De compliance officer van een zorginstelling opent de GRC-suite voor de jaarlijkse controleronde. De controle "AI-tools worden alleen gebruikt na beoordeling door de privacyfunctionaris" staat op geïmplementeerd. Als bewijs hangen er een beleidsdocument van vorig jaar en een presentielijst van de training aan. Alles klopt, en toch kan ze de vraag van de auditor niet beantwoorden: welke AI-tools zijn er dit jaar eigenlijk gebruikt?
Dat is geen gebrek van de GRC-suite. De suite weet alleen wat erin is gezet.
GRC-software beheert wat een organisatie heeft afgesproken: beleid, risico's, controles en het bewijs dat daarbij hoort. Software voor de governance van AI-gebruik levert wat de suite zelf niet kan weten: welke AI-tools er echt worden geopend, wat daarover is besloten, en of dat besluit in de werkdag standhoudt. De ene is het systeem van vastlegging, de andere de bron van waarneming. Wie ze door elkaar haalt, krijgt een controle die op papier groen is en in de praktijk niets zegt.
Wat doet GRC-software?
Een GRC-suite (governance, risk en compliance) houdt vier dingen bij elkaar. Het beleid, met versies, eigenaren en goedkeuringen. Het risicoregister, met per risico een eigenaar, een score en de maatregelen. De controles, per kader zoals ISO 27001, de AVG of de NIS2-omzetting, met hun status, hun testfrequentie en het bewijs dat erbij is geüpload. En de audits zelf, met bevindingen en opvolging.
Daar is de suite goed in, en voor veel organisaties is het terecht de plek waar een auditor begint. Eén register voor alle kaders, één workflow voor alle controles, één plaats waar het bewijs staat. Het werkt voor AI net zo goed als voor toegangsbeheer: een AI-register met eigenaar, doel, gegevens, risico en besluit past prima in een GRC-suite.
Wat de suite niet heeft, is een eigen zicht op de werkelijkheid. Elke status is door een mens gezet, elk bewijsstuk door een mens geüpload. Voor een controle als "de back-ups worden dagelijks getest" is dat geen probleem, want het testrapport komt uit het back-upsysteem. Voor "AI-tools worden alleen na beoordeling gebruikt" is er geen systeem dat het rapport levert, tenzij je er een inricht.
Wat levert governance van AI-gebruik?
Twee dingen die een GRC-suite niet zelf kan maken. De eerste is de waarneming: welke AI-tools worden er in de organisatie geopend, hoe vaak, en welke daarvan hebben nog geen besluit. Dat is wat je nodig hebt om het register in de suite te vullen met wat er is, in plaats van met wat er is aangevraagd. Waarom het tweede lijstje altijd korter is dan het eerste, staat in wat is shadow AI.
De tweede is het werkmoment. Een besluit in een GRC-suite is zichtbaar voor de compliance officer en de auditor. Een medewerker die om tien uur een nieuwe samenvattool opent, ziet dat besluit niet, want hij zit niet in de suite. Governance van AI-gebruik brengt het besluit naar de browser, op het moment dat de tool wordt geopend, met de voorwaarde of het alternatief erbij. Dat is het verschil tussen beleid dat bestaat en beleid dat wordt gevolgd.
Uit die twee volgen de cijfers waarmee een controle iets gaat zeggen: welk aandeel van het AI-gebruik loopt via toegestane tools, hoeveel tools met echt gebruik hebben geen besluit, en hoe vaak koos iemand na een melding het alternatief. Aantallen per tool, zonder gebruikers-id, zodat de meting zelf geen verwerking van persoonsgegevens oplevert die in het register van de suite zou moeten.
Hoe verhouden ze zich?
| GRC-software | Governance van AI-gebruik | |
|---|---|---|
| Wat het beheert | Beleid, risico's, controles, bewijs, audits | Welke AI-tools in gebruik zijn en het besluit per tool |
| Waar de inhoud vandaan komt | Ingevoerd door mensen | Waargenomen in de browser, geaggregeerd |
| Wie ermee werkt | Compliance, risk, interne audit, controle-eigenaren | Beheerders en privacyfunctionaris; de medewerker ziet het besluit |
| Moment | Planningscyclus, controleronde, audit | Het moment waarop iemand een tool opent |
| Bereik | Alle kaders van de organisatie | Eén onderwerp: het dagelijkse AI-gebruik |
| Wat het over AI-gebruik zegt | Wat is afgesproken en wie het heeft bevestigd | Wat er gebeurt en of het overeenkomt met de afspraak |
| Rol bij een audit | Het systeem van vastlegging | De bron van de cijfers die in die vastlegging staan |
De rijen vullen elkaar aan in één richting: de waarneming voedt de vastlegging. Andersom werkt het niet. Een GRC-suite kan de afspraak niet naar het werkmoment brengen, en software voor AI-gebruik beheert niet je ISO-controles.
Hoe ziet dat eruit in de praktijk?
Terug naar de zorginstelling. De controle staat op geïmplementeerd, met het beleid en de presentielijst als bewijs. Copilot is de toegestane tool. Dan kijkt de organisatie voor het eerst naar welke AI-diensten er vanuit de browser worden geopend.
Naast Copilot blijken ChatGPT en Perplexity in gebruik, plus drie gespecialiseerde tools: een transcriptietool voor overleggen, een vertaaltool en een dienst die verslagen samenvat. Twee van de drie staan nergens in het register. Niemand heeft iets verkeerd gedaan, en de controle was niet fout. Het bewijs was alleen dun: een document en een presentielijst zeggen wat er is afgesproken, niet wat er gebeurt.
Wat de compliance officer daarna doet, is de controle anders beschrijven. Niet "beleid bestaat en training is gegeven", maar "tools met gebruik en zonder besluit: twee, vorig kwartaal vijf", met de bron erbij. Dat is een controle die een auditor kan toetsen, en een register dat niet meer achterloopt zodra de volgende tool opduikt. Wat er verder mis kan gaan met bewijs dat alleen uit een dashboard komt, staat in waarom een dashboard nog geen bewijs is.
