Menselijke controle bij AI-besluiten aantonen vraagt om een logginglaag per hoogrisicobesluit

U moet per hoogrisicobesluit automatisch vastleggen welke AI-output een reviewer zag, wie die reviewer was, welke bevoegdheid tot overrulen bestond en welke beslissing volgde. Zonder een geïntegreerde logginglaag die deze keten onontkoombaar registreert, kunt u effectieve menselijke controle niet aantoonbaar maken.

De aanleiding is een analyse van 18 september 2026 van menselijke controle bij AI-besluiten onder de EU AI Act, die stelt dat aanbieders en gebruikersorganisaties menselijke oversight niet alleen moeten inbouwen, maar ook meetbaar moeten maken. De analyse gebruikt praktijkvoorbeelden uit compliance en juridische werkstromen om aan te tonen dat reviewers zonder gestructureerde logging en duidelijk mandaat geen reële controle uitoefenen. In onze inschatting betekent dit dat u niet kunt volstaan met losse administratieve registratie of achteraf gereconstrueerde audittrails. De oversight-keten hoort onderdeel te zijn van de werkstroom zelf.

Wat eist de wet van menselijke controle?

Artikel 14 van de EU AI Act verplicht aanbieders van hoogrisico-AI-systemen deze zo in te richten dat natuurlijke personen ze effectief kunnen overzien. De wet noemt daarbij concrete capaciteiten: de werking begrijpen, anomalieën signaleren, bewust blijven van automation bias, de output negeren of overrulen, en het systeem kunnen stoppen. Deze maatregelen moeten evenredig zijn aan risico's, autonomie en context, niet louter symbolisch. Het doel is het voorkomen of minimaliseren van risico's voor gezondheid, veiligheid en grondrechten.

Artikel 26(2) verplicht gebruikersorganisaties (deployers) de oversight toe te wijzen aan personen met vereiste competentie, training, autoriteit en ondersteuning. Dit betekent: geen reviewer zonder mandaat, geen goedkeuringsstempel zonder echte bevoegdheid tot afwijking.

Waarom faalt oversight in de praktijk?

Systematische onderzoeken in hoogrisicosectoren laten zien dat oversight vaak te smal wordt ingericht. Een reviewer die alleen "approve" of "deny" kan kiezen, mist doorgaans de informatie, tijd en het mandaat om echt te beoordelen. Het gevolg is automation bias, rolonduidelijkheid en pseudo-controle. Een jurist die tientallen complexe AI-adviezen per uur moet afvinken, oefent geen reële controle uit.

Meaningful human oversight is pas echt als de mens de output kan begrijpen, de bevoegdheid heeft om af te wijken, en die afwijking daadwerkelijk voorkomt. Het traceerbaar maken van een fout AI-antwoord per werkstroom is daarbij een randvoorwaarde, geen luxe.

Welke gegevens moet u per besluit vastleggen?

• Welke AI-output de reviewer zag — de volledige input, parameters en output van het model op het moment van beoordeling.
• Wie de reviewer was — naam, rol, kwalificaties en trainingshistorie van de persoon die het besluit nam.
• Welke bevoegdheid tot overrulen bestond — de formele autoriteit van de reviewer om het AI-advies af te wijzen of aan te passen.
• Welke beslissing volgde — de uiteindelijke keuze van de reviewer en de motivering ervan.
• Wanneer het gebeurde — datum en tijd van de beoordeling en het besluit.
• Of en hoe de reviewer afweek — of het AI-advies werd gevolgd, overruled of gewijzigd, en waarom.

Welke controles moet u kunnen aantonen?

1. Documenteer per werkstroom welke AI-systemen betrokken zijn — vastleggen welk model, welke versie en welke trainingsgegevens voor elk hoogrisicobesluit worden gebruikt.
2. Integreer logging automatisch in de reviewer-interface — zorg dat reviewer-acties zonder extra handelingen worden geregistreerd op het moment van het besluit.
3. Monitor override-ratio's per reviewer — volg hoe vaak en waarom reviewers van het AI-advies afwijken; een reviewer die nooit overruled, beoordeelt waarschijnlijk niet echt.
4. Bewaar de volledige audittrail per besluit — maak de oversight-keten reproduceerbaar voor toezichthouders en rechters.
5. Kwalificeer en train reviewers formeel — documenteer welke competenties, training en autoriteit elke reviewer heeft voor welke soort besluiten.

Hoe ontwerp je een oversight-architectuur?

Organisaties doen er verstandig aan AI-systemen zo in te richten dat reviewer-acties zoveel mogelijk automatisch worden vastgelegd. De oversight-keten — welke output, welke mens, welke bevoegdheid, welke uitkomst — hoort onderdeel te zijn van de werkstroom zelf, niet van een parallel administratief proces. Anders wordt het aanzienlijk moeilijker om de door wet en onderzoek gevraagde effectiviteit reproduceerbaar te onderbouwen wanneer een toezichthouder ernaar vraagt.

Voor compliance-, juridische, financiële en zorgprofessionals is het praktisch om de eigen besluitvormingsworkflow te ontleden aan de hand van vier vragen: Welke AI-systemen worden gebruikt? Wie mag ervan afwijken? Hoe vaak doen zij dat? Wat registreren we daarvan? Wie deze vragen per werkstroom beantwoordt en de antwoorden in de logging verankert, verschuift van een vage mens-in-de-loop naar een ontworpen oversight-architectuur.

Het professionele eindoordeel blijft in alle gevallen bij de mens. De logginglaag maakt dat oordeel alleen zichtbaar en controleerbaar. Tooling kan de registratie automatiseren en anomalieën signaleren, maar de beoordeling of een afwijking gerechtvaardigd is, blijft uw eigen professionele verantwoordelijkheid.