Een werkbaar AI-governancekader voor kleine bedrijven

Wat is een kader voor AI-governance?

Een AI-governancekader is het beheersysteem achter uw AI-beleid: het bepaalt wie een AI-tool of toepassing mag goedkeuren, wat moet worden vastgelegd, hoe risico's worden gecontroleerd en wanneer beslissingen opnieuw worden bekeken. Het beleid voor aanvaardbaar gebruik vertelt medewerkers wat ze moeten doen; governance bepaalt wat er in dat beleid komt en houdt het actueel.

De meeste gepubliceerde kaders zijn geschreven voor grote organisaties die AI-systemen bouwen. Een bedrijf met 5 tot 200 medewerkers dat kant-en-klare assistenten gebruikt, heeft dezelfde logica nodig, maar op veel kleinere schaal. Het doel is dat elke goedgekeurde toepassing een verantwoordelijke, een reden en een herbeoordelingsdatum heeft, en dat niemand hoeft te raden wie beslist.

Deze pagina bevat algemene informatie, geen juridisch advies. Als u AI in producten integreert, beslissingen over mensen automatiseert of in een gereguleerde sector werkt, hebt u een specialistische beoordeling nodig die verder gaat dan wat hier wordt beschreven.

Hoe is het NIST-raamwerk voor AI-risicobeheer van toepassing op een klein bedrijf?

Het NIST-raamwerk voor AI-risicobeheer is een vrijwillig raamwerk, gepubliceerd op 26 January 2023, dat het beheersen van AI-risico's indeelt in vier functies: besturen, in kaart brengen, meten en beheersen. Volgens NIST is het bedoeld voor vrijwillig gebruik, zonder beperking tot een sector of toepassing, zodat organisaties van elke omvang er flexibel mee kunnen werken. NIST geeft ook aan dat gebruikers op basis van hun middelen en mogelijkheden categorieën kunnen kiezen. Dat is precies wat een klein team zou moeten doen.

Besturen is overkoepelend: cultuur, beleid, rollen en verantwoordingsplicht. In kaart brengen stelt vast in welke context een systeem wordt gebruikt en welke risico's daarbij horen. Meten analyseert en bewaakt die risico's met kwalitatieve of kwantitatieve methoden. Beheersen wijst middelen toe aan de vastgestelde risico's en omvat plannen voor het reageren op en herstellen van incidenten. De pagina van NIST vermeldt dat het kader wordt herzien. Controleer daarom de huidige versie voordat u eruit citeert.

De onderstaande tabel is onze aangepaste versie voor kleine teams. Het is geen officieel NIST-profiel en het gebruik ervan betekent niet dat een bedrijf aan enige norm of verplichting voldoet.

Wie moet in een klein bedrijf verantwoordelijk zijn voor het beleid en toezicht rond AI?

Eén aangewezen persoon moet verantwoordelijk zijn voor het AI-beheer, met duidelijke afspraken over goedkeuring van beslissingen die deze persoon niet alleen kan nemen. In de praktijk is dat bij een bedrijf met minder dan 50 mensen vaak de oprichter of operationeel directeur. Bij een groter bedrijf is het vaak een operationeel of IT-verantwoordelijke die aan de directie rapporteert. De Govern-richtlijnen van NIST omvatten verantwoordelijkheid van de directie voor beslissingen over AI-risico's, met vastgelegde rollen en communicatielijnen.

Een werkbare taakverdeling voor een fictief softwarebedrijf met 60 medewerkers, Kestrel Systems: de operationeel directeur beheert het register en keurt nieuwe hulpmiddelen goed; de persoon die verantwoordelijk is voor gegevensbescherming keurt elk gebruik met persoonsgegevens goed; elk afdelingshoofd keurt werkprocessen goed en controleert resultaten binnen de eigen afdeling; de algemeen directeur keurt de jaarlijkse evaluatie goed. Vier namen dekken alles af en iedereen weet welke vraag bij hem of haar hoort.

Wat moet er in een AI-register worden vastgelegd?

Een AI-register moet elke goedgekeurde tool en toepassing vastleggen, met het abonnement, de toegestane taak, de toegestane informatie, de verantwoordelijke, de beoordelaar en de beoordelingsdatum. De governancerichtlijnen van NIST omvatten mechanismen om AI-systemen te inventariseren, met een inzet van middelen die past bij de risicoprioriteiten; voor een klein bedrijf volstaat een gedeeld rekenblad.

Leg ook gegevens over externe partijen vast, want vrijwel elk AI-systeem dat een klein bedrijf gebruikt, is van een leverancier. Het Govern-materiaal van NIST behandelt beleid voor AI-risico's bij externe partijen en noodprocedures bij uitval van hun systemen. Voor uw register betekent dit: wat de leveranciersvoorwaarden zeggen over training, bewaring en verwijdering, wanneer u die voor het laatst hebt gecontroleerd en wat u zou doen als de tool niet meer beschikbaar is of de voorwaarden veranderen.

Voorbeeldrij voor Kestrel: "Tool: zakelijke werkomgeving van [assistent]. Gebruik: interne documenten opstellen en openbaar onderzoek samenvatten. Informatie: uitsluitend openbaar en intern. Verantwoordelijke: operationeel directeur. Controleur: de direct leidinggevende van de auteur voor alles wat extern wordt gedeeld. Leveranciersvoorwaarden gecontroleerd: [datum]. Terugvaloptie: schrijven zonder AI. Volgende controle: [datum]."

Hoe moet een nieuwe toepassing van AI worden goedgekeurd?

Een nieuwe toepassing van AI moet worden goedgekeurd via een kort schriftelijk verzoek dat vijf vragen beantwoordt. Zo kan de verantwoordelijke snel beslissen en wordt het besluit vastgelegd. De meeste verzoeken binnen een klein bedrijf hebben een laag risico en zouden binnen een dag afgehandeld moeten zijn, zonder commissievergadering. Een trage procedure moedigt mensen aan die over te slaan.

Het aanvraagformulier van Kestrel telt vijf regels. Als een antwoord persoonsgegevens of een beslissing over een persoon betreft, moet de aanvraag vóór goedkeuring eerst langs de verantwoordelijke voor gegevenstoestemming.

Op welke principes moet een beleid voor AI-governance berusten?

Er bestaat geen algemeen aanvaarde lijst met principes voor AI-governance; verschillende kaders gebruiken verschillende principes. Kies daarom een beknopte set die uw team kan toepassen. NIST noemt kenmerken van betrouwbare AI: valide en betrouwbaar, veilig, beveiligd en weerbaar, verantwoord en transparant, uitlegbaar en interpreteerbaar, privacybevorderend, en eerlijk waarbij schadelijke vooringenomenheid wordt beheerst. Het AI Playbook van de Britse overheid, dat in februari 2025 voor ambtenaren is gepubliceerd, beschrijft tien principes. Het begint met weten wat AI is en wat de beperkingen ervan zijn, en omvat ook betekenisvolle menselijke controle op de juiste momenten.

Voor een klein bedrijf volstaan meestal drie werkprincipes: elk gebruik heeft een aangewezen verantwoordelijke; informatie gaat alleen naar plekken waar die mag worden verwerkt; en een mens controleert alle gebruikte uitvoer en neemt daarvoor de verantwoordelijkheid. Als een voorgestelde toepassing niet aan alle drie voldoet, kan die nog niet worden goedgekeurd.

Mensen vragen soms naar de drie pijlers van AI-governance. Er bestaat geen standaardindeling. Een praktische indeling is mensen (wie beslist en wie wordt opgeleid), processen (hoe toepassingen worden goedgekeurd en beoordeeld) en vastlegging (het register en de besluiten daarin).

Hoe vaak moeten besluiten over AI-beheer worden herzien?

Controleer het volledige register minstens eenmaal per jaar, en afzonderlijke vermeldingen telkens wanneer een leverancier zijn voorwaarden wijzigt, een abonnement verandert, een klantcontract AI-bepalingen toevoegt of een gemeld probleem laat zien dat een werkproces niet werkt. De richtlijnen van NIST over governance behandelen doorlopende monitoring en periodieke evaluatie van het risicobeheerproces.

Voor een klein bedrijf is een halfuur per kwartaal vaak genoeg: de verantwoordelijke leest het problemenlogboek, controleert twee of drie leveranciersvoorwaarden, vraagt afdelingshoofden of het gebruik is veranderd en stelt buiten gebruik wat niemand gebruikt. Het afbouwen van ongebruikte tools hoort bij goed beheer; de richtlijnen van NIST voor bestuur en beheer omvatten processen voor het veilig buiten gebruik stellen van AI-systemen.

Welke plaats heeft training binnen het beleid en toezicht rond AI?

Training is het onderdeel van governance dat regels toepasbaar maakt. De Govern-richtlijnen van NIST omvatten training voor personeel in AI-risicobeheer. Voor de EU stelt de Europese Commissie in haar vragen en antwoorden over AI-geletterdheid bij artikel 4 van de AI Act dat er geen universele aanpak is, dat certificaten niet verplicht zijn en dat een interne registratie van trainingen volstaat.

Leg vast wie waarin is getraind en richt de training op de taken die mensen daadwerkelijk uitvoeren. Tosheo.ai wordt ontwikkeld om rolgerichte oefeningen aan te bieden, met voor managers inzicht in de ontwikkeling van vaardigheden en de afronding van lessen; het is geen platform voor AI-governance en houdt uw register niet bij.

Wanneer heeft een klein bedrijf meer nodig dan dit?

U heeft meer nodig dan een eenvoudig kader als u AI-systemen ontwikkelt, AI in een product verwerkt, AI gebruikt om ingrijpende beslissingen over mensen te nemen of te ondersteunen, op grote schaal bijzondere persoonsgegevens verwerkt of in een gereguleerde sector werkt. In die gevallen kunnen formele risico- of effectbeoordelingen, certificeerbare managementsystemen en juridische toetsing nodig zijn.

Er bestaat speciale software voor AI-governance, vooral gericht op grotere organisaties. Voor een team dat een paar assistenten gebruikt, zijn een register in een spreadsheet, een kort beleidsdocument en een evaluatiedatum meestal voldoende. Die zijn ook gemakkelijker actueel te houden.

Bronnen en reikwijdte

NIST, Kader voor AI-risicobeheer 1.0 (NIST AI 100-1), January 2023 ↗

NIST, overzichtspagina van het kader voor AI-risicobeheer, gecontroleerd op 16 October 2026 ↗

NIST AI RMF-draaiboek: besturen, gecontroleerd op 16 October 2026 ↗

GOV.UK, AI-handboek voor de Britse overheid, 10 February 2025 ↗

Europese Commissie, AI-geletterdheid - Vragen en antwoorden, laatst bijgewerkt op 27 July 2026 ↗