Een bestuurder van een zorginstelling krijgt van de accountant de vraag welk AI-governance-framework de organisatie hanteert. Ze heeft een AI-beleid van drie pagina's, een lijst met toegestane tools en een training die vorig jaar is gegeven. Of dat als framework telt, weet ze niet.
Het antwoord: bijna. Een AI-governance-framework is een vaste structuur van rollen, processen en beheersmaatregelen waarmee een organisatie verantwoord met AI omgaat. Het zegt niet wat je besluit, maar regelt hoe je tot besluiten komt en hoe je laat zien dat ze worden gevolgd. De bekende kaders zijn geschreven voor organisaties die AI-systemen bouwen of bewust inzetten. Wie vooral bestaande AI-tools gebruikt, heeft genoeg aan een klein kader van vier vragen, met een eigenaar per vraag. De bestuurder mist er twee van de vier.
Wat bedoelen we met een framework?
Onder dat woord lopen drie dingen door elkaar. Er zijn beginselen: transparantie, eerlijkheid, menselijk toezicht. Er zijn managementsystemen: een cyclus van plannen, uitvoeren, controleren en bijstellen, met rollen, documentatie en een audit. En er is wetgeving, die je niet kiest maar die geldt.
Een framework in de zin waarin de accountant het bedoelt, is het tweede. Het beantwoordt vragen als: wie is eigenaar van een AI-toepassing, hoe beoordelen we het risico, wanneer kijken we opnieuw en wat bewaren we als bewijs? Een AI-beleid is een uitkomst van zo'n structuur, niet de structuur zelf. Hoe je dat beleid schrijft, lees je in onze gids over een AI-beleid opstellen.
Welke kaders bestaan er, en waar gaan ze over?
| Kader | Wat het is | Voor wie | Wat het betekent voor dagelijks AI-gebruik |
|---|---|---|---|
| ISO/IEC 42001 | Certificeerbare managementsysteemnorm voor AI, opgebouwd zoals ISO 27001: context, leiderschap, risicobeoordeling, beheersmaatregelen, verbetering | Organisaties die AI ontwikkelen of inzetten en willen kunnen aantonen dat ze het beheersen | Vraagt een inventaris van AI-systemen, een risicobeoordeling per systeem en vastgelegde rollen; zegt niets over één specifieke tool |
| NIST AI RMF | Vrijwillig kader van het Amerikaanse NIST met vier functies: Govern, Map, Measure, Manage | Iedereen; er is geen certificering | Een denkstructuur. Map en Measure stellen precies de vragen die hier tellen: welke AI is er, en wat meten we erover |
| AI-verordening | Wet, geen framework; plichten per rol (aanbieder, gebruiksverantwoordelijke) en per risicoklasse | Iedereen die AI-systemen in de EU aanbiedt of inzet | AI-geletterdheid (artikel 4) en de verboden praktijken sinds 2 februari 2025; hoogrisicoregels voor toepassingen als werving en beoordeling |
| Vier vragen | Een klein kader voor het gebruik van bestaande AI-tools | Organisaties die geen modellen bouwen | Welke tools, welk besluit, weten mensen het, kun je het laten zien |
Wie al een ISMS onder ISO 27001 heeft, hoeft voor AI-gebruik niet met een tweede systeem te beginnen; de bestaande beheersmaatregelen voor beleid, leveranciers en bewustwording dekken veel, zoals ons artikel over ISO 27001 en AI laat zien. Wat de AI-verordening van een werkgever vraagt, met de datums na de omnibus, lees je in ons artikel over wat de AI-verordening voor werkgevers betekent.
Waarom passen deze kaders maar half op dagelijks gebruik?
Omdat ze beginnen bij een inventaris die je al hebt. ISO/IEC 42001 en het NIST AI RMF veronderstellen dat de organisatie weet welke AI-systemen ze inzet, en helpen daarna met beoordelen en beheersen. Dat klopt voor een triagemodel dat je zelf hebt laten bouwen. Het klopt niet voor de transcriptietool die een teamleider vorige maand is gaan gebruiken.
Bij het dagelijkse gebruik van AI-tools is de inventaris niet het uitgangspunt maar het werk. Tools komen van onderaf binnen, in een browsertab, zonder project en zonder eigenaar. Een kader dat begint bij "beoordeel elk AI-systeem" slaat de vraag over die eraan voorafgaat: welke systemen zijn dat eigenlijk? Wat dat gebruik is en waarom een verbod het niet laat verdwijnen, lees je in onze uitleg over AI-governance en op de onderwerpspagina over AI-governance.
Wat je van de grote kaders wél kunt leren, en wat een klein kader moet overnemen: een eigenaar per vraag, een vast moment om opnieuw te beoordelen en bewijs dat uit meer bestaat dan een handtekening.
Welke vier vragen volstaan?
- Welke AI-tools worden hier echt gebruikt? Niet welke zijn ingekocht, maar welke worden geopend. Dit is de vraag die de grote kaders overslaan, en de enige die je niet met een vergadering beantwoordt.
- Wat hebben we per tool besloten, en waarover nog niet? Vier uitkomsten: toegestaan, beperkt toegestaan, nog geen besluit, niet toegestaan. De derde is een echte status, geen gat. Welke velden daarbij horen, lees je in het artikel over wat je vastlegt in een AI-register.
- Weten mensen dat op het moment dat ze een tool openen? Een besluit in een document dat vorig jaar is rondgestuurd, is geen besluit dat werkt. Het moet zichtbaar zijn waar het werk gebeurt, met het alternatief erbij.
- Kunnen we laten zien dat het in de praktijk zo gaat? Met cijfers op organisatieniveau: het aandeel gebruik via toegestane tools, het aantal tools zonder besluit, wat er na een melding gebeurde. Zonder personen, want geen van de vier vragen heeft een naam nodig. Waarom een dashboard daarbij nog geen bewijs is, lees je in het aparte artikel daarover.
