigenaar van het register, de spelregels en de rapporten, ook als we elkaar daarna niet meer spreken.