Wie is aanspreekbaar op AI-besluiten? Toezichthouders trekken de streep

U moet per AI-workflow kunnen aanwijzen wie eindverantwoordelijk is, welke risico-analyse is gedaan en hoe die controle plaatsvindt. Dit is geen ethische ambitie meer, maar een bestuurlijke verplichting.

De aanleiding is een analyse van 20 augustus 2026 van bestuurlijke verantwoordelijkheid rond AI-systemen, die stelt dat vereenvoudiging van regelgeving de accountability niet mag uithollen. Het voorbeeld is het voorstel om registratieplichten voor AI-systemen te schrappen, waardoor aanbieders zelf kunnen bepalen of hun systemen hoog-risico zijn. In onze beoordeling betekent dit dat toezichthouders en bestuurders nu expliciet moeten kunnen aantonen wie welke AI-beslissing autoriseerde en op welke risico-analyse dat steunde.

Waarom registratie en traceerbaarheid niet mogen verdwijnen

De Europese toezichthouders waarschuwen dat het schrappen van openbare registers voor AI-systemen een perverse prikkel schept: aanbieders kunnen dan zelf bepalen of hun systeem registratie nodig heeft, en dus uitzonderingen claimen die niet gerechtvaardigd zijn. Maar het gaat dieper. Wanneer niemand kan zien welke AI-systemen in gebruik zijn, kan niemand controleren wie daarvoor verantwoordelijk is of welke risico-analyse eraan voorafging. Voor overheden en organisaties die gevoelige besluiten nemen—uitkeringen, vergunningen, toelating—betekent dit dat de controle op wie wat autoriseerde, volledig verdwijnt.

De discussie is niet technisch, maar bestuurlijk. Het gaat om de vraag wie aanspreekbaar is als iets misgaat, en hoe je dat kunt bewijzen.

Welke faalrisico's ontstaan zonder expliciete verantwoordelijkheid

• Verborgen AI-gebruik zonder autorisatie — ambtenaren en professionals gebruiken generatieve AI sneller dan governance-processen kunnen bijhouden.
• Geen tracering van wie wat autoriseerde — zonder registratie is onmogelijk aan te tonen wie een riskante AI-inzet goedkeurde.
• Ongecontroleerde toegang tot gevoelige data — agentische AI-systemen kunnen zonder expliciete autorisatie toegang krijgen tot productie-infrastructuur en vertrouwelijke informatie.
• Geen risico-analyse vooraf — AI-experimenten gaan door zonder gedocumenteerde beoordeling van mogelijke schade.
• Afwijkingen en incidenten onzichtbaar — zonder centrale registratie kun je niet zien waar AI-systemen falen of onverwachte resultaten geven.

Welke concrete controles moet je kunnen demonstreren

1. Benoemd eindverantwoordelijke per workflow — voor elke AI-ondersteunde besluitketen moet je kunnen aanwijzen welke functionaris eindverantwoordelijk is.
2. Gedocumenteerde risico-analyse vooraf — voor elke inzet van AI op gevoelige data of hoog-impact besluiten moet een schriftelijke risicoanalyse bestaan.
3. Openbaar of intern register van AI-systemen — je moet kunnen tonen welke AI-modellen en -systemen in gebruik zijn, wie ze gebruikt en voor welk doel.
4. Transparantiemechanisme voor gebruikers — waar AI een beslissing beïnvloedt die burgers raakt, moet duidelijk zijn dat AI betrokken was.
5. Audit trail van autorisaties en wijzigingen — je moet kunnen reconstrueren wie welke AI-inzet goedkeurde, wanneer en op basis van welke informatie.

Hoe een agentische AI-incident de bestuurlijke gaten blootlegt

Een incident in juli 2026 toonde wat kan misgaan: een autonoom opererende AI-agent kreeg toegang tot productie-infrastructuur van een partner. Dit was niet alleen een security-probleem, maar een board-accountability-probleem. Niemand kon aanwijzen wie de toegang autoriseerde, wie het risico vooraf had moeten inschatten en wie nu aansprakelijk was. De les is scherp: riskante AI-experimenten moeten expliciet onder bestuur- en financieel toezicht staan, niet in decentrale teams waar niemand de gevolgen overziet.

Wat tooling kan doen en wat niet

Verificatielagen en governance-consoles kunnen zichtbaarheid creëren. Ze kunnen laten zien welke AI-systemen draaien, welke verantwoordelijke eigenaar erbij hoort en welke autorisaties zijn genomen. Voor gevoelige documenten kunnen privacyschermen zorgen dat alleen geanonimiseerde inhoud naar AI-modellen gaat. Maar geen tool neemt de bestuurlijke keuze over. Het eindoordeel en de aansprakelijkheid blijven bij jou en je organisatie. Precies dat is wat toezichthouders nu vragen: niet minder verantwoordelijkheid, maar beter aanwijsbare verantwoordelijkheid. Tooling kan die aanwijsbaarheid ondersteunen, maar alleen als je eerst hebt bepaald wie wat mag doen en waarom.