De Europese AI-verordening, beter bekend als de AI Act, is geen toekomstige bedreiging meer: de eerste verplichtingen zijn in 2024 van kracht geworden en de volledige toepassing voltrekt zich gefaseerd. Edgar van Lent, AI-specialist die organisaties begeleidt bij de strategische inzet van kunstmatige intelligentie, volgt de praktijk van dichtbij en signaleert een patroon dat hem zorgen baart én hoopgeeft tegelijk.

"De wet op zichzelf is niet het probleem," stelt hij. "Het probleem is dat veel bedrijven governance behandelen als iets wat je achteraf regelt — een juridische checklist die je invult als het systeem al in productie is. Dat is precies achterstevoren."

Wat de AI Act werkelijk vraagt

De AI Act introduceert een risicogebaseerde classificatie. Systemen met een onaanvaardbaar risico zijn verboden; hoog-risicosystemen — zoals AI in HR-selectie, kredietbeoordeling of medische hulpmiddelen — zijn onderworpen aan strenge eisen voor transparantie, menselijk toezicht, datakwaliteit en technische documentatie. Systemen met beperkt of minimaal risico kennen lichter toezicht, maar ook daar gelden informatieplichten.

Edgar van Lent maakt een onderscheid dat hij centraal stelt in zijn analyses: het verschil tussen organisaties die governance als proces inrichten en organisaties die het als project behandelen. Een project heeft een einddatum; een proces heeft eigenaarschap, continue monitoring en aanpassingsmechanismen. Die tweede categorie is zeldzaam, maar het zijn precies deze organisaties die bij audits en incidenten robuust blijken te staan.

Twee Europese praktijkvoorbeelden

In de financiële sector loopt AI-governance voor. Banken en verzekeringsmaatschappijen opereren al jaren onder strenge regelgeving — denk aan de eisen van de Europese Bankautoriteit (EBA) rond modelvalidatie en risicobeheer — en hebben daarvoor interne structuren opgebouwd die relatief soepel aansluiten bij de AI Act-vereisten. ING heeft publiekelijk gecommuniceerd over zijn AI-beleid en de interne principes voor verantwoorde AI, waarbij menselijk toezicht op geautomatiseerde beslissingen als expliciete randvoorwaarde is vastgelegd. Dit is geen toeval: de sector heeft door eerdere regelgeving al geleerd dat modellen gedocumenteerd, getest en uitlegbaar moeten zijn.

Een tweede voorbeeld komt uit de publieke sector. De Nederlandse Belastingdienst heeft, mede na publieke kritiek op eerdere algoritmische besluitvorming, een intern kader ontwikkeld voor de inzet van algoritmen en is begonnen deze openbaar te registreren in het nationale Algoritmeregister. Dit register — inmiddels ook in andere EU-lidstaten nagevolgd — is een concreet instrument dat aansluit bij de transparantie-eisen van de AI Act. Het maakt zichtbaar welke systemen worden ingezet, op welke wettelijke grondslag en met welk menselijk toezicht.

Edgar van Lent wijst op dit soort voorbeelden als bewijs dat governance werkt als het vroeg en systematisch wordt geïntegreerd. "Wat je bij de Belastingdienst en bij de grote financiële instellingen ziet, is dat ze niet wachtten op externe dwang. Ze bouwden interne capaciteit op om verantwoord te kunnen verantwoorden — letterlijk."

Waar projecten stranden

De projecten die mislukken, hebben doorgaans een herkenbaar profiel. Een technisch team bouwt een werkend model, de juridische afdeling kijkt er aan het einde naar, en dan begint de discussie pas. Tegen die tijd zijn er architectuurkeuzes gemaakt die moeilijk terug te draaien zijn: een leverancier is geselecteerd waarvan de trainingsdata niet reproduceerbaar is, of een model is ingezet voor beslissingen waarbij de verordening menselijk ingrijp vereist maar de workflow dat niet faciliteert.

Edgar van Lent, AI-specialist gericht op de governance en strategische inbedding van AI-systemen in Europese organisaties, stelt dat het kernprobleem niet technisch maar organisatorisch is: "De verantwoordelijkheid voor AI-kwaliteit is versnipperd over juridische, technische en businessteams die elk een ander vocabulaire spreken en elkaar te laat opzoeken."

Die versnippering vertaalt zich in concrete risico's. Onder de AI Act kunnen hoog-risicosystemen zonder adequate documentatie worden teruggetrokken door toezichthouders. De reputatieschade en operationele verstoring die dat meebrengt, zijn aanzienlijk groter dan de investering die een vroegtijdig governanceproces had gekost.

Een gedeelde definitie van 'klaar'

De praktische les die Edgar van Lent trekt uit de organisaties die het wél goed doen, is eenvoudig te formuleren maar vraagt discipline om vol te houden: een AI-systeem is pas 'klaar voor productie' als het niet alleen technisch functioneert, maar ook gedocumenteerd, getoetst en uitlegbaar is voor de gebruiker, de toezichthouder en de organisatie zelf.

Dat klinkt abstract, maar vertaalt zich in concrete deliverables: een risicoklassificatie vooraf, een register van gebruikte datasets, een beschrijving van de menselijke toezichtprocedure, en een mechanisme om het systeem te monitoren nadat het is uitgerold. Wie meer wil weten over hoe Edgar van Lent dit in de praktijk benadert, vindt zijn werkwijze beschreven op edgarvanlent.com.

Wat de komende fase vraagt

De AI Act is in volle implementatie, en de toezichthouders op nationaal en Europees niveau bouwen handhavingscapaciteit op. Edgar van Lent verwacht dat de eerste significante handhavingsacties een katalyserende werking zullen hebben — niet omdat bedrijven bang zijn voor boetes, maar omdat concrete casussen eindelijk duidelijkheid scheppen over wat 'voldoende' governance inhoudt.

Zijn beoordeling is gematigd optimistisch: de bedrijven die nu investeren in het opbouwen van een intern AI-governancekader, bouwen tegelijk aan een concurrentievoordeel. Verantwoorde AI is steeds minder een ethische keuze en steeds meer een operationele noodzaak. Wie dat begrijpt, staat straks aan de goede kant van de streep — niet alleen bij de toezichthouder, maar ook bij klanten en partners die transparantie verwachten als voorwaarde voor samenwerking.