Een HR-manager van een zorgorganisatie liet in het voorjaar de hele organisatie een AI-training volgen. Driehonderdveertig medewerkers, 96 procent deelname, de presentielijsten netjes in een map. In september zit ze tegenover de auditor, die de map doorbladert en één vraag stelt: hoe weet u dat het in het dagelijkse werk ook werkt?
Het antwoord bestaat uit drie soorten bewijs. Training en deelname laten zien dat je mensen hebt uitgelegd wat ze moeten weten. Afspraken en beleid per rol laten zien wat er is besloten en van wie wat wordt verwacht. Gedrag tijdens het werk, in geaggregeerde cijfers, laat zien wat er daarna gebeurt. Geen van de drie is op zichzelf genoeg, en de derde ontbreekt meestal.
Wat vraagt de auditor eigenlijk?
Niet "heeft u getraind?", want het antwoord staat in de map. De vraag is of de maatregel doet waarvoor hij bedoeld is. Artikel 4 van de AI-verordening vraagt om maatregelen voor een toereikend niveau van AI-geletterdheid bij de mensen die AI-systemen gebruiken, afgestemd op hun rol en de context. Wat dat precies inhoudt, lees je in AI-geletterdheid in 2026. De kern voor dit stuk: er is geen certificaat voorgeschreven, en de Europese Commissie bevestigt in haar vragen en antwoorden over artikel 4 dat het volstaat als je de genomen maatregelen zelf vastlegt.
Dat klinkt als goed nieuws en dat is het ook. Het verplaatst de vraag alleen van "welk bewijsstuk?" naar "wat bewijst dit stuk eigenlijk?". Een auditor stelt die tweede vraag bij elk document dat je op tafel legt.
Drie soorten bewijs naast elkaar
| Soort bewijs | Wat het aantoont | Wat het niet aantoont |
|---|---|---|
| Training en deelname (presentielijst, materiaal, toets) | Dat mensen op een bepaalde dag uitleg kregen over wat mag en wat niet | Wat ze daarna doen, en of de uitleg paste bij hun rol |
| Afspraken en beleid per rol (register met statussen, instructie per systeem, wie wat besloot) | Dat de organisatie heeft nagedacht en besloten, en dat besluiten herleidbaar zijn | Of die besluiten de medewerker bereiken op het moment dat het ertoe doet |
| Gedrag tijdens het werk (geaggregeerde cijfers over meldingen en markeringen) | Of het besluit zichtbaar was toen iemand een tool opende, en wat er daarna gebeurde | Wat er buiten het bereik van de meting gebeurt, en waarom iemand koos wat hij koos |
De drie vullen elkaar aan omdat elk een ander moment beschrijft. De eerste gaat over de dag van de training, de tweede over het moment waarop de organisatie besloot. De derde gaat over de gewone werkdag, en daar draait het bij artikel 4 uiteindelijk om.
Waarom een presentielijst alleen over de trainingsdag gaat
Een training maakt mensen bewust. Wat ze een maand later doen, onder tijdsdruk, met een tool die op de trainingsdag nog niet bestond, is een andere vraag. Kennis zakt weg en gewoonte wint. Dat is geen verwijt aan de medewerker; zo werken mensen nu eenmaal. Waarom dat zo werkt, staat uitgebreid in ons artikel over awareness-training en gedrag.
Voor het bewijs betekent dit dat een presentielijst precies één ding zegt: op die dag hoorde deze groep dit. Dat is waardevol, want zonder die basis helpt de rest minder. Maar het is een uitspraak over de trainingsdag. De auditor vraagt naar de maandag erna, en daarover zegt de lijst niets.
Hoe passen geaggregeerde cijfers daarin?
Het derde soort bewijs is het minst vertrouwd en het vaakst afwezig. Het gaat om cijfers die beschrijven wat er gebeurt als iemand een AI-tool opent en wat er gebeurt als er gevoelige gegevens in een tekst staan. Niet wie, maar hoe vaak en met welke afloop.
Heeft de organisatie over een tool besloten, dan verschijnt dat besluit in de browser. Elke keer dat zo'n melding verschijnt, kun je tellen wat de persoon deed: het goedgekeurde alternatief geopend of toch doorgegaan. Bij gevoelige gegevens met een markering tel je de afloop: gemaskeerd, verwijderd of toch verzonden. En van het aandeel AI-gebruik via goedgekeurde tools zie je de trend.
Die cijfers bevatten geen gebruikers-id. Ze zeggen dus iets over de organisatie en nooit over een persoon, en juist daarom passen ze hier. De auditor wil niet weten wie doorging, maar of het besluit van de organisatie tijdens het werk zichtbaar was en hoe vaak mensen er iets mee deden. Dat is de vraag die de presentielijst niet kan beantwoorden.
