Navigeren door de AI Act: compliance en governance voor IT-leiders

De meeste organisaties beginnen aan de AI Act met de verkeerde vraag. Ze vragen welke AI-systemen ze hebben. De verordening vraagt iets anders: waarvoor je ze gebruikt.

Dat klinkt als een detail en het bepaalt de hele uitkomst. Hetzelfde taalmodel is nauwelijks gereguleerd wanneer het interne notulen samenvat, en valt in de zwaarste toegestane categorie wanneer het sollicitanten voorsorteert. De techniek is identiek. De toepassing is dat niet.

Risico, niet techniek

Verordening (EU) 2024/1689 hanteert vier niveaus. Bovenaan staan de verboden praktijken, waaronder social scoring door overheden en bepaalde vormen van emotieherkenning op de werkvloer en in het onderwijs. Daaronder de hoog-risico systemen, met daarin onder meer toepassingen rond werving, beoordeling van medewerkers, toegang tot onderwijs en kredietwaardigheid. Vervolgens systemen met een transparantieplicht, zoals chatbots en synthetische media, die duidelijk moeten maken dat de gebruiker met AI te maken heeft. En tot slot de grote restcategorie met minimale verplichtingen.

De invoering loopt gefaseerd, en die fasering is onderweg gewijzigd. De verordening is van kracht sinds 1 augustus 2024. De verboden praktijken en de eis van AI-geletterdheid gelden sinds 2 februari 2025, de verplichtingen voor modellen voor algemene doeleinden sinds 2 augustus 2025, en de transparantieplicht van artikel 50 sinds 2 augustus 2026. De zware hoog-risicoverplichtingen zijn via de Digital Omnibus doorgeschoven: bijlage III naar 2 december 2027 en bijlage I naar 2 augustus 2028, onder voorbehoud van publicatie in het Publicatieblad. De boetes lopen op tot 35 miljoen euro of zeven procent van de wereldwijde jaaromzet voor verboden praktijken, en tot 15 miljoen of drie procent voor de meeste andere overtredingen.

Die verschuiving leest als lucht en is het niet. Wie een hoog-risicotoepassing in productie heeft, krijgt tijd voor het dossier, niet voor de inrichting. De inventarisatie en de risicoweging blijven werk van dit jaar, al was het maar omdat de transparantieplicht en het verbod op bepaalde praktijken nu al gelden.

De inventarisatie die niemand leuk vindt

Praktische compliance begint bij een lijst, en die lijst valt vrijwel altijd tegen. Niet omdat er zoveel AI in gebruik is, maar omdat er zoveel AI in gebruik is die niemand als AI heeft geregistreerd.

Kijk verder dan de projecten met AI in de naam. De scoringsmodule in je HR-pakket telt mee. De fraudedetectie die je bank-integratie meelevert telt mee. De functie in je servicedesk-tool die tickets categoriseert en prioriteert telt mee. Die zijn ingekocht als functionaliteit en nooit langs een risicoweging gegaan.

Leg per toepassing vast wat het systeem doet, over wie of wat het een uitspraak doet, en welk gevolg die uitspraak heeft voor een persoon. Dat laatste punt drijft de classificatie. Een model dat een aanbeveling doet die een mens daarna vrij overneemt of negeert, zit in een ander regime dan een model dat in de praktijk het besluit is.

Governance is de bestaande structuur, niet een nieuwe

De reflex is een AI-governance-board oprichten. Dat is meestal de duurste weg naar het minste effect, want zo'n gremium komt eens per kwartaal bijeen terwijl de beslissingen wekelijks vallen.

Effectiever is het inbouwen van de vraag in poorten die al bestaan. Wie vandaag software inkoopt, doorloopt een security- en privacytoets. Voeg daar een korte AI-vraag aan toe: zit er een model in, waarover doet het een uitspraak, en wat gebeurt er met die uitspraak. Drie vragen bij de inkooppoort vangen meer op dan een kwartaaloverleg, en ze vangen het op het moment dat afwijzen nog goedkoop is.

Voor wie al met NIS2 werkt, is er meer overlap dan verschil. Richtlijn (EU) 2022/2555 legt bestuurlijke verantwoordelijkheid, risicobeheer en incidentmelding vast. De AI Act vraagt om dezelfde spieren, gericht op een ander onderwerp. Organisaties die NIS2 serieus hebben opgepakt, hebben het zwaarste werk al gedaan: het beleggen van eigenaarschap en het aantonen ervan.

De bewijslast is de echte opgave

Toezicht toetst niet je goede bedoelingen maar je dossier. Dat is voor veel IT-organisaties de onwennigste kant van dit onderwerp.

Je moet kunnen laten zien welke data een systeem heeft getraind of gevoed, welke afwegingen er zijn gemaakt bij de inzet, hoe het menselijk toezicht is ingericht, en wat er gebeurde toen het misging. Dat laatste is het lastigst, want het veronderstelt dat er iets is vastgelegd op een moment dat niemand daar zin in had.

Begin daarom met de registratie voordat je begint met de uitrol. Een besluit dat je op het moment zelf vastlegt kost tien minuten. Datzelfde besluit reconstrueren voor een audit kost dagen, en het resultaat is zwakker.

Waar het in de praktijk misgaat

Drie fouten kom ik het vaakst tegen, en ze hangen samen.

De eerste is classificeren op leverancier in plaats van op gebruik. De vraag of je leverancier compliant is, is niet dezelfde vraag als of jouw toepassing dat is. Als gebruiksverantwoordelijke heb je eigen verplichtingen, ook bij ingekochte techniek.

De tweede is menselijk toezicht dat alleen op papier bestaat. Wie veertig adviezen per uur moet accorderen, houdt geen toezicht maar tekent af. Meet het afwijkingspercentage: wijkt een team maandenlang nooit af, dan is het toezicht verdwenen ongeacht wat de procedure zegt.

De derde is compliance beleggen bij een stafafdeling die geen zeggenschap heeft over de inkoop. Dan ontstaat er een register dat achterloopt op de werkelijkheid, en dat is slechter dan geen register, omdat het ten onrechte geruststelt.

Wat dit oplevert naast het vermijden van boetes

Een organisatie die per AI-toepassing kan uitleggen wat er gebeurt en wie ervoor tekent, is beter bestuurbaar. Ze kan sneller ja zeggen tegen nieuwe toepassingen, omdat de afweging een bekende route heeft in plaats van een discussie.

Dat is uiteindelijk het argument dat het in de boardroom wint. Governance die alleen als kostenpost wordt gepresenteerd, verliest van de volgende prioriteit. Governance die de doorlooptijd van een AI-besluit verkort, blijft staan.