Een FG legt de auditor een dashboard voor. Drie grafieken: detecties per maand, de verdeling over applicaties en een percentage van 86. De auditor kijkt er even naar en stelt één vraag: over welke periode gaat dit, en wat onderbouwt het? Het gesprek dat volgt gaat niet over de cijfers zelf, maar over alles wat er niet bij staat.
Dit artikel gaat over die tweede stap: van cijfers die je begrijpt naar een overzicht dat een ander kan controleren. Hoe je de cijfers zelf leest, staat in het artikel over welke AI-cijfers iets zeggen.
Over welke periode gaat het?
Een dashboard loopt door. Morgen staan er andere getallen, en een tool die vandaag een besluit heeft, had dat vorige maand misschien nog niet. Een auditor vraagt daarom altijd naar een afgebakende periode: wat gold er in het derde kwartaal, en wat is er toen gebeurd?
Goede onderbouwing begint dus met een vaste periode, een maand of kwartaal, en een overzicht dat aan het eind van die periode wordt vastgelegd. Dan kun je over een half jaar precies laten zien wat je toen liet zien, inclusief de besluiten zoals ze op dat moment golden.
Welke maatregel ondersteunt dit cijfer?
Een percentage dat aangeeft hoeveel kritieke gegevens vóór verzending zijn aangepast, kan iets zeggen over dataminimalisatie (AVG artikel 5 lid 1 onder c) of over passende beveiliging (artikel 32). Dat verband moet erbij staan. Anders moet de lezer zelf bedenken waarvoor het cijfer dient, en een auditor doet dat niet voor je.
Schrijf daarom per cijfer op welke maatregel het ondersteunt, met de bepaling erbij, en wat die bepaling vraagt. Dat is ook het moment om eerlijk te zijn over normen. Geen wet zegt dat 90 procent van de kritieke gegevens aangepast moet zijn. Wil je zelf een lat leggen, prima, maar dan is het jouw lat: "wij streven naar 90 procent, haalden 86, en dit doen we eraan" is een verdedigbare zin. "Wij voldoen aan de norm" is dat niet.
Waarover gaat het cijfer precies?
Hier schieten de meeste overzichten tekort. Hulp bij gevoelige gegevens werkt in de apps waar die hulp beschikbaar is. Die 86 procent gaat dus over díe apps, niet over al het AI-gebruik in je organisatie. Dat is niet erg, zolang het erbij staat.
Hetzelfde geldt voor zicht op AI-tools. Dat gaat over de tools die in de browser zijn gezien op werkplekken waar BeeSensible draait, niet over wat iemand op een privételefoon doet. En cijfers verschijnen pas vanaf een minimaal aantal actieve gebruikers, zodat ze niet naar één persoon te herleiden zijn.
Houd twee soorten cijfers daarom ook uit elkaar. Zien welke tools in gebruik zijn en of er een besluit over is, gaat over honderden diensten. Helpen bij gevoelige gegevens gebeurt in een kleiner aantal apps. Wie die twee tot één score samenvoegt, verbergt precies het verschil waar een toezichthouder naar vraagt.
Wat laten de cijfers niet zien?
Een overzicht dat zijn eigen grenzen noemt, wekt vertrouwen. Een overzicht dat dat niet doet, roept de vraag op wat er is weggelaten.
Schrijf per onderwerp één zin over wat erbuiten valt. Bijvoorbeeld: of medewerkers voldoende zijn opgeleid, laten deze cijfers niet zien. Of: een tool die nog in beoordeling staat, telt niet als besluit. Zet ernaast wat er wél voor dat onderdeel zorgt, zoals de training die jullie geven of de verwerkersovereenkomsten in het AI-register.
Een cijfer dat er niet is, laat je ook ontbreken. Stond een functie uit, of was er niets om een aandeel over te berekenen, dan schrijf je "geen meetgegevens" met de reden. Nooit een nul, want een nul leest als een resultaat.
Zo ziet dat er in de praktijk uit
In BeeSensible is Onderbouwing precies zo opgebouwd: drie onderwerpen over een maand of kwartaal, elk met twee cijfers en een zin over de reikwijdte, en per onderwerp een uitleg met wat de wet zegt, wat BeeSensible bijdraagt en wat erbuiten valt. Er staan geen statussen of normen in; een rapport over een periode wordt vastgelegd zodat het later niet kan veranderen.
