Harvard: AI-governance verschuift van principes naar concrete controleplichten

U moet kunnen aantonen wie eigenaar is van elk AI-systeem dat in uw organisatie werkt, welk bedrijfsdoel het dient, hoe het met gegevens omgaat, en wie goedkeuring geeft voordat het een risicovolle beslissing neemt. Dit is niet langer een technische vraag — het is een governance- en aansprakelijkheidsvraag.

Een analyse van 4 september 2026 van eigenaarschap, logging, privacy en menselijke goedkeuring in AI-governance stelt dat organisaties AI niet langer als generiek hulpmiddel mogen behandelen, maar governance moeten inrichten met duidelijk eigenaarschap, adoptie vanuit een concreet bedrijfsdoel, gegevensbescherming, leveranciersonderzoek, klantbescherming, continue monitoring, menselijke goedkeuring voor risicovolle acties en incidentrespons. De analyse gebruikt bedrijfsgovernance als uitgangspunt en positioneert AI-toezicht expliciet op bestuursniveau. In onze inschatting verschuift de vraag voor gereguleerde professionals en bedrijven daarmee van 'mogen we AI gebruiken' naar 'kunnen we aantonen hoe het gebruikt is en wie verantwoordelijk was' — en dat antwoord moet in het ontwerp van het systeem zitten, niet achteraf toegevoegd.

Welke falen en risico's moet u voorkomen?

De governance-plicht richt zich op een aantal specifieke faalmodi die ontstaan als eigenaarschap en toezicht ontbreken:

• Ongecontroleerd datagebruik — persoonlijke gegevens verwerkt zonder vastgestelde rechtsgrond of zonder dat iemand daar verantwoording voor aflegt.
• Verborgen leveranciersafhankelijkheid — AI-systemen waarvan u niet weet welke modellen of diensten eronder liggen, en wie daar toegang tot uw gegevens heeft.
• Afwezige menselijke goedkeuring — systemen die zelfstandig beslissingen nemen zonder dat een persoon die kan controleren of weigeren.
• Geen reconstructie van acties — u kunt niet uitleggen welke gegevens het systeem gebruikte, welke stappen het nam, of waarom het tot een bepaalde uitkomst kwam.
• Ongeïdentificeerde eigenaar — niemand in uw organisatie draagt verantwoordelijkheid voor wat het systeem doet.
• Geen incidentrespons — u bent niet voorbereid op het moment waarop het systeem faalt of misbruikt wordt.

Welke controleplichten moet u kunnen aantonen?

De governance-plicht vertaalt zich in een reeks operationele controles die u moet kunnen documenteren en handhaven:

1. Wijs een eigenaar aan per AI-systeem — een naamgegeven persoon of rol die verantwoordelijk is voor het systeem, de gegevens die het gebruikt, en de beslissingen die het ondersteunt.
2. Documenteer het bedrijfsdoel en de rechtsgrond — leg vast waarom u dit systeem inzet, welk probleem het oplost, en op welke juridische basis u de gegevens mag gebruiken.
3. Voer leveranciersonderzoek uit — begrijp welke AI-modellen, diensten of data-leveranciers betrokken zijn, en wat hun voorwaarden zijn voor gegevensbescherming en continuïteit.
4. Bouw menselijke goedkeuring in voor risicovolle acties — zorg dat een persoon kan zien wat het systeem voorstelt, kan weigeren, en kan corrigeren voordat een beslissing wordt uitgevoerd.
5. Voer een verificatielaag in — maak zichtbaar welke gegevens het systeem gebruikte, welke stappen het nam, waar het onzeker was, en wat de bronnen waren.
6. Stel een incidentresponsteam samen — bepaal van tevoren wie wat doet als het systeem faalt, misbruikt wordt, of onverwacht gedrag vertoont.

Waar begint u met het inrichten van toezicht?

De plicht begint niet met technologie, maar met organisatie. U moet eerst bepalen wie eigenaar is van elk systeem, wat het mag doen, en wie goedkeuring geeft. Pas daarna kunt u kiezen welke technische controles dat ondersteunen. Een verificatielaag kan bijvoorbeeld onafhankelijke AI-modellen inzetten om een taak opnieuw uit te voeren, verschillen zichtbaar te maken, en bronnen vast te leggen — maar dat vervangt geen menselijk oordeel. Een privacyschild kan gevoelige gegevens vervangen door synthetische equivalenten voordat het systeem ze verwerkt — maar dat werkt alleen als u van tevoren hebt bepaald welke gegevens gevoelig zijn. De technologie ondersteunt de governance; zij vervangt haar niet.

Hoe past dit in uw bestaande rollen?

De verschuiving naar governance-plicht raakt uw bestaande rollen. Wie AI inzet, draagt nu ook verantwoordelijkheid voor wie het mag gebruiken en wat het mag doen. Wie data beheert, moet bepalen welke gegevens in welk AI-systeem mogen gaan. Wie compliance regelt, moet kunnen aantonen dat eigenaarschap, goedkeuring en logging op plek zitten. Dit is geen nieuwe afdeling; het is een herordening van bestaande verantwoordelijkheden.

Wat kan tooling doen en wat niet?

Tooling kan logging, verificatie en privacycontrole automatiseren. Zij kan zichtbaarheid geven over wat een systeem doet en welke gegevens het gebruikt. Zij kan ook weigeren als bepaalde voorwaarden niet zijn ingesteld. Wat tooling niet kan: bepalen of een bedrijfsdoel legitiem is, of een menselijk oordeel juist is, of een risico acceptabel is. Die vragen blijven uw professionele verantwoordelijkheid. Tooling maakt het mogelijk om verantwoording af te leggen; zij maakt het niet onnodig.