Deze drie termen vormen de basis. Let op de volgorde: ze schakelen in elkaar.
Systemen die taken doen die menselijke cognitie vragen — via aangeleerde statistische patronen, niet via door een programmeur geschreven regels.
→Het moment waarop governance-scope begint: een AI-output bepaalt een uitkomst voor iemand (kredietscore, hiring-flag, leningweigering).
→De set policies, rollen, controls en oversight die zorgt dat die systemen betrouwbaar, eerlijk en binnen de wet werken — over hun hele levenscyclus.
Klassieke IT-controls zijn gebouwd voor de linkerkolom. Toepassen op de rechterkolom = governance-falen.
| Eigenschap | Rule-based software | AI-systemen |
|---|---|---|
| Logica | Volledig gespecificeerd door programmeurs, staat in de code | Emergeert uit statistische patronen in trainingsdata |
| Outputs | Deterministic & traceerbaar | Probabilistic — zelfde input kan licht andere output geven |
| Auditen | Auditor leest de logica, test ze, geeft een oordeel | Vergt gespecialiseerde interpretability-tools |
| Controls | Access- & change management volstaan grotendeels | Strekt zich uit tot data governance, model monitoring én human-in-the-loop-beslissingen |
Ezelsbrug: A-O-A-C. Elke eigenschap breekt een aanname waarop klassieke IT-audit gebouwd was.
Systemen handelen zonder goedkeuring per beslissing. Eén beleidskeuze schaalt naar miljoenen uitkomsten vóór iemand kijkt.
De interne beslislogica is vaak ontoegankelijk — zelfs voor de ontwikkelaars die het bouwden.
Modellen worden geüpdatet/hertraind → gedrag verschuift → eerdere risk-assessments en controls moeten opnieuw.
Outputs raken hiring, lending, healthcare en publieke veiligheid — domeinen waar een fout juridisch en reputationeel weegt.
| Probleem | Wat het betekent |
|---|---|
| Opacity | Beslislogica van een neuraal netwerk vaak niet leesbaar, ook niet door de bouwers. |
| Drift | Modelgedrag verandert als de data-distributie in de echte wereld verschuift — zónder dat iemand het model aanraakt. |
| Scale | Eén model kan miljoenen ingrijpende beslissingen per dag nemen → elke fout wordt direct uitvergroot. |
Zonder gestructureerd programma worden deze drie gaten een audit-finding of incident.
Niemand kan duidelijk zeggen wie een beslissing bezit als een AI-output schade veroorzaakt. De vendor? Het deploy-team? De business owner? → aansprakelijkheid diffuus, remediatie traag.
De organisatie kan een beslissing niet uitleggen aan regelgever, klant of werknemer. In krediet, hiring en zorg is die explainability in veel jurisdicties wettelijk verplicht.
Geen mechanisme om modeldegradatie ná deployment te detecteren. Modellen driften — zonder monitoring weet je het pas als er een incident opduikt.
Elke gap matcht een eigenschap: Opacity → transparency gap, Adaptability/drift → monitoring gap, Autonomy + scale → accountability gap.
ERM = Enterprise Risk Management. Door AI in déze taal te framen, win je sneller board-krediet: het taalgebruik is al bekend bij wie het budget goedkeurt.
AI-inventory bijhouden, elke use case classificeren op consequence-niveau, voeden in het risk register.
→Controls kiezen die passen bij systeemtype, verwerkte data en omvang van mogelijke schade.
→KRI's definiëren voor drift, error rates en incident-frequentie → leading indicators vóór events.
| High-stakes AI | Low-stakes AI | |
|---|---|---|
| Impact bij fout | Significante schade | Onhandig, niet ingrijpend |
| Voorbeelden | Credit decisions, medical triage, facial recognition for law enforcement, child welfare screening | Spellingcheck, playlist-aanbevelingen, interne agenda-planning |
| Controls | Sterkste controls, verplichte human-in-the-loop, hoogste explainability-eisen | Lichtere structuren — proportioneel |
| # | Vraag van de board | Wat je daarvoor nodig hebt |
|---|---|---|
| 1 | Welke AI-systemen draaien we, en welke zijn high-stakes? | De AI-inventory |
| 2 | Wat is de huidige incident- en near-miss-rate? | Monitoring-infrastructuur + rapportagecadans |
| 3 | Welke regels gelden, en zijn we compliant? | Horizon scanning + compliance-mapping |
Wie alle drie met data (geen benaderingen) kan beantwoorden, bouwt board-vertrouwen en krijgt budget. Wie dat niet kan, blijft reactief.
Klik op je antwoord voor directe feedback.