Medewerkers gebruiken AI-tools. Elke dag, in elke laag van de organisatie. Soms weet de IT-afdeling het, vaak niet. Een salesmedewerker tikt klantgegevens in ChatGPT voor een offerte. Een HR-adviseur laat een AI-tool een beoordelingsverslag herschrijven. Handig, snel en volkomen buiten de zichtlijn van wie verantwoordelijk is voor data en compliance.
Dit is geen toekomstscenario. Dit gebeurt nu, ook bij jou. De vraag is niet of AI gebruikt wordt in jouw organisatie. De vraag is of jij er grip op hebt.
Wat AI-governance precies betekent voor het MKB
AI-governance klinkt als iets voor grote corporates met juridische afdelingen en compliance-teams. Dat is een misverstand. Voor het MKB gaat het om iets eenvoudigs: weten welke AI-tools er gebruikt worden, door wie, met welke data en met welke risico’s.
Zonder dat overzicht ben je blind. Je weet niet welke klantgegevens buiten jouw omgeving belanden. Je weet niet welke besluiten er ondersteund worden door een algoritme dat jij nooit hebt beoordeeld. En bij een incident, een datalek of een NIS2-audit, weet je niet waar je moet beginnen.
AI-governance geeft jouw organisatie de structuur om AI verantwoord te gebruiken. Dat betekent beleid opstellen, tools beoordelen en medewerkers informeren. Het is geen bureaucratisch obstakel. Het is de basis voor verantwoord innoveren.
De risico’s van ongecontroleerd AI-gebruik
Stel: een medewerker in de zorg typt patiëntinformatie in een publieke AI-chatbot om een ontslagbrief te laten schrijven. De informatie verlaat jouw beveiligde omgeving en belandt op servers buiten de EU. Dat is een datalek. Niet door een aanval, maar door gemak.
In de maakindustrie is het risico anders maar net zo reëel. Een engineer gebruikt een AI-tool om procesdata te analyseren. De tool slaat die data op voor modeltraining. Intellectueel eigendom verdwijnt stilletjes naar een externe partij. Geen melding, geen bewuste keuze, gewoon een standaardinstelling.
Dit zijn geen hypothetische situaties. Ze kosten organisaties geld, reputatie en soms klanten. Ongecontroleerd AI-gebruik is een risico dat je kunt beheersen, maar alleen als je het eerst zichtbaar maakt. Voorkomen in plaats van genezen geldt ook hier.
Drie pijlers van een werkbare AI-governance aanpak
Je hoeft geen uitgebreid beleidsdocument van honderd pagina’s te schrijven. Een werkbare aanpak voor het MKB staat op drie pijlers.
De eerste pijler is zichtbaarheid. Weet welke AI-tools er in jouw organisatie gebruikt worden. Dat klinkt vanzelfsprekend, maar zonder actief inventariseren heb je geen volledig beeld. SPS helpt organisaties bij het in kaart brengen van hun IT-landschap via Gensys, het eigen monitoring- en CMDB-platform. Wat niet geregistreerd is, wordt ook niet beheerd.
De tweede pijler is beleid. Stel vast welke tools toegestaan zijn, onder welke voorwaarden en met welke data. Dat hoeft niet ingewikkeld te zijn. Twee pagina’s helder beleid is beter dan een dik handboek dat niemand leest.
De derde pijler is bewustzijn. Medewerkers moeten weten wat wel en niet mag en waarom. Niet als straf, maar als bescherming. Voor henzelf en voor de organisatie.
Hoe je AI-gebruik inpast in bestaande IT-structuren
AI-governance bestaat niet naast jouw IT-beleid. Het maakt er deel van uit. Toegangsbeheer, dataclassificatie, incidentmanagement: de structuren zijn er al. AI-gebruik vraagt om uitbreiding van die structuren, niet om een compleet nieuw raamwerk.
Neem endpoint-beveiliging als voorbeeld. Als jij controle hebt over welke applicaties op werkplekken geïnstalleerd mogen worden, geldt diezelfde controle voor AI-tools. Binnen de SPS Modern Workplace, gebaseerd op Microsoft 365 en Azure, zijn er al mechanismen beschikbaar om dit te regelen. Conditional access, Data Loss Prevention en beheerbeleid voor apps geven je de technische middelen om AI-gebruik te sturen.
Managed IT-Regie van SPS betekent dat wij ook de regie voeren over leveranciers en externe partijen in jouw keten. Gebruikt een leverancier AI-tools bij het verwerken van jouw data? Dan is dat een vraag die jij als verantwoordelijke partij moet stellen. Wij helpen je die ketenvraagstukken te identificeren en aan te pakken.
AI-governance en compliance: wat NIS2 en ISO 27001 vragen
NIS2 en ISO 27001 bevatten geen specifiek AI-hoofdstuk. Maar de onderliggende eisen, rond risicobeheer, toegangscontrole en databeveiliging, raken AI-gebruik direct. Als jouw medewerkers AI-tools gebruiken zonder beleid, heb je een gat in jouw risicobeheersysteem. Dat gat is zichtbaar bij een audit.
De EU AI Act voegt daar nog een dimensie aan toe. Afhankelijk van het risiconiveau van de AI-toepassingen die jouw organisatie gebruikt, gelden er verplichtingen rond transparantie, documentatie en menselijk toezicht. Voor het MKB zijn de verplichtingen beheersbaar, maar alleen als je weet wat er gebruikt wordt.
SPS ondersteunt organisaties bij NIS2-compliance en ISO 27001-trajecten. AI-governance is daarbinnen geen losstaand vraagstuk. Het is een integraal onderdeel van het bredere beveiligings- en complianceplaatje. Wij denken mee en vertalen de vereisten naar concrete stappen die jouw organisatie daadwerkelijk kan zetten.
Van beleid naar praktijk: een aanpak die werkt
Beleid op papier is het begin. De praktijk is weerbarstiger. Medewerkers kiezen voor gemak. Een AI-tool die direct resultaat geeft, wint het van een procedure die traag aanvoelt. Dat is menselijk gedrag, geen onwil.
Daarom werkt een pragmatische aanpak beter dan een verbodscultuur. Bied veilige alternatieven aan. Microsoft Copilot, geïntegreerd in de SPS Modern Workplace, verwerkt data binnen de beveiligde Microsoft-tenant. Medewerkers krijgen de AI-ondersteuning die ze willen, jij behoudt de controle over de data. Dat is een oplossing die beide kanten dient.
Stel daarna een evaluatiecyclus in. Hoe AI gebruikt wordt, verandert snel. Beleid van zes maanden geleden is soms al achterhaald. Bouw een moment in om te toetsen welke nieuwe tools in gebruik zijn genomen, welke risico’s dat meebrengt en of het beleid aangepast moet worden. Managed Success, de strategische innovatielaag van SPS, helpt jou die cyclus te organiseren en bij te houden.
Grip op AI begint vandaag
AI-gebruik in jouw organisatie stopt niet als je er niets over zegt. Het groeit juist, onzichtbaar en onbeheerst. De organisaties die nu de basis leggen voor AI-governance, zijn beter voorbereid op wat komt: strengere regelgeving, hogere verwachtingen van klanten en een IT-landschap dat elke maand complexer wordt.
Wil je weten waar jouw organisatie nu staat en welke stappen als eerste nodig zijn? Neem contact op met SPS via sps.nl. Wij kijken samen naar jouw situatie en vertalen dat naar een aanpak die past bij jouw organisatie, jouw sector en jouw tempo.
Veelgestelde vragen over AI-governance voor het MKB
Moet ik als MKB-bedrijf al aan de EU AI Act voldoen?
De EU AI Act wordt gefaseerd ingevoerd. Voor de meeste MKB-organisaties gelden de zwaarste verplichtingen niet direct. Maar als jouw organisatie AI-tools gebruikt in processen die mensenrechten of veiligheid raken, zoals personeelsbeoordeling of medische toepassingen, gelden er al eerder verplichtingen. Het is verstandig om nu al te inventariseren welke toepassingen jij gebruikt en wat de classificatie daarvan is.
Hoe weet ik welke AI-tools mijn medewerkers gebruiken?
Zonder actieve monitoring weet je het niet volledig. Een goede stap is een interne inventarisatie via een korte vragenlijst aan teamleiders. Technisch kun je via netwerkinspectie en endpoint-beheer zicht krijgen op welke externe diensten er benaderd worden. SPS helpt organisaties met dit soort inventarisaties als onderdeel van het IT-landschap in kaart brengen via Gensys.
Wat is het verschil tussen AI-beleid en AI-governance?
AI-beleid is het document dat beschrijft wat wel en niet mag. AI-governance is het bredere systeem: wie is verantwoordelijk, hoe wordt beleid gehandhaafd, hoe worden risico’s gemonitord en hoe worden beslissingen genomen over nieuwe tools. Beleid is een onderdeel van governance, niet het geheel.
perts
