De CISO van een ziekenhuis krijgt in de bestuursvergadering de vraag wie eigenaar is van AI. Ze noemt zichzelf, want zij beoordeelt de tools. De FG zegt dat hij het is, want het gaat om patiëntgegevens, en de manager bedrijfsvoering wijst naar IT, want IT heeft Copilot uitgerold. Alle drie hebben gelijk wat hun eigen deel betreft, maar niemand weet wie beslist of de transcriptietool op de polikliniek mag blijven.
Dat is heel gewoon, en de oplossing is niet één eigenaar aanwijzen, maar één eigenaar per besluit. AI-governance is een reeks besluiten, en elk besluit heeft iemand nodig die het neemt, mensen die eraan bijdragen en mensen die de uitkomst zien.
Waarom is "de FG doet AI" geen antwoord?
Omdat de functionaris voor gegevensbescherming onder de AVG een toezichthoudende rol heeft: informeren, adviseren, toezien op naleving. Die rol vraagt onafhankelijkheid. Wie besluit dat een tool mag, kan niet tegelijk onafhankelijk toetsen of dat besluit klopte.
Voor de CISO en IT geldt iets vergelijkbaars. De CISO beoordeelt risico, maar of een risico acceptabel is voor het werk van de polikliniek, weet de polikliniek. IT kan een tool uitrollen en meten, maar gaat niet over welke gegevens er in een consult ter sprake komen. Zodra een van de drie alles doet, staat de lijn buiten het besluit en wordt dat besluit een technische instelling.
Wie doet wat?
De functienamen verschillen per organisatie, de verdeling van het werk veel minder.
| Rol | Beslist over | Levert | Ziet |
|---|---|---|---|
| Bestuur | Het kader, de risicobereidheid, wie welke rol heeft | Tijd en mandaat | De kwartaalcijfers: tools, aandeel via toegestane tools, wat nog geen besluit heeft |
| Eigenaar in de lijn (afdelingshoofd, proceseigenaar) | Of een tool voor dit werk mag: de status per tool | De context: welk werk, welke gegevens | De tools die in het eigen werk in gebruik zijn en hun status |
| FG | Niets; toetst en adviseert | De beoordeling van de verwerking, de DPIA, de grondslag | Het register, de meting en het ontwerp ervan |
| CISO | Het beveiligingsrisico van een tool en de eisen aan leveranciers | De risicobeoordeling per tool | Waargenomen tools, risiconiveaus, meldingen zonder besluit |
| IT | Uitrol, instellingen, meting | Zicht op wat er wordt gebruikt en de vastgelegde status per tool | Het dashboard en de Inbox met nieuwe tools |
| Inkoop | Contract, verwerkersovereenkomst, licenties | De contractuele feiten per leverancier | Welke tools zijn ingekocht en welke in gebruik zijn zonder contract |
| HR | AI-geletterdheid, de plek van AI in functies en gedragsregels | Training en de registratie daarvan | Wie welke uitleg heeft gehad |
| Teamleiders | Hoe het besluit in het eigen team wordt toegepast | Het alternatief in de praktijk, de vragen van het team | Wat het team gebruikt en waar het vastloopt |
| OR | Instemming met regelingen die medewerkers raken | De blik van de medewerker op het ontwerp | Wat er wordt vastgelegd en wie het ziet |
| Medewerker | Wat er tijdens het werk gebeurt: doorgaan, het alternatief kiezen, aanpassen | Het gedrag waar de cijfers uit bestaan | Het besluit van de organisatie als een tool opengaat, een markering bij gevoelige gegevens |
Drie dingen vallen op. De FG beslist niets, en dat is de bedoeling. De lijn beslist het meeste, en juist die rol is het vaakst niet belegd. En de medewerker staat onderaan als beslisser, niet als onderwerp.
Welke besluiten liggen echt bij het bestuur?
Minder dan bestuurders vaak denken, maar wel zwaardere.
Het bestuur stelt het kader vast: welke soorten gegevens nooit in een AI-tool horen, welke omgeving de voorkeursroute is, hoeveel risico de organisatie aanvaardt in ruil voor welk voordeel. Het belegt de rollen uit de tabel, op naam. En het kijkt geregeld naar de cijfers, op organisatieniveau: welke tools in gebruik zijn, welk aandeel van het gebruik via toegestane tools loopt, hoeveel tools nog geen besluit hebben en of dat getal daalt.
Wat het bestuur niet doet, is per tool beslissen; een bestuur dat dat toch probeert, wordt het knelpunt waar elke nieuwe tool op wacht. Wat een bestuur wel elk kwartaal hoort te vragen, lees je in ons hoofdartikel over AI-governance.
Welke rol hebben de OR en de medewerker?
De ondernemingsraad beoordeelt niet welke tools mogen, maar de regelingen die medewerkers raken: het verwerken van hun gegevens, een voorziening die gedrag kan waarnemen, soms een verplichte opleiding. Een meting van AI-gebruik hoort daarom vroeg bij de OR op tafel; een besluit over een vertaaltool voor klantcorrespondentie in de regel niet. Waar die grens loopt, lees je in ons artikel over wanneer de ondernemingsraad bij AI betrokken moet worden.
De medewerker is de laatste rij en de belangrijkste. Alle besluiten hierboven komen samen op één moment: iemand opent een tool, of typt iets gevoeligs. Ziet hij dan wat de organisatie heeft besloten, met het alternatief erbij, dan werkt de governance. Ziet hij niets, dan bestaat ze alleen in een document.
Daarom staan ook HR en teamleiders in de tabel: AI-geletterdheid uit artikel 4 van de AI-verordening is een plicht van de organisatie, en bij wie die plicht ligt, lees je in ons artikel over die verantwoordelijkheid.
Hoe ziet dat eruit in het ziekenhuis?
Na de bestuursvergadering wordt de tabel ingevuld, en dan gaat het snel.
IT laat zien dat de transcriptietool op elf apparaten is geopend en nog geen besluit heeft, naast Copilot, ChatGPT en een samenvattool die niemand kende. De CISO beoordeelt de transcriptietool: leverancier buiten Europa, traint op invoer, geen verwerkersovereenkomst. De FG stelt vast dat consultgesprekken gezondheidsgegevens bevatten en dat deze verwerking zo niet door kan gaan. Inkoop meldt dat er geen contract is.
Het hoofd van de polikliniek besluit als eigenaar: niet toegestaan, met de transcriptiefunctie van de goedgekeurde omgeving als alternatief, en een verzoek aan inkoop om een tool met verwerkersovereenkomst te zoeken. HR voegt één regel toe aan de uitleg voor artsen. De OR krijgt het ontwerp van de meting, niet het besluit over de tool.
Niemand deed iets buitengewoons. Het enige verschil met de vergadering ervoor is dat nu bij elke stap een naam stond.
BeeSensible ondersteunt precies dat deel. De extensie laat zien welke AI-tools in de organisatie worden geopend, zonder gebruikers-id en zonder inhoud. Een beheerder ziet in de Inbox welke tools nog geen besluit hebben. En het besluit van de eigenaar komt in het AI-register, met de eigenaar als verantwoordelijke. Wie welke rol heeft, bepaalt de organisatie; het product beslist niet namens haar en blokkeert niet uit zichzelf.
Dit is de lijst waarin de eigenaar zijn besluit vastlegt: per tool een status.
