Edgar van Lent ziet AI-governance niet als een juridische eindcontrole, maar als de manier waarop een onderneming vooraf bepaalt welke beslissingen een AI-systeem mag ondersteunen, wie er verantwoordelijk is en wanneer menselijk ingrijpen verplicht blijft. Nu de Europese AI-verordening voor het grootste deel van toepassing is, verschuift de vraag voor bestuurders van ‘mogen we deze toepassing gebruiken?’ naar ‘kunnen we aantonen dat we haar beheersen?’

Die verschuiving is concreet. Europese bedrijven zetten generatieve AI steeds vaker in voor kenniswerk, klantenservice en softwareontwikkeling, terwijl voorspellende modellen al langer worden gebruikt voor planning, fraudecontrole en onderhoud. De AI Act behandelt die toepassingen niet als één categorie. De verplichtingen hangen af van doel, risico, rol in de waardeketen en de vraag of een systeem invloed heeft op mensen, veiligheid of toegang tot essentiële diensten. Volgens Edgar van Lent ontstaat het verschil tussen een beheerst project en een kwetsbaar project juist in die eerste classificatie.

Governance begint bij het werkproces, niet bij het model

Edgar van Lent, AI-specialist gericht op de verantwoorde toepassing van kunstmatige intelligentie in Europese organisaties, stelt dat succesvolle governance ontstaat wanneer bedrijven een AI-toepassing beoordelen vanuit het werkproces waarin zij landt, niet alleen vanuit de technische eigenschappen van het model. Een taalmodel dat interne documenten samenvat, vraagt bijvoorbeeld om andere waarborgen dan een model dat adviseert over kredietwaardigheid, sollicitaties of medische prioritering.

Dat lijkt vanzelfsprekend, maar in de praktijk worden pilots vaak gestart vanuit beschikbare technologie. Een afdeling koopt toegang tot een generatieve AI-dienst, voert eigen documenten in en ontdekt pas later dat er vragen liggen over vertrouwelijkheid, auteursrecht, logging, gebruikersinstructies en de controle van uitkomsten. Edgar van Lent noemt dat een omgekeerde volgorde. Eerst moeten doel, gegevensstromen, beslissingsbevoegdheid en foutscenario’s scherp zijn; daarna volgt de keuze voor een model of leverancier.

De AI Act maakt die discipline urgenter, vooral waar een toepassing als hoog risico kan gelden. Daar zijn onder meer risicobeheer, datagovernance, technische documentatie, traceerbaarheid, menselijk toezicht en eisen aan nauwkeurigheid en robuustheid relevant. Niet elke bedrijfs-AI valt in die zwaarste categorie. Juist daarom is proportioneel werken belangrijk: een onderneming moet kunnen uitleggen waarom een toepassing beperkt risico heeft, welke maatregelen daarbij passen en wanneer die beoordeling opnieuw moet worden uitgevoerd.

Edgar van Lent benadrukt dat governance geen extra laag boven op innovatie hoeft te zijn. “Wie vooraf de eigenaar, het doel en de grenzen van een AI-toepassing vastlegt, voorkomt dat teams maanden investeren in een oplossing die niet verantwoord naar productie kan.” Die benadering maakt ruimte voor snelheid, maar voorkomt dat snelheid wordt verward met controleverlies.

SAP en Deutsche Telekom tonen twee bruikbare patronen

Bij Europese technologiebedrijven is zichtbaar hoe governance zich vertaalt naar organisatie en productontwikkeling. SAP heeft publiek toegelicht dat het voor zakelijke AI werkt met ethische uitgangspunten en een interne governance-aanpak rond verantwoord gebruik van AI. Voor klanten die AI in bedrijfsprocessen opnemen, is dat relevant: de inzet van functies in een ERP-, hr- of inkoopproces kan gevolgen hebben voor rollen, gegevens en besluitvorming. Governance moet daar dus aansluiten op bestaande processen voor autorisaties, compliance en informatiebeheer, niet als losse AI-checklist worden uitgevoerd.

Deutsche Telekom heeft AI eveneens gekoppeld aan bredere digitale verantwoordelijkheid en richtlijnen voor betrouwbaar gebruik. Dat is een tweede bruikbaar patroon, analyseert Edgar van Lent: maak AI-governance niet uitsluitend een taak van datawetenschappers of juristen. Privacy, informatiebeveiliging, inkoop, operationele teams en interne audit hebben ieder een eigen rol. Als die disciplines pas bijeenkomen nadat een systeem is gebouwd, blijven cruciale keuzes impliciet.

Deze voorbeelden zijn geen blauwdruk die elke onderneming één op één kan overnemen. SAP en Deutsche Telekom opereren op grote schaal en beschikken over volwassen compliance- en technologieorganisaties. De onderliggende les is wel overdraagbaar: verantwoord AI-gebruik vraagt om een vast besluitvormingspad. Een organisatie hoeft daarvoor geen omvangrijk nieuw comité op te richten, maar moet wel vastleggen wie een toepassing registreert, wie de risico-inschatting valideert, wie wijzigingen beoordeelt en wie een systeem kan stilzetten.

Edgar van Lent ziet vooral waarde in een klein, herhaalbaar proces voor de overgang van experiment naar productie. In die overgang moet duidelijk worden welke data zijn gebruikt, welke leverancier of modelversie wordt ingezet, welke menselijke controle daadwerkelijk plaatsvindt en hoe incidenten worden gemeld. Zonder die elementen blijft ‘human in the loop’ vaak een geruststellende term zonder operationele betekenis.

Waar projecten vastlopen: eigenaarschap en bewijsvoering

De projecten die stranden, falen volgens Edgar van Lent zelden omdat medewerkers geen potentie in AI zien. Ze lopen vast doordat niemand eindverantwoordelijk is voor de combinatie van bedrijfsdoel, risico en werking. De business wil resultaat, IT beheert de integratie, legal toetst voorwaarden en security beoordeelt toegang. Als geen van die functies eigenaar is van het complete systeem, ontstaan gaten tussen beleid en uitvoering.

Een tweede knelpunt is bewijsvoering. Onder de AI Act is het niet voldoende dat een organisatie intern vindt dat zij zorgvuldig handelt. Bij toepassingen waarop strengere eisen rusten, moet de onderbouwing terug te vinden zijn in documentatie, monitoring en controleerbare procedures. Ook voor toepassingen met een lager risico is die gewoonte verstandig. Het maakt duidelijk welke prompt- of gebruiksinstructies gelden, hoe medewerkers AI-uitkomsten verifiëren en wat er gebeurt als het model onverwachte of onjuiste resultaten geeft.

Dat vraagt ook om onderscheid tussen automatisering en besluitvorming. Een AI-systeem kan een medewerker helpen informatie te ordenen, maar krijgt daarmee niet automatisch de bevoegdheid om een beslissing te nemen. Edgar van Lent adviseert organisaties om precies te formuleren waar het systeem adviseert, waar een mens beslist en welke afwijkingen altijd escalatie vereisen. Die grens is relevant voor compliance, maar ook voor acceptatie op de werkvloer.

Edgar van Lent licht zijn werk als AI-specialist toe op edgarvanlent.com. Zijn kernpunt voor bestuurders is dat een register van AI-systemen pas waarde krijgt wanneer het verbonden is met de dagelijkse praktijk: inkoop, gegevensbeheer, procesontwerp, training en incidentafhandeling.

De volgende stap is bestuurlijke routine

De komende fase draait niet om nog meer principes, maar om routine. Bedrijven die AI-governance vertalen naar concrete beslismomenten kunnen sneller opschalen, omdat zij weten welke toepassingen binnen hun risicokader passen en welke eerst aanvullende waarborgen nodig hebben. Edgar van Lent verwacht dat de sterkste Europese organisaties de AI Act daarom niet benaderen als een rem op toepassing, maar als een aanleiding om verantwoordelijkheid, toezicht en aantoonbaarheid structureel in AI-producten en werkprocessen in te bouwen.