AI is in korte tijd onderdeel geworden van het dagelijks werk. Medewerkers gebruiken ChatGPT en andere AI-tools om teksten te schrijven, informatie te analyseren, software te ontwikkelen, klanten te helpen of processen te automatiseren.
Dat levert kansen op, maar roept ook een belangrijke managementvraag op: hoe zorg je ervoor dat AI binnen je organisatie verantwoord wordt gebruikt? Daar komt AI governance om de hoek kijken.
Wat is AI governance?
AI governance is het geheel van regels, processen, rollen en verantwoordelijkheden waarmee een organisatie AI veilig, verantwoord en doelgericht inzet.
Het gaat dus niet alleen om technologie. Denk ook aan privacy, informatiebeveiliging, wet- en regelgeving, transparantie, menselijke controle en de vraag wie verantwoordelijk is als een AI-systeem een fout maakt.
Voor veel organisaties is dit inmiddels een praktisch vraagstuk. AI-gebruik ontstaat namelijk niet altijd vanuit een centraal IT-project. Een medewerker kan zelfstandig een AI-tool gebruiken voor klantcommunicatie, een verkoopanalyse of het samenvatten van documenten. Zo ontstaat gemakkelijk shadow AI: AI-gebruik buiten de formele IT- en beleidskaders van de organisatie.
Goede AI governance maakt daarom duidelijk wat medewerkers wel en niet met AI mogen doen en welke controles nodig zijn.
AI governance en de AI Act
Voor bedrijven in Nederland is de Europese AI Act, officieel de Verordening kunstmatige intelligentie, een belangrijk onderdeel van AI governance. De regels worden gefaseerd van toepassing.
Sinds 2 februari 2025 gelden onder meer de verboden AI-praktijken en de verplichting voor organisaties om maatregelen te nemen voor voldoende AI-geletterdheid van medewerkers. Sinds 2 augustus 2026 zijn onder meer de algemene toepassing van de AI Act en specifieke transparantieregels van kracht. Voor bepaalde hoog-risico-AI gelden langere overgangstermijnen.
De AI Act werkt met verschillende risiconiveaus. Niet iedere AI-toepassing krijgt dus dezelfde verplichtingen.
Een eenvoudig voorbeeld is een chatbot. In bepaalde situaties moeten gebruikers weten dat zij met AI communiceren. Ook gelden transparantieverplichtingen voor onder meer bepaalde AI-gegenereerde of gemanipuleerde content.
Voor bepaalde hoog-risico-AI, bijvoorbeeld toepassingen op het gebied van werkgelegenheid, gelden zwaardere eisen. Denk aan risicobeheer, logging, documentatie, datakwaliteit en menselijke controle. De regels voor verschillende hoog-risico-toepassingen gaan op verschillende momenten gelden; voor veel toepassingen in bijvoorbeeld arbeid en HR is dat vanaf 2 december 2027.
Daarnaast zijn bepaalde AI-toepassingen verboden. De AI Act verbiedt bijvoorbeeld bepaalde vormen van verwerking van biometrische gegevens, manipulatie, exploitatie van kwetsbaarheden en bepaalde vormen van sociale scoring.
Vergeet de AVG niet
De AI Act is niet de enige wet waar bedrijven rekening mee moeten houden. Ook de AVG blijft relevant wanneer AI persoonsgegevens verwerkt.
De Autoriteit Persoonsgegevens heeft in 2026 specifieke handreikingen gepubliceerd over generatieve AI en de AVG. Daarbij gaat het onder meer om de vraag of en onder welke voorwaarden persoonsgegevens in AI-toepassingen mogen worden verwerkt.
Een simpele basisregel is daarom: stop niet zomaar vertrouwelijke of persoonsgegevens in een publieke AI-tool.
Hoe introduceer je AI governance in je bedrijf?
AI governance hoeft niet te beginnen met een dik beleidsdocument. Begin praktisch.
1. Breng AI-gebruik in kaart
Maak een overzicht van de AI-systemen die medewerkers gebruiken. Welke tools zijn dat? Welke processen ondersteunen ze? Welke gegevens worden ingevoerd? En waarvoor worden de uitkomsten gebruikt?
Dit overzicht vormt de basis voor een AI-risicoanalyse.
2. Maak duidelijke spelregels
Leg vast welke AI-tools zijn toegestaan, welke gegevens medewerkers wel en niet mogen invoeren en voor welke toepassingen extra goedkeuring nodig is.
Maak ook duidelijk wie verantwoordelijk is voor AI binnen de organisatie. AI governance is geen exclusieve taak van IT. Management, HR, juridische zaken, security en de gebruikers zelf kunnen allemaal een rol hebben.
3. Zorg voor AI-geletterdheid
Medewerkers moeten niet alleen weten hoe AI werkt, maar vooral waar de risico’s zitten. Denk aan privacy, vertrouwelijkheid, vooringenomenheid en fouten of zogenaamde hallucinaties.
Dit is bovendien niet alleen verstandig beleid: AI-geletterdheid is inmiddels ook onderdeel van de verplichtingen onder de AI Act.
4. Monitor en verbeter
AI governance is geen eenmalig project. Tools veranderen, medewerkers ontdekken nieuwe toepassingen en wetgeving ontwikkelt zich verder. Evalueer daarom regelmatig welke AI-systemen worden gebruikt en of de bestaande maatregelen nog passen.
ISO 42001 als praktisch raamwerk
Organisaties die AI governance structureel willen aanpakken, kunnen kijken naar ISO/IEC 42001. Deze internationale norm beschrijft de eisen voor een Artificial Intelligence Management System (AIMS). Het doel is om AI-risico’s en -kansen systematisch te beheersen en het managementsysteem voortdurend te verbeteren.
Certificering volgens ISO/IEC 42001 is vrijwillig. Een certificaat is dus geen wettelijke voorwaarde om AI te mogen gebruiken. Wel kan certificering door een onafhankelijke certificerende partij aantonen dat een organisatie haar AI-managementsysteem volgens de norm heeft ingericht.
Voor veel ondernemers is dat een nuttig onderscheid: u hoeft niet direct gecertificeerd te worden om met AI governance te beginnen. De principes van ISO/IEC 42001 kunnen wel helpen om structuur aan te brengen.
