Beleid voor het AI-gebruik dat er echt is: welke tools, welk besluit, en of het beleid standhoudt.
AI-governance is het geheel van besluiten, afspraken en bewijs waarmee een organisatie verantwoord met AI omgaat. Voor de meeste organisaties gaat dat niet over het bouwen van modellen, maar over het dagelijkse gebruik van bestaande AI-diensten door medewerkers: welke tools in gebruik zijn, welke zijn toegestaan, waarover nog geen besluit is genomen, en of het beleid in de praktijk wordt gevolgd.
De meeste organisaties hebben inmiddels een AI-beleid, een voorkeurstool zoals Microsoft Copilot en een paar afspraken over verantwoord gebruik. Wat meestal ontbreekt is het zicht eronder: welke andere AI-tools mensen gebruiken, welke daarvan nooit zijn beoordeeld, en of het beleid op papier overeenkomt met de werkdag.
Dat deel van AI-governance behandelen deze artikelen. Geen modelvalidatie, geen biastests en niet het register dat een aanbieder van een hoogrisicosysteem moet bijhouden, maar de governance van het dagelijkse gebruik: de tools in kaart brengen, per tool besluiten wat mag, mensen dat besluit laten zien op het moment dat ze een tool openen, en achteraf kunnen laten zien dat het besluit heeft gewerkt.
De volgorde doet ertoe. Wie besluit voordat hij heeft gezien wat er in gebruik is, schrijft beleid over de tools van vorig jaar. Wie mensen helpt voordat er een besluit ligt, geeft meldingen waar niemand iets mee kan. En een dashboard zonder besluit erachter is een telling, geen bewijs.
Niets hiervan vraagt om toezicht op personen. Cijfers op organisatieniveau, zonder gebruikers-id in de data, zijn genoeg om te zien waar praktijk en beleid uit elkaar lopen. En waar de cijfers niets zeggen, zegt een eerlijk verantwoordingsoverzicht dat ook.
Artikelen in dit onderwerp
AI-governance klinkt als iets voor wie modellen bouwt. Voor de meeste organisaties gaat het over iets anders: welke AI-tools medewerkers echt gebruiken, wat daarover is besloten, en of dat besluit in de werkdag standhoudt.
Lees het artikel
Shadow AI is AI-gebruik dat mensen zelf zijn begonnen, zonder besluit van de organisatie. Het ontstaat omdat het werk er makkelijker van wordt, niet uit onwil, en een verbod maakt het vooral onzichtbaar. Wat wel helpt is een besluit per tool.
Lees het artikel
Het antwoord staat niet op de tool, het is een besluit van de organisatie. Hoe je tot een lijst komt die klopt met wat er al gebruikt wordt, en wat je doet met de tool die morgen opduikt.
Lees het artikel
Een AI-register is de lijst van AI-tools en toepassingen die een organisatie gebruikt, met per regel wie ermee werkt, waarvoor, welke gegevens erin gaan en wat erover is besloten. Dit zijn de velden die erin horen, en waarom de lijst nooit compleet is.
Lees het artikel ISO/IEC 42001, het NIST AI RMF en de AI Act worden alle drie een framework genoemd, en ze zijn alle drie iets anders. Voor de meeste organisaties volstaat een klein kader van vier vragen over het AI-gebruik dat er al is.
Lees het artikel Een organisatie kan weten welke AI-tools in gebruik zijn, of het beleid landt en waar het risico zit, zonder dat er één persoon in de cijfers voorkomt. Dat is geen compromis maar een ontwerp, met vijf keuzes die je vooraf maakt.
Lees het artikel
De organisatie heeft een veilige route ingekocht, en toch staan ChatGPT, Perplexity en Gamma open. Dat is geen ongehoorzaamheid. Het laat zien wat mensen proberen te bereiken, en waar de voorkeursroute kennelijk niet volstaat.
Lees het artikel
Een AI-beleid dat werkt begint niet bij een sjabloon, maar bij de vragen die een medewerker op een dinsdagmiddag beantwoord wil hebben. Welke tools, welk gebruik, welke gegevens, en wat er gebeurt als het antwoord nog niet bestaat.
Lees het artikel Een lijst met mag en mag niet laat de meeste tools ongenoemd, en over een tool die er niet in staat raadt iedereen iets anders. Vier statussen, waarvan er één de eerlijke start is, houden het besluit bij de organisatie.
Lees het artikel
Licenties uitdelen, rechten opschonen en flex routing uitzetten is de technische kant. Naast de techniek liggen zeven besluiten die geen instelling voor je neemt, van welke variant mag tot hoe je gebruik meet zonder personen te volgen.
Lees het artikel
Een bestuur wil weten of AI in de organisatie wordt gebruikt en waar het iets oplevert. Dat kan met een handvol cijfers op organisatieniveau, zonder dat er één persoon aan hangt. Welke cijfers dat zijn, en welke je kunt laten liggen.
Lees het artikel
Bij hypotheekverstrekkers en verzekeraars zit AI op twee plekken: in de processen zelf, zoals acceptatie en prijsbepaling, en in het dagelijkse werk van adviseurs en behandelaars. De eerste plek krijgt de aandacht, de tweede het gebruik. Governance dekt allebei.
Lees het artikel
Er is geen magische score. Wel negen dimensies die er echt toe doen, van wat er met je invoer gebeurt tot welke persoonsgegevens er waarschijnlijk in komen. En de reden dat dezelfde tool laag én hoog risico kan zijn.
Lees het artikel
Een adviseur laat een intakegesprek samenvatten, de backoffice een schadeclaim. De gegevens daarin zijn van klanten, en het kantoor staat onder toezicht. Welke AI er in gebruik is, wat het kantoor daarover besluit, en hoe je dat later laat zien.
Lees het artikel
Netwerklogs, enquêtes, facturen en SSO zien elk een deel van het AI-gebruik en missen elk een ander deel. Wat ze delen: een foto veroudert. Wat je nodig hebt is waarneming in de browser, doorlopend, zonder gebruikers-id.
Lees het artikel
In een gemeente helpt AI bij het raadsvoorstel, het bezwaarschrift en het verslag van het wijkteam. De gegevens die daarbij langskomen zijn van inwoners. Welke tools er in gebruik zijn, wat de gemeente daarover besluit en hoe dat besluit de balie bereikt.
Lees het artikel
Vijf regels uit een fictief AI-register, van een gratis ChatGPT-account tot een HR-tool die sollicitaties voorsorteert, met per kolom waarom hij erin staat. Twee regels staan op nog geen besluit, en dat is precies goed.
Lees het artikel
Een vast ritme bestaat niet. Een AI-beleid herzie je bij een aanleiding, en minimaal één keer per jaar als die aanleiding uitblijft. Drie cijfers laten zien of het tijd is, en wat er dan moet veranderen.
Lees het artikel Een bestuur wil weten of AI wordt gebruikt, of het via de afgesproken route loopt en of de afspraken werken. Acht KPI's die dat beantwoorden, met per cijfer wat het zegt, wat het niet zegt en of het zonder gebruikers-id te meten is.
Lees het artikel
IT wil dat meer mensen de ingekochte AI-tool gebruiken. De privacyfunctionaris wil minder tools zonder besluit. Het lijken twee agenda's, maar het zijn dezelfde cijfers van twee kanten bekeken, en ze worden samen beter.
Lees het artikel Een spreadsheet volstaat zolang de lijst kort is, weinig verandert en één persoon hem bijhoudt. Hij breekt op vier punten: nieuwe tools ontdekken, herbeoordelen, het besluit bij de medewerker krijgen en versies. Software lost dat alleen op als de regels ergens anders vandaan komen.
Lees het artikel
Gratis tools op eigen accounts, AI-functies in leermiddelen die er al waren, en extensies die iemand in de pauze installeerde. Waar shadow AI op scholen vandaan komt, waarom een uitvraag per kwartaal achterloopt, en hoe je het bijhoudt zonder docenten te volgen.
Lees het artikel
Een gemeente die Copilot heeft uitgerold, heeft daarmee niet al haar AI-gebruik geregeld. Naast Copilot draaien Perplexity, ChatGPT, transcriptie en vertaaltools, meestal zonder besluit. Hoe je dat bijhoudt zonder medewerkers te volgen.
Lees het artikel
Een AI-beleid voor een kantoor hoeft niet lang te zijn, maar het moet de vraag beantwoorden die op de werkvloer valt: mag deze tool, met dit dossier, op dit account. Welke vragen het beantwoordt, wat de compliance officer doet, en hoe het de samenstelafdeling bereikt.
Lees het artikel Een proxylog bevat elke URL, elke gebruiker en elk tijdstip. Voor de vraag welke AI-tools in gebruik zijn, heb je daar vier velden van nodig, en de gebruiker is er geen van. Dataminimalisatie toegepast op meten.
Lees het artikel Docenten gebruiken AI voor lesmateriaal, feedback en ouderbrieven, en leerlinggegevens gaan daar vaak in mee. Wat een bestuur met meerdere scholen regelt: zicht op de tools, een besluit per tool, dat besluit op het moment van typen, en cijfers zonder namen.
Lees het artikel Een AI-register op een school heeft dezelfde velden als elk register, plus drie die zwaarder tellen: de verwerkersovereenkomst, de leerlinggegevens en de school waar de tool draait. En het bevat ook de AI-functies in leermiddelen die er al waren.
Lees het artikel Een AI-register veroudert niet op de dag dat je hem opstelt, maar op de dag dat een leverancier een functie toevoegt of een collega een nieuwe tool opent. Actueel blijven vraagt aanleidingen, een ritme en een tweede bron.
Lees het artikel
De beroepsregels noemen geen tools, ze noemen kernwaarden. Welke AI-tools een advocaat mag gebruiken is daarom een besluit van het kantoor: een lijst met statussen, voorwaarden en alternatieven, en een route voor de tool die er nog niet op staat.
Lees het artikel Een brief herschrijven, een bezwaarschrift samenvatten, een raadsvraag beantwoorden: de taak mag meestal, de persoonsgegevens niet. Per taak wat eruit moet voordat je plakt, en waarom het accounttype bij een gemeente zwaar weegt.
Lees het artikel Een Copilot-licentie voor het personeel is snel uitgedeeld. Wat er daarna nog te besluiten is: welke variant, wie bij welke leerlingdossiers kan, welke gegevens en koppelingen, en wat je doet met de AI-tools die docenten ernaast gebruiken.
Lees het artikel Begin bij wat er al wordt gebruikt, niet bij een leeg document. Leg per tool account en gegevens vast, geef elke tool een status en een eigenaar, en zet de lijst waar mensen werken. Waarom een lijst zonder "nog geen besluit" niet af is.
Lees het artikel Het Algoritmeregister beschrijft openbaar de algoritmes die besluiten over inwoners raken. De chatbot, de transcriptietool en Copilot staan er niet in, en daar is een tweede, intern register voor. Wat in welk register hoort en hoe waargenomen gebruik het interne register vult.
Lees het artikel Een AI-beleid voor een school beantwoordt twee soorten vragen: welke tools en gegevens voor het personeel, en welk gebruik bij welke opdracht voor leerlingen. Twee beleidslijnen, één docent die ze allebei uitlegt.
Lees het artikel
Een AI-protocol dat "zorgvuldig" en "geen vertrouwelijke informatie" zegt, beantwoordt de vraag van de stagiair op woensdagmiddag niet. Welke vragen een AI-beleid voor een kantoor wel beantwoordt, waarom het accounttype de eerste afspraak is, en hoe het beleid de advocaat bereikt op het moment van typen.
Lees het artikel
Een uitvraag in april levert elf AI-tools op. In juni klopt de lijst niet meer: een nieuwe transcriptietool, een AI-toelichting in de samenstelsoftware, een contractanalysetool die een collega tipte. Hoe een kantoor het bijhoudt zonder medewerkers te volgen.
Lees het artikel Het bestuur is eindverantwoordelijk, maar een register dat bij één functie ligt veroudert in een kwartaal. De rollen van FG, CISO, IT, inkoop en de business, wie welk deel draagt, en waarom "de FG doet het wel" misgaat.
Lees het artikel Een Copilot-licentie regelt één dienst. Bij een gemeente liggen er naast die licentie vier dingen: de rechten op SharePoint en Teams, de DPIA, de gegevens die Copilot mag bereiken, en de AI-tools die ernaast in gebruik zijn.
Lees het artikel Niemand is eigenaar van AI in de organisatie, en dat is geen probleem zolang elk besluit één eigenaar heeft. Wat bestuur, FG, CISO, IT, inkoop, HR, teamleiders, OR en medewerkers elk beslissen, leveren en zien.
Lees het artikel Een advocatenkantoor gebruikt meer AI dan de onderzoeksomgeving met een licentie: chatbots, dicteersoftware, contractanalyse, AI in de juridische databank. Welke tools in het register horen en welke velden voor een kantoor zwaarder wegen dan elders.
Lees het artikel Op een accountantskantoor draait AI in de chatbot, in het boekhoudpakket en in de auditsoftware. Welke velden een register voor een kantoor extra nodig heeft, en waarom het register alleen klopt als je ernaast kijkt naar wat er echt wordt geopend.
Lees het artikel
Feedback op een werkstuk, een cijferlijst, een zorgnotitie: de taak mag, de leerling niet. Wat je uit de tekst haalt voordat je plakt, waarom de naam weghalen niet genoeg is, en hoe je de taak toch gedaan krijgt.
Lees het artikel Een door het college vastgesteld AI-beleid helpt de wijkteammedewerker op vrijdagmiddag alleen als het haar vraag beantwoordt: mag deze tool, met dit verslag? Welke vragen het beleid van een gemeente beantwoordt, wat de FG en de CISO doen, en hoe het besluit de balie bereikt.
Lees het artikel
Het Microsoft 365-beheercentrum laat zien hoeveel gebruikers met een licentie Copilot hebben gebruikt, en in welke app. Het laat niet zien wat er naast Copilot in gebruik is. Hoe je die twee naast elkaar legt zonder personen te volgen.
Lees het artikel
Een Copilot-licentie regelt de dienst: verwerkersovereenkomst, geen training, verwerking binnen Microsoft 365. Het gebruik regelt hij niet. Zes afspraken die een bestuur zelf maakt, op één pagina, met een tabel om ze langs te lopen.
Lees het artikel Ja, zodra ze worden gebruikt, ook als niemand ze heeft ingekocht. En niet als één regel: de gratis en de zakelijke versie verschillen op precies de velden waar een register voor bestaat.
Lees het artikel Een kantoor dat Copilot heeft uitgerold, heeft daarmee zijn AI-gebruik niet geregeld. Ernaast draaien ChatGPT, Perplexity, transcriptie en tools die dossiers uitlezen, meestal zonder besluit. Waarom dat onder toezicht en DORA zwaarder telt, en hoe je het bijhoudt zonder medewerkers te volgen.
Lees het artikel
Advocaten laten AI samenvatten, concepten schrijven en zoeken. De informatie die daarbij langskomt is aan het kantoor toevertrouwd onder een geheimhoudingsplicht. Welke tools er in gebruik zijn, wat het kantoor daarover besluit en hoe dat besluit de advocaat bereikt.
Lees het artikel
Een handmatig register laat zien wat de organisatie kent. Werkelijk gebruik laat zien wat erbuiten valt. Het verschil tussen die twee lijsten is het werk, en in vier stappen wordt het een register dat zichzelf bijhoudt.
Lees het artikel Op een accountantskantoor helpt AI bij het grootboek, de jaarrekening en het adviesmemo. Wat erin gaat is van de cliënt. Welke tools er in gebruik zijn, wat het kantoor daarover besluit, en hoe je dat later kunt laten zien.
Lees het artikelDe besluiten, afspraken en het bewijs waarmee een organisatie haar AI-gebruik verantwoord en aantoonbaar houdt. In de praktijk komt het neer op vier vragen: welke AI-tools zijn in gebruik, wat is er per tool besloten, kennen mensen dat besluit op het moment dat ze werken, en kun je laten zien dat het beleid wordt gevolgd.
Nee. De AI Act legt verplichtingen op aan specifieke systemen en rollen, zoals aanbieders en gebruiksverantwoordelijken van hoogrisicosystemen. De governance van dagelijks AI-gebruik, zoals medewerkers die ChatGPT of Copilot gebruiken, valt vooral onder de AVG, je eigen beleid en de plicht tot AI-geletterdheid uit artikel 4. Goede governance maakt die verplichtingen makkelijker na te komen; ze vervangt ze niet.
Nee. Je moet weten welke tools worden gebruikt en hoe vaak, op het niveau van de organisatie. Dat is te meten zonder gebruikers-id in de data, en daarmee blijft de meting binnen de AVG en buiten het terrein van medewerkersmonitoring.
Detecteer gevoelige gegevens voordat ze je team verlaten, in elke app, in real time.
Rens, BeeSensible
Ik geef je graag een rondleiding van twintig minuten. Laat je gegevens achter, dan zoek ik een moment dat jou uitkomt. Bellen of mailen mag natuurlijk ook.