Verantwoord ondernemen betekende een aantal jaar geleden vooral aandacht voor milieu, arbeidsomstandigheden en eerlijke handelsketens. Inmiddels is daar een nieuw onderwerp bijgekomen dat minstens zoveel impact heeft op de dagelijkse bedrijfsvoering: de manier waarop een organisatie omgaat met AI-technologie. Steeds meer bedrijven ontdekken dat AI-tools binnen hun organisatie worden gebruikt zonder dat daar bewust beleid op is gemaakt, wat op termijn tot juridische en operationele risico’s leidt. Dit artikel bespreekt waarom AI-governance uitgroeit tot een vast onderdeel van bedrijfsvoering, wat verantwoord AI-gebruik in de praktijk betekent en hoe bedrijven dit stap voor stap kunnen opbouwen.
Waarom AI-governance uitgroeit tot een vast onderdeel van bedrijfsvoering
Tot voor kort werd AI-gebruik binnen veel organisaties gezien als een individuele keuze van medewerkers of afdelingen, zonder dat dit op bestuursniveau werd besproken. Deze houding verandert nu wetgeving zoals de EU AI Act bedrijven verplicht om aantoonbaar grip te hebben op de AI-systemen die zij gebruiken.
Deze verplichting geldt niet alleen voor organisaties die zelf AI-technologie ontwikkelen, maar voor elk bedrijf dat AI-tools inzet binnen de eigen bedrijfsvoering, van een eenvoudige schrijfassistent tot geavanceerde analysesoftware. Op https://joingrasp.com/ is te lezen hoe bedrijven inzicht krijgen in het AI-gebruik binnen hun eigen organisatie, als eerste stap richting structurele governance.
Deze verschuiving plaatst AI-governance in dezelfde categorie als informatiebeveiliging en gegevensbescherming: onderwerpen waar een organisatie tegenwoordig actief beleid op voert, in plaats van deze aan het toeval over te laten.
Wat verantwoord AI-gebruik in de praktijk betekent
Verantwoord AI-gebruik begint met weten welke AI-tools daadwerkelijk binnen de organisatie worden gebruikt, in plaats van te vertrouwen op aannames of verouderde software-overzichten. Veel bedrijven ontdekken bij een eerste inventarisatie dat het aantal actieve AI-tools veel hoger ligt dan verwacht.
Naast dit overzicht hoort bij verantwoord AI-gebruik ook een duidelijke risicoclassificatie, waarbij onderscheid wordt gemaakt tussen tools die eenvoudige, laagrisicotaken uitvoeren en tools die gevoelige gegevens verwerken of invloed hebben op beslissingen richting klanten. Deze classificatie bepaalt welk niveau van controle en documentatie nodig is.
Ten slotte hoort hierbij een helder intern beleid, waarin medewerkers weten welke tools zijn toegestaan en op welke manier nieuwe tools kunnen worden aangevraagd, zodat AI-gebruik zich niet ongecontroleerd blijft verspreiden binnen de organisatie.
De risico’s van het ontbreken van AI-beleid
Wanneer een organisatie geen duidelijk AI-beleid voert, ontstaat er ruimte voor medewerkers om zelfstandig tools te kiezen zonder aandacht voor gegevensverwerking of beveiliging. Dit fenomeen, vaak aangeduid als schaduw-AI, brengt risico’s met zich mee die pas zichtbaar worden op het moment dat er iets misgaat.
Vertrouwelijke bedrijfsgegevens die via een niet-goedgekeurde AI-tool worden verwerkt, kunnen buiten de grenzen van de organisatie terechtkomen zonder dat daar enige controle op is uitgeoefend. Voor bedrijven die werken met gevoelige klantinformatie, kan dit risico direct raken aan bestaande contractuele verplichtingen.
Daarnaast brengt het ontbreken van beleid ook reputatierisico met zich mee, aangezien klanten en partners in toenemende mate verwachten dat een organisatie kan aantonen hoe zij met AI-systemen omgaat.
Hoe bedrijven dit stap voor stap opbouwen
De eerste stap richting AI-governance is altijd een volledige inventarisatie van de AI-tools die binnen de organisatie in gebruik zijn, inclusief tools die buiten de formele inkoop om zijn geïntroduceerd. Zonder dit uitgangspunt blijft elke volgende stap onvolledig.
Na deze inventarisatie volgt het opstellen van beleid dat bepaalt welke tools zijn goedgekeurd, onder welke voorwaarden nieuwe tools kunnen worden aangevraagd, en wie binnen de organisatie verantwoordelijk is voor het bijhouden van dit overzicht. Dit beleid werkt alleen wanneer het praktisch en begrijpelijk is voor medewerkers die er dagelijks mee te maken krijgen.
Bedrijven die deze aanpak als doorlopend proces inrichten in plaats van eenmalig project, bouwen een vorm van verantwoord ondernemen op die net zo vanzelfsprekend wordt als aandacht voor milieu of arbeidsomstandigheden dat inmiddels is geworden.
