AI governance: beleid, register en de AI Act in de praktijk

AI governance is hoe uw organisatie bepaalt welke AI mag, wie ervoor verantwoordelijk is en hoe u dat aantoont. In de praktijk gaat het om vijf onderdelen: beleid, register, risicoklasse, wijzigingsproces en toezicht.

De meeste organisaties gebruiken al AI voordat iemand heeft bepaald hoe: hier een Copilot-licentie, daar een ChatGPT-account, een leverancier die een model toevoegde aan een systeem dat u al draait. AI governance dicht dat gat. Voor een CIO, IT-manager of informatiemanager is het minder een nieuw raamwerk dan vijf documenten en vijf eigenaren, zo ingericht dat een auditor, een ondernemingsraad of een klant kan zien wie wat besloot.

Door Tom Joseph · Laatst bijgewerkt: 5 november 2026

Gratis consult Prijzen

In het kort

AI governance is het geheel van afspraken, rollen en documenten dat bepaalt welke AI uw organisatie mag gebruiken, wie verantwoordelijk is voor elk systeem en hoe u dat aantoont. Het staat naast IT-governance en datagovernance, niet ervoor in de plaats. In de praktijk bestaat het uit vijf onderdelen: een AI-beleid, een AI-register, een risicoklasse per systeem onder de EU AI Act, een wijzigingsproces voor modellen en prompts, en menselijk toezicht met logging. ISO/IEC 42001 is de managementsysteemnorm die die onderdelen ordent als u ze wilt certificeren.

De vijf onderdelen

Waaruit AI governance bestaat

Onderdeel	Wat het vastlegt	Gebruikelijke eigenaar
AI-beleid	Welke AI waarvoor mag, wat niet mag, en wie een nieuw gebruik goedkeurt.	Directie, met de CISO of privacy officer
AI-register	Per systeem: doel, eigenaar, gebruikte data, leverancier, risicoklasse en status.	Informatiemanager
Risicoklasse per systeem	Waar elk systeem valt onder de EU AI Act, en de plichten die daaruit volgen.	Compliance of juridische zaken, met de systeemeigenaar
Wijzigingsproces	Hoe een wijziging van model, prompt of leverancier wordt getest, goedgekeurd en teruggedraaid.	IT-afdeling, via uw wijzigingsproces
Toezicht en logging	Welke beslissingen een mens controleert, wat wordt gelogd en hoe lang het bewaard blijft.	De proceseigenaar

Voorbeeld

Hoe een regel in het AI-register eruitziet

Systeem	Doel	Eigenaar	Data	Risicoklasse
Microsoft 365 Copilot	Samenvatten van e-mail en documenten	Hoofd IT	E-mail en SharePoint, inclusief persoonsgegevens	Minimaal; AVG geldt
Klantenservice-chatbot	Beantwoorden van klantvragen	Manager klantenservice	Kennisbank en tickets	Beperkt; meld dat het AI is
Cv-screening in de wervingstool	Voorselectie van sollicitanten	HR-directeur	Cv's en motivatiebrieven	Hoog (Annex III, werkgelegenheid)

Waar het misgaat

Waar AI governance meestal vastloopt

Beleid zonder register. De regels bestaan, maar niemand kan opsommen welke AI-systemen echt draaien. Begin met de inventarisatie; het beleid volgt uit wat u vindt.
Een register zonder eigenaren. Elke regel heeft een persoon met naam nodig die voor dat systeem aanspreekbaar is, geen afdeling.
Modelwijzigingen buiten het wijzigingsproces. Een leverancier werkt het model bij, de uitkomst verandert en niemand keurde het goed. Behandel een model- of promptwijziging als elke andere release.
Geen evaluatieset. Zonder vaste set testgevallen kan niemand zien of een update het systeem beter of slechter maakte.
Shadow AI. Medewerkers gebruiken tools die niemand registreerde. Zie shadow AI detecteren en het instemmingsrecht van de OR.

Normen

AI governance, de EU AI Act en ISO 42001

De EU AI Act legt plichten op per risicoklasse. De meeste zakelijke AI is minimaal risico en kent geen specifieke plichten. Systemen die met mensen praten of content genereren, zoals een chatbot, hebben transparantieplichten. Hoog-risicosystemen, zoals AI bij werving of kredietbeslissingen, hebben plichten voor documentatie, menselijk toezicht en registratie. Een paar toepassingen zijn helemaal verboden. In uw register legt u vast in welke klasse elk systeem valt.

Twee data tellen. De AI-geletterdheidsplicht van artikel 4 geldt al voor elke organisatie waar medewerkers AI gebruiken; zie AI-geletterdheid training. En sinds de Digital Omnibus (Verordening (EU) 2026/1744) gelden de Annex III-plichten voor hoog risico vanaf 2 december 2027 en de Annex I-plichten vanaf 2 augustus 2028; zie de deadline voor hoog risico.

ISO/IEC 42001, gepubliceerd in december 2023, is de managementsysteemnorm voor AI. Draait u al ISO 27001, dan is de opzet grotendeels bekend: scope, risicobeoordeling, beheersmaatregelen, interne audit. Zie ISO 42001 naast ISO 27001. Certificering is optioneel; de vijf onderdelen hierboven vraagt een auditor hoe dan ook.

Wie doet wat

Wie doet wat: directie, IT, uw ICT-partner en Crux Digits

Gebied	Uw organisatie	Uw ICT-partner	Crux Digits
Beleid	Besluit en tekent het af.	Past het toe op toegang en tooling.	Stelt het op vanuit uw inventarisatie, met een template.
Register	Is eigenaar en houdt het actueel.	Levert de lijst van tools en licenties.	Richt het in en vult de eerste versie.
Risicoklasse	Accepteert de indeling.	Geen rol.	Deelt elk systeem in en zet de plichten op een rij.
Systemen die wij bouwen	Keurt releases goed.	Host en beheert ze.	Bouwt logging, menselijke controle, een evaluatieset en de documentatie in.

Zo begint u

Hoe u begint met AI governance

Stap	Wat u krijgt	Duur	Prijs (excl. btw)
AI Act-gereedheidscheck	Een gereedheidsscore en uw zwakste punten.	ongeveer 60 seconden	gratis
AI Act-check	Een inventarisatie, risicoklasse en rol per systeem, een beleidstemplate en een to-dolijst.	binnen een week	€950
AI-audit en strategie	Waar AI rendeert en in welke volgorde, met een AI Act- en AVG-toets per idee.	1 tot 2 weken	€2.500

Daarna

Van governance naar werkende systemen

Governance is geen doel; het is wat u in staat stelt AI zonder verrassingen in productie te nemen. Staan register en beleid, dan is de volgende stap meestal één systeem dat vanaf het begin met governance erin wordt gebouwd. Zie AI-implementatie in Nederland, of voor alleen het beleidsdocument, AI-beleid opstellen.

Koopgidsen

Verder vergelijken

AI Act-checklist voor het mkb AI Act-gereedheidscheck AI-geletterdheid training AI Act-consultants voor het mkb AI-implementatie: kosten en doorlooptijd AI-beheer

FAQ

Veelgestelde vragen

Wat is AI governance?

AI governance is het geheel van afspraken, rollen en documenten dat bepaalt welke AI een organisatie mag gebruiken, wie verantwoordelijk is voor elk systeem en hoe dat wordt aangetoond. In de praktijk: een AI-beleid, een AI-register, een risicoklasse per systeem, een wijzigingsproces en menselijk toezicht.

Wat is het verschil tussen AI governance en datagovernance?

Datagovernance gaat over de data zelf: kwaliteit, eigenaarschap, toegang en bewaartermijnen. AI governance gaat over de systemen die met die data iets beslissen of genereren: welke systemen, wie eigenaar is, hun risicoklasse en hoe wijzigingen worden goedgekeurd. U heeft beide nodig, en ze delen eigenaren.

Is AI governance wettelijk verplicht?

De EU AI Act vraagt specifieke maatregelen afhankelijk van de risicoklasse van elk systeem, en de AVG geldt zodra er persoonsgegevens meespelen. Een register en een beleid zijn de praktische manier om aan te tonen dat u die plichten nakomt, ook waar de wet ze niet zo noemt.

Hebben we ISO 42001-certificering nodig?

Nee, certificering is optioneel. ISO/IEC 42001 is nuttig als klanten of aanbestedingen erom vragen, of als u al ISO 27001 draait en één managementsysteem wilt. De vijf onderdelen van AI governance heeft u hoe dan ook nodig.

Waar beginnen we?

Met de inventarisatie: elk AI-systeem en elke AI-tool in gebruik op een rij, met een eigenaar per regel. De AI Act-check doet dat in een week en geeft u de risicoklasse per systeem en een beleidstemplate om mee te starten.

Welke AI draait er al in uw organisatie?

Vertel ons welke AI-tools en -systemen u kent. Wij zeggen u wat uw register moet bevatten, welke risicoklasse elk systeem heeft en wat u als eerste doet.

Plan een gratis consult →