AI governance: grip op hoe je organisatie AI gebruikt.

AI governance is het geheel van afspraken, rollen en controles waarmee een organisatie bepaalt hoe AI wordt ingezet, wie verantwoordelijk is en hoe risico’s worden beheerst. Concreet: een AI-beleid, een register van AI-toepassingen, een eigenaar per toepassing, AI-geletterdheid van medewerkers en periodieke evaluatie. Bij middelgrote organisaties past dat op een paar pagina’s en een vast overleg.

Een AI-beleid is de werkafspraak voor medewerkers: welke tools zijn toegestaan, welke data er nooit in gaat en waar een mens controleert. AI governance is het systeem eromheen: wie het beleid bijhoudt, hoe je nieuwe toepassingen beoordeelt, hoe je AI-geletterdheid organiseert en hoe je bijstuurt. Het AI-beleid is dus één onderdeel van AI governance.

Een AI-beleid voor een middelgrote organisatie beantwoordt zeven vragen: waarvoor je AI inzet en voor wie het beleid geldt (ook freelancers en stagiairs), welke tools zijn toegestaan, welke data er nooit in mag, welke output een mens controleert, wanneer je klanten vertelt dat ze met AI te maken hebben, welke uitleg of training elke rol krijgt, en wie het register bijhoudt en hoe vaak je het beleid herziet. Het past op twee A4’tjes.

Ja. Artikel 4 van de AI Act geldt sinds 2 februari 2025 voor iedereen die AI inzet. Sinds 27 juli 2026 geldt via de Digital Omnibus op AI (Verordening (EU) 2026/1744) een lichtere tekst: je neemt maatregelen om de AI-geletterdheid van je mensen te ondersteunen, maar je hoeft geen bepaald niveau te garanderen. Helemaal niets doen voldoet niet. Een certificaat is niet nodig; een intern overzicht van trainingen en instructies volstaat.

Begin bij het register: wie gebruikt welke AI-tools, waarvoor. Bepaal per rol wat iemand moet weten: wat een tool wel en niet kan, wanneer output gecontroleerd moet worden, welke data niet in publieke tools mag, wat een hallucinatie is en wie verantwoordelijk is als AI een fout maakt. Geef een training die bij die rol past, leg vast wie welke uitleg kreeg en herhaal dat als tools of taken veranderen. Voor gemeente Twenterand verzorgden we zo’n training voor beleidsmedewerkers, communicatieadviseurs en administratieve krachten, gericht op het veilig inzetten van AI in hun werk.

Op AI-geletterdheid staat in de AI Act zelf geen boete. In het Nederlandse wetsvoorstel houdt de Autoriteit Persoonsgegevens toezicht op artikel 4, met de AFM en DNB voor financiële instellingen. Schiet je tekort, dan kan de toezichthouder een last onder dwangsom opleggen: een opdracht met een termijn, die pas geld kost als je die termijn laat verlopen. De uitvoeringswet is nog een wetsvoorstel; de verplichting zelf geldt al, omdat de verordening rechtstreeks werkt.

Voor de meeste mkb-bedrijven en middelgrote organisaties is de AI Act beheersbaar. Je bent meestal gebruiksverantwoordelijke (deployer), geen aanbieder, en de meeste toepassingen vallen in minimaal of beperkt risico. Wat geldt: AI-geletterdheid ondersteunen, herkenbaar maken wanneer klanten met jouw AI praten of realistische AI-beelden zien, en de verboden toepassingen vermijden. De zware eisen voor hoog-risico-AI, zoals AI in werving of kredietbeoordeling, gelden vanaf 2 december 2027, en voor AI in producten vanaf 2 augustus 2028.

Een AI governance framework is de vaste structuur waarin je AI governance vastlegt: principes, rollen, een register, risicobeoordeling, controles en evaluatie. Bekende kaders zijn ISO/IEC 42001, de internationale norm voor een managementsysteem voor AI, en het vrijwillige AI Risk Management Framework van het Amerikaanse NIST. Voor een middelgrote organisatie is certificering zelden het doel; zo’n kader dient vooral als checklist. De zes stappen op deze pagina zijn een werkbaar begin.

De directie is eindverantwoordelijk, niet IT alleen. Per toepassing wijs je een eigenaar uit de business aan die bepaalt wat AI doet en controleert of het werkt. Grotere organisaties stellen soms een Chief AI Officer aan; bij middelgrote organisaties is een fulltime rol vaak te zwaar en kan een externe partner die rol deels invullen. Voor artikel 4 hoef je geen AI-officer aan te stellen.

Niet met een verbod: dan stoppen medewerkers niet, ze verbergen het gebruik en je verliest het zicht. Wat werkt: inventariseren welke tools er draaien zonder iemand te straffen voor het antwoord, een korte richtlijn over welke data wel en niet in AI-tools mag, en een officiële route met zakelijke tools die sneller is dan de onofficiële.

Nee. Innoworks is een AI-implementatiepartner, geen advocatenkantoor. We brengen in kaart welke AI er draait, richten het beleid, de training en de processen in en bouwen de toepassingen. Voor een juridische toets, bijvoorbeeld van een hoog-risicotoepassing of een contract, werk je met een jurist; wij zorgen dat de praktijk aansluit op wat die adviseert.

Dat hangt af van de omvang van je organisatie en van wat er al geregeld is. We werken in stappen met een vaste scope en prijs per stap, meestal beginnend met een AI-audit. Plan een kennismaking voor een inschatting voor jouw organisatie.