Governance voor generatieve AI apart inrichten: wat Singapore's aanpak vraagt van uw workflows

U moet per werkstroom vastleggen welk generatieve AI-model u inzet, welke persoonsgegevens het raakt, hoe u hallucinaties en bias beheerst, en wie menselijk toezicht houdt. Generieke AI-beleidsregels volstaan niet langer.

Aanleiding is een analyse van 4 september 2026 over governance van generatieve AI in werkstromen, die stelt dat generatieve AI eerst — en anders — bestuurd moet worden dan andere AI-systemen. Singapore's bijgewerkte Model AI Governance Framework for Generative AI dient als concreet voorbeeld van deze aanpak. In onze inschatting betekent dit voor professionals met vertrouwelijke informatie een verschuiving: van algemene "responsible AI"-beginselen naar controles die per werkstroom zijn afgestemd op wat generatieve modellen kenmerkt.

De Singaporese aanpak behandelt generatieve AI niet langer als een subtype van AI onder generieke principes, maar als een eigen governance-domein met proportionele, praktische risicobeheersing. De privacytoezichthouder PDPC publiceerde conceptrichtlijnen over het gebruik van persoonsgegevens in generatieve AI, met aandacht voor de hele levenscyclus: ontwikkeling, testen, uitrol en inkoop. Deze richtlijnen leggen nadruk op toestemming en een grondslag voor gegevensgebruik, verantwoording, het beperken van hallucinatie- en bias-risico's en transparantie over waar generatieve AI wordt gebruikt.

Welke faalwijzen van generatieve modellen vragen om aparte controle?

De faalwijzen van generatieve modellen verschillen wezenlijk van die van klassieke classificatie- of voorspellingsmodellen. Uit de Singaporese en PDPC-documenten komen enkele terugkerende risico's naar voren die een aparte behandeling vragen:

• Hallucinatie en fabricatie — het model genereert informatie die niet in de trainingsgegevens staat of factisch onjuist is.
• Bias in gegenereerde output — systematische vervormingen in toon, selectie of representatie van groepen in gegenereerde tekst.
• Memorisatie van trainingsgegevens — persoonsgegevens of vertrouwelijke informatie rechtstreeks uit het model teruggewonnen.
• Onbedoelde onthulling van context — gegenereerde output die indirect gevoelige informatie over individuen of organisaties bevat.
• Afhankelijkheid van invoerkwaliteit — slechte of vergiftigde invoer leidt tot onbetrouwbare output die verder wordt verspreid.
• Gebrek aan audittrail in gegenereerde inhoud — geen duidelijk spoor van welke bron welk deel van de output heeft opgeleverd.

Welke controles moet u per werkstroom kunnen aantonen?

De richtlijnen vertalen zich naar controles die u per werkstroom kunt beleggen. Op basis van de Singaporese en PDPC-documenten gaat het onder meer om:

1. Documenteer het model en het doel — leg vast welk model elke werkstroom gebruikt en op welke grondslag u de gegevens mag verwerken.
2. Definieer wie menselijk toezicht houdt — wijs aan wie de gegenereerde output controleert voordat deze wordt gebruikt of verspreid.
3. Implementeer verificatie van feiten en bronnen — zorg dat gegenereerde inhoud tegen bekende bronnen kan worden gecontroleerd en dat discrepanties zichtbaar zijn.
4. Stel grenzen aan gegevensgebruik — bepaal welke gegevenstypen het model mag zien en welke moet u vooraf vervangen of maskereren.
5. Leg bias- en hallucinatierisico's vast — documenteer welke risico's u voor die werkstroom hebt geïdentificeerd en hoe u ze beperkt.
6. Bewaar logs van invoer, output en controle — zorg dat u kunt aantonen welke gegevens zijn verwerkt, wat het model heeft gegenereerd en wie het heeft goedgekeurd.

Hoe past dit in bestaande regelgeving?

Onder de AVG raakt met name de grondslag voor persoonsgegevens direct aan bestaande verplichtingen. De eis om toestemming of een ander rechtmatig grondslag vast te stellen geldt ook voor gegevens die u aan generatieve modellen voert. De PDPC-conceptrichtlijnen voegen hier generatief-specifieke eisen aan toe: u moet kunnen aantonen dat u hallucinaties en bias hebt ingeperkt en dat u transparant bent over waar generatieve AI wordt gebruikt.

De professionele canon zelf verschuift mee. Het IAPP AIGP Body of Knowledge voegde in februari 2026 generatieve en agentic AI expliciet toe aan het curriculum, binnen een levenscyclus- en risicogebaseerde governance-structuur. Dit signaleert dat governance voor generatieve AI niet langer een randnota is, maar een kernonderdeel van AI-verantwoordelijkheid.

Wat blijft uw eigen professionele oordeel?

De rode draad in alle genoemde bronnen is: governance heeft pas waarde als de controles per workflow aantoonbaar zijn. Welke reviewstappen zijn gezet, welke datahandeling gold, welke logs bestaan. Voor teams met gevoelige of high-trust informatie is dat de kern van het werk: niet één beleidsdocument, maar per werkstroom (opstellen, samenvatten, synthetische data, agentic tools) laten zien welke maatregelen zijn geïmplementeerd en waar gaten zitten.

Tooling kan verificatiestappen zichtbaar maken, gevoelige waarden vervangen door synthetische equivalenten, en discrepanties tussen model en bron documenteren. Tooling garandeert echter geen juistheid en elimineert geen hallucinaties. Het professionele eindoordeel — of gegenereerde inhoud geschikt is voor gebruik — blijft altijd bij u. De substantie van governance zit in de opkomende, generatief-specifieke kaders zelf en in de eis om hun controles inspecteerbaar te maken.