De compliance officer van een zorginstelling opent de GRC-suite voor de jaarlijkse controleronde. De controle "AI-tools worden alleen gebruikt na beoordeling door de privacyfunctionaris" staat op geïmplementeerd. Als bewijs hangen er een beleidsdocument van vorig jaar en een presentielijst van de training aan. Alles klopt, en toch kan ze de vraag van de auditor niet beantwoorden: welke AI-tools zijn er dit jaar eigenlijk gebruikt?
Dat is geen gebrek van de GRC-suite. De suite weet alleen wat erin is gezet.
GRC-software beheert wat een organisatie heeft afgesproken: beleid, risico's, controles en het bewijs dat daarbij hoort. Software voor de governance van AI-gebruik levert wat de suite zelf niet kan weten: welke AI-tools er echt worden geopend, wat daarover is besloten en of dat besluit tijdens het werk overeind blijft. De ene legt vast, de andere neemt waar. Wie ze door elkaar haalt, krijgt een controle die op papier groen is en in de praktijk niets zegt.
Wat doet GRC-software?
Een GRC-suite (governance, risk en compliance) brengt vier dingen samen. Het beleid, met versies, eigenaren en goedkeuringen. Het risicoregister, met per risico een eigenaar, een score en de maatregelen. De controles, per kader zoals ISO 27001, de AVG of de NIS2-omzetting, met hun status, hun testfrequentie en het bewijs dat erbij is geüpload. En de audits zelf, met bevindingen en opvolging.
Daar is de suite goed in, en voor veel organisaties is het terecht de plek waar een auditor begint. Eén register voor alle kaders, één workflow voor alle controles, één plek waar het bewijs staat. Het werkt voor AI net zo goed als voor toegangsbeheer: een AI-register met eigenaar, doel, gegevens, risico en besluit past prima in een GRC-suite.
Wat de suite mist, is eigen zicht op wat er werkelijk gebeurt. Elke status is door een mens gezet, elk bewijsstuk door een mens geüpload. Voor een controle als "de back-ups worden dagelijks getest" is dat geen probleem, want het testrapport komt uit het back-upsysteem. Voor "AI-tools worden alleen na beoordeling gebruikt" is er geen systeem dat het rapport levert, tenzij je er een inricht.
Wat levert governance van AI-gebruik?
Twee dingen die een GRC-suite niet zelf kan opleveren. Het eerste is de waarneming: welke AI-tools worden er in de organisatie geopend, hoe vaak en welke daarvan hebben nog geen besluit. Dat heb je nodig om het register in de suite te vullen met wat er werkelijk is, in plaats van met wat er is aangevraagd. Waarom de lijst van aangevraagde tools altijd korter is dan die van de tools die echt worden gebruikt, lees je in onze uitleg over shadow AI.
Het tweede is het moment van gebruik. Een besluit in een GRC-suite is zichtbaar voor de compliance officer en de auditor. Een medewerker die om tien uur een nieuwe samenvattool opent, ziet dat besluit niet, want hij zit niet in de suite. Governance van AI-gebruik brengt het besluit naar de browser, op het moment dat de tool wordt geopend, met de voorwaarde of het alternatief erbij. Dat is het verschil tussen beleid dat bestaat en beleid dat wordt gevolgd.
Uit die twee volgen de cijfers waarmee een controle echt iets zegt: welk aandeel van het AI-gebruik via toegestane tools loopt, hoeveel tools die echt worden gebruikt geen besluit hebben en hoe vaak iemand na een melding het alternatief koos. Het gaat om aantallen per tool, zonder gebruikers-id, zodat de meting zelf zo weinig mogelijk over personen zegt.
Hoe verhouden ze zich tot elkaar?
| GRC-software | Governance van AI-gebruik | |
|---|---|---|
| Wat het beheert | Beleid, risico's, controles, bewijs, audits | Welke AI-tools in gebruik zijn en het besluit per tool |
| Waar de inhoud vandaan komt | Ingevoerd door mensen | Waargenomen in de browser, geaggregeerd |
| Wie ermee werkt | Compliance, risk, interne audit, controle-eigenaren | Beheerders en privacyfunctionaris; de medewerker ziet het besluit |
| Moment | Planningscyclus, controleronde, audit | Het moment waarop iemand een tool opent |
| Bereik | Alle kaders van de organisatie | Eén onderwerp: het dagelijkse AI-gebruik |
| Wat het over AI-gebruik zegt | Wat is afgesproken en wie het heeft bevestigd | Wat er gebeurt en of dat overeenkomt met wat is afgesproken |
| Rol bij een audit | De plek waar alles is vastgelegd | De bron van de cijfers die daarin staan |
De twee vullen elkaar in één richting aan: de waarneming voedt de vastlegging. Andersom werkt het niet. Een GRC-suite kan het besluit niet bij de medewerker brengen op het moment dat die een tool opent, en software voor AI-gebruik beheert je ISO-controles niet.
Hoe ziet dat eruit in de praktijk?
Terug naar de zorginstelling. De controle staat op geïmplementeerd, met het beleid en de presentielijst als bewijs. Copilot is de toegestane tool. Dan kijkt de organisatie voor het eerst welke AI-diensten er in de browser worden geopend.
Naast Copilot blijken ook ChatGPT en Perplexity in gebruik te zijn, plus drie gespecialiseerde tools: een transcriptietool voor overleggen, een vertaaltool en een dienst die verslagen samenvat. Twee van de drie staan nergens in het register. Niemand heeft iets verkeerd gedaan, en de controle was ook niet fout. Het bewijs was alleen dun: een document en een presentielijst zeggen wat er is afgesproken, niet wat er gebeurt.
De compliance officer beschrijft de controle daarna anders. Niet "beleid bestaat en training is gegeven", maar "tools in gebruik zonder besluit: twee, vorig kwartaal vijf", met de bron erbij. Dat is een controle die een auditor kan toetsen, en een register dat niet meer achterloopt zodra de volgende tool opduikt. Wat er verder mis kan gaan met bewijs dat alleen uit een dashboard komt, lees je in ons artikel over waarom een dashboard nog geen bewijs is.
