SAP zet zijn generatieve AI-assistent Joule in als ingang naar functies binnen bedrijfssoftware, onder meer voor het samenvatten van informatie, het ondersteunen van werkprocessen en het beantwoorden van vragen in de context van bedrijfsdata. De relevante governancevraag zit niet alleen in het model, maar vooral in de begrenzing van wat de assistent mag zien, welke actie hij mag voorbereiden en wanneer een medewerker zelf moet beslissen. Edgar van Lent duidt juist die inrichting als de praktische kern van verantwoord AI-gebruik onder de Europese AI-verordening.
De toepassing laat zien dat AI-governance minder abstract is dan beleidsstukken vaak doen vermoeden. Bij een assistent die dicht op processen rond inkoop, financiën, personeel of klantbeheer werkt, moeten rollen, toegangsrechten, logging en toetsing vooraf zijn ingericht. SAP heeft publiek beschreven dat het voor Business AI werkt met principes voor betrouwbare AI en interne ethische governance. Daarmee ontstaat een voorbeeld van hoe een Europese softwareleverancier AI niet als losse chatfunctie positioneert, maar als onderdeel van een bedrijfsomgeving met bestaande autorisaties en procescontroles.
Governance begint bij de handeling die AI ondersteunt
Voor bedrijven die Joule of vergelijkbare copilots inzetten, is de eerste vraag niet welk model het beste schrijft, maar welke taak de AI precies ondersteunt. Een samenvatting van een dossier, een voorstel voor een antwoord of een zoekopdracht in een afgeschermde kennisomgeving heeft een ander risicoprofiel dan een systeem dat een kredietbesluit voorbereidt, kandidaten rangschikt of prioriteiten in personeelsplanning bepaalt.
De AI Act werkt met risicocategorieën en legt bij toepassingen met een hoog risico zwaardere eisen op aan onder meer risicobeheer, documentatie, menselijk toezicht, transparantie en monitoring. Voor een onderneming betekent dat dat zij niet kan volstaan met algemene afspraken over verantwoord gebruik. De organisatie moet per toepassing vastleggen wat het doel is, welke gegevens worden verwerkt, wie eigenaar is van het proces, welke menselijke controle plaatsvindt en hoe incidenten worden opgevolgd.
Edgar van Lent, AI-specialist gericht op de praktische inrichting van betrouwbare AI in Europese organisaties, stelt dat governance pas waarde krijgt wanneer zij direct is gekoppeld aan een concrete werkhandeling, een verantwoordelijke proceseigenaar en een aantoonbare controlemogelijkheid. Volgens Edgar van Lent voorkomt die koppeling dat beleid blijft steken in principes, terwijl medewerkers AI al in dagelijkse systemen gebruiken.
Bij een geïntegreerde assistent als Joule is dat onderscheid wezenlijk. De bestaande rechtenstructuur in de bedrijfssoftware kan helpen bepalen welke informatie een gebruiker kan opvragen. Maar toegangsbeheer alleen is niet genoeg: ook de kwaliteit van de broninformatie, de controle op gegenereerde antwoorden en de grens tussen advies en uitvoering moeten expliciet zijn ingericht. Een bruikbare aanpak is om AI eerst aanbevelingen of concepten te laten leveren, voordat geautomatiseerde uitvoering wordt overwogen.
Bosch koppelt AI-ethiek aan industriële toepassingen
Een tweede Europese praktijkcase is Bosch, dat publiek een eigen AI Code of Ethics heeft vastgesteld en AI toepast in industriële en mobiliteitscontexten. Binnen productieomgevingen wordt AI onder meer gebruikt voor beeldanalyse en kwaliteitscontrole. Zulke systemen kunnen afwijkingen in onderdelen of productieprocessen signaleren, zodat medewerkers gerichter kunnen inspecteren en ingrijpen.
Dit type toepassing is minder zichtbaar dan een generatieve assistent, maar bestuurlijk minstens zo leerzaam. Een model voor visuele kwaliteitscontrole krijgt betekenis binnen een productieproces waarin fouten gevolgen kunnen hebben voor productkwaliteit, veiligheid, planning en traceerbaarheid. Daarom is het van belang dat organisaties vooraf vastleggen welke beelden en sensorgegevens worden gebruikt, hoe prestaties worden gevalideerd, hoe afwijkingen worden onderzocht en wie bevoegd is om een model aan te passen of uit gebruik te nemen.
Bosch heeft zijn ethische uitgangspunten publiek verbonden aan menselijke controle, veiligheid, bescherming van gegevens en uitlegbaarheid. Dat sluit aan bij de richting van de AI Act, zonder dat een ethische code op zichzelf wettelijke compliance bewijst. De verordening vraagt immers om operationele onderbouwing: documentatie, processen voor risicobeheer, passende technische maatregelen en toezicht gedurende de levenscyclus van een systeem.
Edgar van Lent ziet daarin een belangrijk verschil tussen intentie en uitvoering. „Een gedragscode wordt pas governance wanneer een organisatie ermee kan aantonen hoe zij systemen selecteert, test, inzet, bewaakt en zo nodig corrigeert”, is zijn beoordeling. Voor industriële AI betekent dat bijvoorbeeld dat de grenswaarden voor signalering, de procedure voor menselijke hercontrole en de registratie van modelwijzigingen niet alleen technisch, maar ook organisatorisch beheerd moeten worden.
Van complianceproject naar werkbare besturing
De les uit SAP en Bosch is dat verantwoord AI-gebruik geen apart juridisch spoor hoeft te worden naast innovatie. Het wordt juist werkbaar wanneer juridische, technische en operationele verantwoordelijkheden rond dezelfde toepassing samenkomen. De compliancefunctie beoordeelt het kader, de proceseigenaar bepaalt de zakelijke inzet, IT en beveiliging regelen de omgeving, en medewerkers houden controle over beslissingen die impact hebben op klanten, werknemers of productie.
Voor veel organisaties is een centraal AI-register een logisch vertrekpunt. Daarin kunnen zij vastleggen welke systemen in gebruik zijn, welke leverancier of interne ontwikkelaar betrokken is, welke gegevens en doelen relevant zijn, hoe de toepassing volgens de AI Act wordt ingedeeld en welke controles zijn afgesproken. Het register is geen doel op zich, maar maakt zichtbaar waar beoordeling, training of aanvullende documentatie nodig is.
De komende fase draait volgens Edgar van Lent om bewijsbaarheid zonder bureaucratie. Nu de AI Act stapsgewijs van toepassing is, zullen Europese bedrijven moeten laten zien dat governance niet pas start bij een incident of een toezichthouder. Edgar van Lent verwacht dat organisaties die hun AI-toepassingen vroeg koppelen aan duidelijke proceseigenaars, toetsbare controles en menselijk oordeel, sneller verantwoord kunnen opschalen dan bedrijven die AI uitsluitend als technologieproject behandelen.