AI-governance, kosten & continuïteit
AI-gebruik voldoet aan wet- en regelgeving, data en IP zijn beschermd, de kosten zijn beheerst, en het werk gaat door als een model niet meer kan of mag. Je wilt nooit voor 100% afhankelijk zijn.
Volwassenheidsniveaus
Van basis naar strategisch verankerd.
Basis
Onbekend welke modellen draaien, onder welke contractvoorwaarden, en of je provider of deployer bent. Medewerkers plakken alles in consumententools, niemand weet wat AI kost, en er is geen plan B als een model wegvalt.
Verkennend
Beleid op papier (*"geen persoonsgegevens"*), handhaving op vertrouwen. Leveranciers zijn gekozen op prijs of gemak, niet getoetst. Een AI-inventaris is in opbouw en de totale uitgaven zijn bekend, maar niet per team of toepassing. Afhankelijkheden zijn bekend, maar overstappen is nooit getest.
Toepassend
Leveranciers zijn getoetst op Code of Practice, verwerkersovereenkomst, regio en indemnificatie. Dataklassen zijn gekoppeld aan toegestane modellen, elk team heeft een AI-budget met zicht op uitgaven, en elke kritische workflow heeft een alternatief.
Geïntegreerd
Regels worden technisch afgedwongen: routering op risico en kosten, PII-detectie, zero retention, budgetlimieten en agenttoegang per dataklasse. Fallback is getest en volgt dezelfde regels. FRIA/IAMA bij hoog-risico-inzet.
Strategisch
Compliance is continu en aantoonbaar. Geheimhoudingsdata blijft in de vertrouwde zone, en kosten worden afgezet tegen opbrengst. Elke leverancier heeft een exit-strategie, dus uitval is hinderlijk, geen crisis.
Aandachtspunten
Begrippen en risico's om mee te wegen.
- AI Act
- De Europese wet die AI-toepassingen indeelt naar risico, met strengere eisen naarmate het risico hoger is. Verplichtingen voor hoog-risico-toepassingen (waaronder HR en verzuim) komen eraan; die voor modelaanbieders gelden al.
- Provider en deployer
- De twee hoofdrollen in de AI Act. De provider ontwikkelt een AI-systeem of -model en brengt het op de markt; de deployer gebruikt het onder eigen verantwoordelijkheid. De meeste verplichtingen liggen bij de provider, maar wie een systeem ingrijpend aanpast of onder eigen naam aanbiedt, kan zelf provider worden.
- Code of Practice
- Een vrijwillige gedragscode waarmee makers van AI-modellen laten zien dat ze aan de AI Act voldoen. Niet elke aanbieder heeft getekend, dus neem het mee in de leverancierskeuze.
- FRIA of IAMA
- Een beoordeling vooraf van wat een AI-toepassing doet met de grondrechten van mensen, zoals privacy en gelijke behandeling. De FRIA (Fundamental Rights Impact Assessment) komt uit de AI Act en is voor een deel van de deployers van hoog-risico-AI verplicht. De IAMA (Impact Assessment Mensenrechten en Algoritmes) is het Nederlandse instrument dat hetzelfde doet en vaak als basis dient.
- EU-inference
- Inference is het moment waarop een model je vraag verwerkt en antwoord geeft, en EU-inference betekent dat dit binnen de EU gebeurt. Hetzelfde model kan via verschillende routes binnen of buiten de EU draaien, en de gekozen regio is niet altijd de verwerkingslocatie.
- Indemnificatie
- De toezegging van een leverancier om je juridisch te verdedigen en schade te betalen als AI-output inbreuk maakt op andermans rechten. De dekking verschilt per leverancier, geldt vaak alleen met guardrails aan, en sluit gewijzigde of gecombineerde output vaak uit. Bij software is dat bijna altijd het geval.
- Gevoelige data
- Persoonsgegevens met extra wettelijke bescherming, zoals medische gegevens. Medische en bedrijfsartsgegevens vallen onder het beroepsgeheim, en een modelaanbieder geldt als derde partij die ze niet zomaar mag zien.
- PII-detectie
- PII (personally identifiable information) zijn gegevens waarmee je iemand kunt herkennen, zoals naam, e-mailadres of BSN. PII-detectie vindt zulke gegevens automatisch in een prompt of document, zodat een gateway ze kan blokkeren of maskeren voordat ze bij een model komen. Detectie mist altijd iets: het verkleint het risico, maar vervangt het beleid per dataklasse niet.
- Kosten
- AI wordt afgerekend per gebruiker (licentie) of per verbruik (tokens via een API). Agents verbruiken veel meer tokens dan chat, omdat ze bestanden lezen, tools aanroepen en hun werk herhalen tot het slaagt. Verbruikskosten groeien daardoor ongemerkt mee met adoptie, en prijzen en modellen veranderen vaak.
- Beschikbaarheid
- De vraag of een model morgen nog te gebruiken is. Een model kan van de ene op de andere dag wegvallen, door een storing, exportcontroles of een besluit van de leverancier.
Verbeterstappen
Concrete acties om per niveau door te groeien.
BasisVerkennendzicht op wat er draait en een eerste set regels.
zicht op wat er draait en een eerste set regels.
Maak een AI-inventaris
Welke tools en modellen, door wie, met welke data en tegen welke kosten, inclusief schaduwgebruik en abonnementen op de creditcard.
Bepaal je rol onder de AI Act
Provider of deployer; voor de meeste teams is het deployer.
Formuleer een rood-oranje-groen-beleid
Rood: medisch en geheimhouding. Oranje: klantdata, alleen in goedgekeurde tools. Groen: openbaar en eigen niet-gevoelig.
Breng afhankelijkheden in kaart
Welke workflows stoppen als model of leverancier X wegvalt, en wie kan het dan nog handmatig?
VerkennendToepassendleveranciers, data en budgetten zijn bewust gekozen en vastgelegd.
leveranciers, data en budgetten zijn bewust gekozen en vastgelegd.
Toets leveranciers op vier punten
Code of Practice, verwerkersovereenkomst zonder training, inference-regio en reikwijdte van de indemnificatie.
Koppel dataklassen aan routes
Per klasse: welk model, welke regio, welk contract. Check waar de inference echt draait.
Richt een AI-datalekprocedure in
Melden moet veilig en snel; een melding aan de AP is vaak verplicht.
Maak wisselen configuratie, geen project
Een gateway of OpenAI-compatibele API, werkwijzen in de repo, en minstens één EU- of lokaal alternatief.
Geef elk team een AI-budget
Met zicht op uitgaven per team en tool is kosten een gesprek vooraf, geen verrassing achteraf.
ToepassendGeïntegreerdregels worden technisch afgedwongen, niet alleen afgesproken.
regels worden technisch afgedwongen, niet alleen afgesproken.
Routeer modellen op risico en kosten
Klantwerk alleen via modellen met IP-indemnificatie en guardrails aan; routinetaken via een goedkoper model.
Zet een gateway met PII-detectie en budgetlimieten in
Gevoelige gegevens worden geblokkeerd of gemaskeerd; zero retention waar nodig. Limieten en alerts per team voorkomen dat een vastgelopen agent het budget opmaakt.
Beperk agenttoegang per dataklasse
Een agent die alles kan lezen, kan ook alles lekken.
Oefen uitval
Zet periodiek het primaire model uit en draai je evals op de fallback. Ook in nood geen gevoelige data naar een niet-goedgekeurde route.
GeïntegreerdStrategischcompliance is continu en aantoonbaar, en AI-uitgaven renderen.
compliance is continu en aantoonbaar, en AI-uitgaven renderen.
Houd geheimhoudingsdata in de vertrouwde zone
Medisch, bedrijfsarts en juridisch alleen via lokale of eigen inference, of helemaal niet.
Doe nu een FRIA of IAMA voor HR- en verzuimtools
Dan kun je ontwerpkeuzes nog aanpassen vóór december 2027.
Monitor regelgeving, leveranciers en geopolitiek
Wijs een eigenaar aan en herzie routeringsregels elk kwartaal.
Leg een exit-strategie vast per leverancier
Data-export, opzegtermijn en migratiepad in het contract. Houd het vak zonder AI levend (zie capability 1).
Zet kosten af tegen opbrengst
Kosten per workflow of opgeleverde wijziging, naast doorlooptijd en kwaliteit (zie capability 2 en 3). Wat niet rendeert, schaal je af.
Bronnen
Hier helpen we bij
Zo werken we met teams aan deze capability.
Begin met de quick scan
In een paar minuten een eerste beeld van waar jullie team staat, gratis en anoniem.