AI ontwikkelt zich sneller dan veel organisaties hun beleid, processen en verantwoordelijkheden kunnen aanpassen. Generatieve AI is inmiddels breed beschikbaar, medewerkers experimenteren zelf met toepassingen en de volgende stap – AI-workflows en steeds autonomere agents – dient zich alweer aan.
De reflex kan zijn om eerst meer regels, commissies en controlemechanismen op te tuigen. Maar juist daar dreigt een misverstand: goede AI Governance draait niet om zoveel mogelijk controle. Het draait om het creëren van duidelijke en werkbare spelregels waarbinnen een organisatie verantwoord kan bewegen.
Tijdens het D&IN-webinar AI Governance in Practice stond precies die praktijkvraag centraal. Niet: welke beleidsdocumenten moeten we nog schrijven? Maar: hoe organiseer je AI zo dat verantwoordelijkheid, innovatie en snelheid naast elkaar kunnen bestaan?
Uit de verschillende perspectieven en de discussie kwamen een aantal duidelijke lessen naar voren.
1. AI Governance is in de eerste plaats mensenwerk
Bij governance denken we al snel aan beleid, procedures, registers en compliance. Die zijn nodig, maar vormen maar een deel van het verhaal.
Governance gaat uiteindelijk over veel fundamentelere vragen: wie mag wat beslissen? Wie is waarvoor verantwoordelijk? Wie houdt toezicht? En wat gebeurt er wanneer iets niet volgens plan verloopt?
Daarbij bestaat een organisatie niet alleen uit formele structuren. Samenwerking, cultuur, onderling vertrouwen, communicatie en informele invloed bepalen minstens zo sterk of governance in de praktijk werkt. Alleen een AI-beleid publiceren en verwachten dat de organisatie daarnaar gaat handelen, is daarom onvoldoende. In de webinar werd juist benadrukt dat structurele en procedurele maatregelen zonder aandacht voor cultuur, relaties en verandermanagement zelfs belemmerend kunnen werken.
Dat maakt AI Governance óók een veranderopgave.
Medewerkers moeten begrijpen waarom bepaalde kaders bestaan, weten waar ze terechtkunnen met vragen en zich veilig genoeg voelen om problemen te melden. Governance die alleen vertelt wat niet mag, vergroot juist de kans dat medewerkers AI vermijden óf buiten de afgesproken kaders gaan gebruiken.
2. Begin niet opnieuw: Data Governance is een belangrijk fundament
Veel organisaties beschikken al over Data Governance, IT Governance, privacyprocessen, securitybeleid en bestaande verantwoordelijkheidsstructuren. AI Governance hoeft daar niet als een volledig nieuwe wereld naast te worden gebouwd.
Voor AI zijn goede data immers cruciaal. Eigenaarschap, datakwaliteit, definities, metadata en controle op trainings- en productiedata zijn allemaal onderwerpen waarop bestaande Data Governance een belangrijke basis biedt.
Maar AI Governance is ook meer dan Data Governance. Een AI-systeem bevat modellen, algoritmen, beslislogica en soms een mate van autonomie die niet simpelweg onder databeheer valt. Bovendien produceert AI zelf weer nieuwe data, zoals outputs en logs. De kunst is daarom niet om AI Governance automatisch bij het bestaande datateam neer te leggen, maar om bestaande governancegebieden slim met elkaar te verbinden.
De vraag is dus minder: welke nieuwe governance moeten we bouwen?
En meer: wat hebben we al, wat kunnen we hergebruiken en wat voegt AI daar daadwerkelijk aan toe?
3. Niet iedere AI-toepassing verdient hetzelfde governanceproces
Een van de belangrijkste principes is proportionaliteit.
Een interne toepassing zonder persoonsgegevens en met beperkte impact vraagt om een andere aanpak dan een autonoom systeem dat invloed heeft op een klantbeslissing, financiële uitkomst of ander proces met grote consequenties.
Toch worden die toepassingen binnen organisaties soms door hetzelfde uitgebreide toetsingsproces gestuurd. Het gevolg: eenvoudige experimenten lopen vast in procedures die ontworpen zijn voor veel zwaardere risico's.
Dat hoeft niet.
Hoe groter de autonomie en potentiële impact van AI, hoe zwaarder de beheersmaatregelen moeten zijn.
Dat betekent niet dat toepassingen met een laag risico buiten governance mogen vallen. Wel dat de route korter kan zijn. In de discussie werd bijvoorbeeld benoemd dat een laagrisicotoepassing soms onnodig langs meerdere toetsingsteams, privacy en legal moet, terwijl een vooraf bepaalde risicoclassificatie een veel snellere route mogelijk zou kunnen maken. Juist zo kan governance innovatie mogelijk maken in plaats van blokkeren.
4. Zet governance aan het begin, niet aan het einde
Een AI-project ontwikkelen en pas vlak voor livegang vragen of privacy, security, compliance en verantwoordelijkheden goed geregeld zijn, is vragen om vertraging.
Een veel sterkere aanpak is governance by design of shift-left governance: stel de belangrijkste vragen al bij de start van een initiatief.
Bijvoorbeeld:
- Wie is eigenaar en wie is eindverantwoordelijk?
- Wat kan er misgaan en wat is de mogelijke impact?
- Welke privacy-, ethische en operationele risico's bestaan er?
- Wie controleert de toepassing vóór én na ingebruikname?
- Wie mag ingrijpen, stoppen of restrisico accepteren?
Vooral bij AI Agents wordt dit belangrijker. Naarmate een systeem zelfstandiger acties kan uitvoeren, wordt de vraag wie verantwoordelijk is voor een fout minder vanzelfsprekend. Leg je dit vooraf vast, dan voorkom je dat die discussie pas ontstaat nadat er iets misgaat.
Een centraal AI-gebruiksregister kan daarbij helpen. Niet alleen vanuit compliance, maar ook om zichtbaar te maken welke initiatieven binnen een organisatie lopen, welke risico's eraan verbonden zijn en wie verantwoordelijk is. Bovendien voorkom je zo dat verschillende teams onafhankelijk van elkaar hetzelfde wiel uitvinden.
5. Geef medewerkers niet alleen regels, maar ook handelingsruimte
Een governance-model kan inhoudelijk uitstekend zijn en tóch mislukken.
Dat gebeurt bijvoorbeeld wanneer medewerkers wel regels krijgen, maar niet begrijpen hoe ze die in hun dagelijkse werk moeten toepassen. Of wanneer voor iedere vraag vier verschillende afdelingen moeten worden benaderd.
Een interessant praktisch model is daarom werken met AI-ambassadeurs binnen teams of domeinen. Zij kunnen fungeren als eerste aanspreekpunt, helpen bij een eerste risico-inschatting en eenvoudige vragen direct beantwoorden. Alleen wanneer een toepassing een hoger risico heeft, hoeft deze door naar gespecialiseerde experts of een formeel toetsingsteam.
Daar hoort ook gerichte AI-geletterdheid bij. Een marketeer, manager en data scientist hebben niet dezelfde kennis nodig. Training wordt sterker wanneer deze aansluit bij de daadwerkelijke rol en use cases van medewerkers. En één training bij de introductie van een AI-beleid is niet voldoende. AI verandert daarvoor simpelweg te snel.
6. Business en IT hebben elkaar nodig
Een ander herkenbaar spanningsveld ontstaat tussen centrale beheersing en decentrale innovatie. De business ziet nieuwe mogelijkheden en wil experimenteren. Centrale IT kijkt terecht naar architectuur, security, schaalbaarheid, standaardisatie en beheersbaarheid. Beide perspectieven zijn noodzakelijk – maar wanneer één van de twee volledig domineert, ontstaat een probleem.
Alles centraal organiseren kan innovatie vertragen. Alles decentraal toestaan kan leiden tot versnippering, onvoldoende controle en Shadow AI.
Een mogelijke middenweg is een federatief model: organiseer generieke voorzieningen en governanceprincipes centraal, terwijl domeinen en businessonderdelen ruimte houden om toepassingen te ontwikkelen en waarde te creëren binnen die kaders. Dat spanningsveld en de zoektocht naar zo'n federatief model kwamen nadrukkelijk terug in de praktijkcase tijdens het webinar.
Daarbij hoeft een organisatie ook niet te wachten totdat de ideale technische omgeving volledig gereed is. Juist toepassingen met beperkte risico's kunnen ruimte bieden om ervaring op te doen, zolang duidelijk is wat er gebeurt en risico's proportioneel worden beheerst.
7. Begin klein, leer en vergroot daarna de autonomie
Misschien is dit wel de meest praktische les: je hoeft niet direct naar volledig autonome AI.
Begin bijvoorbeeld met toepassingen waarbij een medewerker de output van AI controleert voordat er iets mee gebeurt: human in the loop. Wanneer betrouwbaarheid, processen en controles zich bewijzen, kan vervolgens worden gekeken naar verdere automatisering.
Een praktijkvoorbeeld uit het webinar liet zien hoe AI eerst wordt ingezet om een medewerker te ondersteunen bij een voorspelbaar proces. De medewerker controleert de uitkomst voordat deze wordt verwerkt. Pas wanneer ook uitzonderingssituaties voldoende betrouwbaar worden afgehandeld en het vertrouwen groeit, komt verdere automatisering in beeld.
Ook experimenteren met een kleinere scope kan helpen. Door het aantal gebruikers, klantinteracties of toepassingsgebieden bewust te beperken en menselijke controle in te bouwen, ontstaat ruimte om te leren zonder direct het volledige risico van grootschalige inzet te nemen.
Dat is een wezenlijk andere benadering dan wachten totdat alles perfect geregeld is.
Governance als springplank
Misschien moeten we daarom anders naar AI Governance kijken.
Niet als de poortwachter die aan het einde van een innovatieproces bepaalt of iets wel of niet mag. Maar als de infrastructuur die ervoor zorgt dat een organisatie met vertrouwen meer kan.
Goede governance maakt duidelijk waar ruimte zit om te experimenteren, wanneer extra controle nodig is en wie verantwoordelijkheid draagt. Het helpt risico's eerder te herkennen, maakt opschaling beheersbaarder en kan het vertrouwen van medewerkers én klanten vergroten.
Dat laatste is niet alleen een compliancevraag. In het webinar werd zelfs de stap gemaakt naar concurrentievoordeel: organisaties die aantoonbaar verantwoord met AI omgaan, kunnen vertrouwen creëren en daarmee juist meer ruimte krijgen om AI toe te passen. Governance wordt dan een enabler voor groei.
De uitdaging is dus niet om eerst een perfect AI Governance-model te bouwen voordat de organisatie verder mag. De uitdaging is om een governance-model te creëren dat kan meebewegen terwijl de organisatie leert.
AI verandert daarvoor te snel om governance als een eenmalige exercitie te behandelen. Kaders zullen moeten evolueren, verantwoordelijkheden kunnen verschuiven en nieuwe toepassingen brengen nieuwe risico's met zich mee.
Maar de kern blijft verrassend menselijk: duidelijke verantwoordelijkheden, ruimte om te leren, openheid wanneer iets misgaat en voldoende vertrouwen om binnen heldere kaders vooruit te bewegen.
Webinar terugkijken
Dit artikel is gebaseerd op de thema's, praktijkvoorbeelden en discussie uit het D&IN-webinar AI Governance in Practice.
De volledige webinar is terug te kijken in de D&IN Kennisbank:
Bekijk de webinar AI Governance in Practice
Verder lezen
D&IN heeft daarnaast twee praktische documenten beschikbaar voor organisaties en professionals die met AI werken: het Herzien Protocol ‘Gebruik van AI bij statistisch onderzoek 2026’ en het Handboek AI-geletterdheid.
