AI governance in het MKB: zo houd je grip op AI

AI zit inmiddels op meer plekken in je bedrijf dan iemand kan opnoemen. In Copilot, in het CRM, in een chatvenster dat iemand zelf heeft geopend, misschien in een agent die mail sorteert. Niemand heeft daar ooit in één keer over besloten. Het groeide gewoon. De vraag komt pas als er iets misgaat, of als een klant in een vragenlijst vraagt hoe je AI-gebruik geregeld is.

AI governance is het antwoord op die vraag: de afspraken over wie waarover beslist, welke AI er draait, welk risico daarbij hoort en wat je vastlegt. Voor een concern is dat een programma met een commissie. Voor een MKB-bedrijf past het in een paar pagina's en een lijst die je bijhoudt. Hieronder lees je wat erin hoort en hoe je begint.

Dit artikel is algemene informatie, geen juridisch advies. Laat je aanpak toetsen door je jurist of privacyfunctionaris.

Wat is AI governance?

AI governance is het geheel van rollen, regels en controles waarmee een organisatie bepaalt hoe ze AI inzet. Het gaat niet over de techniek zelf, maar over de vragen eromheen. Wie mag een nieuwe tool aanzetten? Welke gegevens mogen erin? Wie controleert de uitkomst? En hoe zie je achteraf wat er gebeurde?

Het verschil met een AI-beleid: het beleid is het document met de huisregels. Governance is hoe je zorgt dat die regels gevolgd, bijgewerkt en gecontroleerd worden. Het beleid is er één onderdeel van.

Waarom het MKB er nu mee te maken heeft

• AI komt ongevraagd binnen. Nieuwe AI-functies verschijnen in software die je al gebruikt, van je kantoorpakket tot je boekhouding. Zonder afspraak staat iets aan voordat iemand het heeft beoordeeld.
• AI gaat van antwoorden naar handelen. Een assistent geeft tekst terug. Een AI-agent zet stappen in je systemen: een record aanmaken, een mail versturen. Dan wil je weten wie dat heeft toegestaan.
• Er komen vragen van buiten. Klanten en aanbestedende partijen vragen naar AI governance in leveranciersvragenlijsten. En de AI Act vraagt dat je als gebruiker van AI maatregelen neemt, onder meer voor AI-geletterdheid.

Het doel is niet om AI af te remmen. Het doel is dat je meer AI kunt inzetten zonder het overzicht te verliezen. Wie weet wat er draait, durft ook de volgende stap te zetten.

Zes onderdelen van AI governance

Voor een MKB-bedrijf zijn dit de zes onderdelen die ertoe doen. Begin bij de eerste twee. De rest bouwt daarop.

1. Eigenaarschap

Wijs één persoon aan die eigenaar is van AI in je organisatie. Niet als voltijdfunctie, wel met naam en mandaat. Die persoon houdt het register bij, beoordeelt nieuwe tools en is het aanspreekpunt bij een incident. De directie blijft eindverantwoordelijk.

Leg daarnaast per toepassing een eigenaar vast: de persoon die verantwoordelijk is voor wat die toepassing doet. Voor AI in de klantenservice is dat de teamleider klantenservice, niet IT. IT regelt de toegang. De afdeling is eigenaar van de uitkomst.

"IT" of "iedereen" is geen eigenaar. Zonder naam worden nieuwe tools niet getoetst en incidenten niet gemeld.

2. Een register van AI-gebruik

Je kunt niets beoordelen wat je niet kent. Houd een lijst bij van alle AI die in je bedrijf wordt gebruikt, ook wat buiten IT om is ontstaan. Per toepassing:

• naam, leverancier en het soort account: privé of zakelijk;
• waarvoor het wordt gebruikt en door wie;
• welke gegevens erin gaan, en of daar persoonsgegevens bij zitten;
• wat er met de uitkomst gebeurt: een hulpmiddel voor een mens, of een stap die zelf iets doet in een systeem;
• de eigenaar en de datum van de laatste beoordeling.

Een spreadsheet is genoeg. Het register sluit aan op je verwerkingsregister onder de AVG, en het is hetzelfde overzicht dat je nodig hebt om AI-geletterdheid aantoonbaar te regelen. De eerste versie is bijna altijd langer dan verwacht.

3. Risico-indeling

Niet elke toepassing vraagt dezelfde zorg. Een samenvatting van een openbaar rapport is iets anders dan een voorselectie op sollicitanten. Deel elke regel in het register in met twee vragen: gaan er persoonsgegevens in, en leidt de uitkomst tot een besluit over iemand?

Werk met drie bakjes: gewoon gebruik, extra aandacht, en niet doen zonder beoordeling. Dat is grover dan de wet, maar meteen werkbaar. De AI Act kent een eigen indeling, met een aparte categorie voor AI met een hoog risico, zoals AI bij werving en selectie. Valt een toepassing daar mogelijk onder, laat het dan juridisch toetsen. De stappen staan in AI Act en AVG: wat moet je regelen.

4. Logging en audit

Bij een fout wil je kunnen terugzien wat er gebeurde. Welke invoer was er, welke bronnen gebruikte het systeem, wat was de uitkomst en wie keurde het goed? Bij een chatassistent regelt de leverancier een deel daarvan in zijn beheeromgeving. Bij een agent die zelf handelt in je systemen richt je het zelf in.

Drie regels. Log per handeling, niet alleen per gesprek. Maak het log zo dat er alleen aan toegevoegd kan worden, zodat niemand achteraf iets kan wegpoetsen. En kijk er geregeld in, niet pas als er een klacht is. Bij AI met een hoog risico is logging een verplichting; in alle andere gevallen is het de enige manier om een fout terug te vinden.

Een voorbeeld: bij een retailorganisatie bouwden we AI-agents met een overzichtslaag in de eigen Azure-tenant van de klant. De agents zijn gekoppeld aan de bestaande ERP-, CRM-, webshop- en ticketsystemen, en elke actie komt in een auditlog waaraan alleen toegevoegd kan worden.

5. Beleid en menselijke controle

Het beleid legt de huisregels vast: welke tools zijn goedgekeurd, welke gegevens erin mogen, wie controleert en hoe je een nieuwe tool aanvraagt. Houd het kort: twee tot vier pagina's, plus één A4 voor dagelijks gebruik. De opbouw staat in AI-beleid opstellen.

Leg daarin ook vast waar een mens tussen zit. AI maakt concepten en voorstellen. Een mens beslist bij alles wat je niet kunt terugdraaien: een mail aan een klant, een boeking, een besluit over een persoon. Die mens moet dan wel de onderbouwing zien, kunnen afwijken en er tijd voor hebben. Een akkoordknop die iedereen blind aanklikt, is geen controle.

6. AI-geletterdheid

Regels werken alleen als mensen ze begrijpen. Artikel 4 van de AI-verordening vraagt organisaties die AI gebruiken om maatregelen te nemen die de AI-geletterdheid van hun mensen ondersteunen. Sinds de wijziging door Verordening (EU) 2026/1744 hoef je geen bepaald niveau per persoon te garanderen. Je moet wel kunnen laten zien welke maatregelen je neemt.

Train per rol en op eigen werk. Iedereen moet weten dat een taalmodel overtuigend fout kan zijn, welke gegevens er niet in mogen en bij wie je meldt als er iets misgaat. Hoe je dat aanpakt, staat in AI-geletterdheid verplicht.

Hoe dat eruitziet in de praktijk

Een voorbeeld ter illustratie, geen klantcase. Een groothandel met veertig medewerkers maakt de operationeel manager eigenaar van AI, met een paar uur per maand. Het register telt een dozijn regels, van Copilot voor iedereen tot een agent die orderbevestigingen leest. De meeste staan in het bakje gewoon gebruik. Twee vragen extra aandacht omdat er klantgegevens in gaan. Eén tool die cv's voorsorteert, staat stil tot hij is beoordeeld. Een nieuwe tool gaat via een kort formulier langs de eigenaar. En elk kwartaal loopt de eigenaar met de directie het register door, met twee echte voorbeelden van wat goed en wat fout ging.

Wat AI governance niet is

• Geen verbod. Een verbod zonder alternatief leidt tot gebruik met privéaccounts, buiten je zicht.
• Geen commissie. In het MKB werkt één eigenaar met mandaat beter dan een overleg dat elke maand wordt verzet.
• Geen eenmalig project. Tools veranderen, leveranciers passen hun voorwaarden aan en er komen nieuwe functies bij. Plan een vast moment om register en beleid na te lopen.
• Geen certificeringstraject. Er bestaat een internationale norm voor een managementsysteem voor AI, ISO/IEC 42001 (ISO). Voor de meeste MKB-bedrijven is dat een latere stap. De zes onderdelen hierboven zijn het begin.

Governance bij agents en maatwerk

Hoe meer AI zelf doet, hoe meer de regels in de software moeten zitten in plaats van in een document. Bij een agent die in je ERP schrijft, leg je vast:

• een eigen account voor de agent, met alleen de rechten die de taak nodig heeft;
• per handeling wat mag: altijd, na goedkeuring of nooit;
• een log per handeling met invoer, bron, uitkomst en wie goedkeurde;
• één plek waar de grenzen van de agent staan, zodat de eigenaar ze kan nalopen.

Zo wordt governance geen extra laag papier, maar een eigenschap van het systeem. Hoe een agent op maat in je eigen systemen werkt, lees je bij een AI-agent laten bouwen.

Hoe begin je?

• Wijs een eigenaar aan en vraag elk team welke AI-tools het gebruikt, ook gratis accounts.
• Zet alles in het register en deel elke regel in een van de drie bakjes in.
• Stel het beleid vast en regel een basissessie voor iedereen.
• Loop het register elk kwartaal na, en zet een nieuwe tool pas aan na een korte toets door de eigenaar.

Het register is het meeste werk, en het laat meer zien dan je risico's. Je ziet ook waar AI al tijd oplevert en waar het meer kan doen. Wil je dat overzicht gebruiken om te bepalen waar AI in je processen het meeste oplevert, dan doen we dat in de AI Opportunity Audit. Die maakt je niet compliant; dat blijft je eigen verantwoordelijkheid. Your Tech Club is ISO 9001- en ISO 27001-gecertificeerd door Kiwa. Dat gaat over hoe wij werken en vervangt geen beoordeling van jouw toepassingen.

Bronnen, gecontroleerd op 18 oktober 2026: AI-verordening, Verordening (EU) 2024/1689, Verordening (EU) 2026/1744 (digitale omnibus over AI), ISO/IEC 42001.