Als je al een IT-afdeling hebt, begin je met AI-automatisering door eerst te bepalen welke processen herhaalbaar, gedocumenteerd en datagedreven zijn, en vervolgens klein te starten met één afgebakende toepassing die je stap voor stap uitbouwt. De valkuil is niet het ontbreken van ambitie, maar het ontbreken van de juiste fundamenten: schone data, heldere governance en duidelijke verantwoordelijkheden. De vragen hieronder helpen je om die fundamenten op de juiste manier te leggen.
Welke processen lenen zich het eerst voor AI-automatisering?
Processen die zich het eerst lenen voor AI-automatisering zijn herhaalbare, goed gedocumenteerde taken waarbij beslissingen worden genomen op basis van data die je al betrouwbaar beschikbaar hebt. Denk aan factuurverwerking, klantclassificatie, afwijkingsdetectie in rapportages of het routeren van servicemeldingen. Hoe minder impliciete mensenkennis een proces vereist, hoe sneller een AI-agent er waarde mee kan leveren.
Een praktische manier om te selecteren: kijk naar processen die medewerkers als repetitief ervaren, waarbij fouten regelmatig optreden en waarbij de regels die iemand volgt in principe op papier te zetten zijn. Als je die regels niet kunt opschrijven, is het proces nog niet klaar voor automatisering.
Wat daarbij helpt is het formuleren van een waardehypothese per kandidaatproces: welk probleem los je op, voor wie, en hoe ziet succes eruit? Dat dwingt je om concreet te zijn over wat je verwacht te winnen, en het voorkomt dat je begint met een proces dat technisch interessant is maar organisatorisch weinig verschil maakt. Begin met het proces waarbij de waardehypothese het scherpst is, niet met het proces dat technisch het meest indrukwekkend klinkt.
Hoe verhoudt AI-automatisering zich tot bestaande RPA en integratietools?
AI-automatisering en RPA vullen elkaar aan, maar zijn fundamenteel anders van aard. RPA voert vaste stappen uit op basis van vooraf gedefinieerde regels. AI-automatisering, en zeker agentic AI, leest data, neemt beslissingen en voert acties uit, ook in situaties die niet letterlijk zijn voorzien. Dat maakt AI krachtiger, maar ook veeleisender voor de onderliggende infrastructuur.
In de praktijk betekent dit dat bestaande RPA-scripts en integratielagen niet verdwijnen, maar dat AI-agents erbovenop komen te werken. Een agent kan een RPA-taak aansturen, maar heeft daarvoor wel toegang nodig tot de juiste systemen, met de juiste credentials en een heldere audit trail. Dat is een andere eis dan wat je bij traditionele automatisering gewend bent.
Wat dit concreet vraagt van je bestaande IT-omgeving:
- Integratiepunten moeten beschikbaar zijn via API’s die agents kunnen aanroepen
- Agents moeten als afzonderlijke identiteitsklasse worden behandeld in je identity- en accessmanagement
- Je observability-tooling moet niet alleen menselijk gedrag monitoren, maar ook agentgedrag zichtbaar maken
De kans is groot dat je huidige integratielaag deze eisen deels al ondersteunt. De vraag is niet of je opnieuw moet beginnen, maar of je de bestaande laag kunt uitbreiden zonder de stabiliteit ervan in gevaar te brengen.
Wie is verantwoordelijk voor AI-beslissingen binnen een bestaande IT-structuur?
Verantwoordelijkheid voor AI-beslissingen moet expliciet worden belegd, en dat is precies wat in de meeste organisaties ontbreekt. Een AI-agent die namens een gebruiker acties uitvoert, neemt feitelijk beslissingen. Als die beslissingen fout gaan, is de vraag wie er verantwoordelijk is geen abstracte discussie, maar een operationeel en juridisch vraagstuk.
Een werkbare aanpak is om per type beslissing drie niveaus te definiëren:
- De agent beslist en handelt zelfstandig, zonder menselijke tussenkomst
- De agent stelt voor, een mens controleert en keurt goed
- De agent signaleert, een mens beslist volledig
Welk niveau van toepassing is, hangt af van de impact van de beslissing, de betrouwbaarheid van de onderliggende data en de maturiteit van het proces. Voor beslissingen met financiële, juridische of klantgerichte gevolgen is een human-in-the-loop voorlopig de verstandige standaard.
Binnen een bestaande IT-structuur betekent dit ook dat de IT-manager, operationeel directeur en business owner gezamenlijk eigenaarschap moeten nemen. IT zorgt voor de technische betrouwbaarheid van de agent; de business owner is verantwoordelijk voor de kwaliteit van de beslissingen die de agent neemt. Dat onderscheid moet je vastleggen voordat een agent in productie gaat, niet erna.
Hoe voorkom je dat AI-automatisering buiten de IT-governance valt?
AI-automatisering valt buiten de IT-governance wanneer business-units zelfstandig AI-tools inzetten zonder afstemming met IT, of wanneer AI-agents worden uitgerold zonder dat ze zijn opgenomen in de bestaande change- en releaseprocessen. Dit patroon heet shadow AI, en het risico is niet alleen technisch maar ook compliance-gerelateerd.
De meest directe manier om dit te voorkomen is AI-agents te behandelen als een nieuwe categorie systemen binnen je bestaande governance. Dat betekent:
- Agents registreren in je CMDB of vergelijkbare inventarisatietool
- Toegangsrechten van agents beheren via hetzelfde IAM-framework als menselijke gebruikers
- Wijzigingen in agentgedrag meenemen in het reguliere change management
- Audit trails van agentacties opnemen in je bestaande logging en monitoring
Procesvolwassenheid speelt hier een grote rol. Als een proces niet gedocumenteerd is en afhankelijk is van impliciete kennis bij individuele medewerkers, is het ook niet te automatiseren op een manier die binnen governance valt. Documenteer het proces eerst, dan pas automatiseer je het.
Praktisch advies: stel een intern AI-governancekader op dat de negen fundamenten beschrijft welke toepassingen meldingsplichtig zijn, wie goedkeuring geeft voor productie-uitrol en hoe incidenten met AI-agents worden afgehandeld. Dat kader hoeft niet uitgebreid te zijn om effectief te zijn.
Welke data- en beveiligingsvereisten gelden bij AI-implementatie?
Bij AI-implementatie gelden hogere eisen aan data en beveiliging dan bij traditionele automatisering, omdat AI-agents actief data opvragen, combineren en gebruiken als basis voor beslissingen. Onbetrouwbare data leidt tot onbetrouwbare uitkomsten. Onvoldoende beveiliging van agentidentiteiten creëert nieuwe aanvalsvectoren.
Datavereisten
Een AI-agent heeft schone, actuele en eenduidig gedefinieerde brondata nodig. Dat klinkt vanzelfsprekend, maar in de praktijk werken veel organisaties met data waarbij dezelfde term, zoals “omzet” of “actieve klant”, op meerdere plekken anders is gedefinieerd. Een agent die met tegenstrijdige definities werkt, produceert inconsistente of ronduit foutieve uitkomsten. Datakwaliteit en een semantische laag zijn daarom geen nice-to-have, maar een harde voorwaarde.
Daarnaast moet je vastleggen wie welke data mag inzien en wijzigen, en wie eigenaar is van die data. Datagovernance is bij AI-implementatie geen administratieve formaliteit, het bepaalt rechtstreeks wat een agent wel en niet mag doen.
Beveiligingsvereisten
AI-agents moeten worden behandeld als een nieuwe identiteitsklasse in je beveiligingsarchitectuur. Ze hebben credentials nodig, ze moeten worden geauthenticeerd en geautoriseerd, en hun acties moeten worden gelogd. Dat is dezelfde logica als voor menselijke gebruikers, maar de implementatie vraagt specifieke aandacht omdat agents continu en autonoom opereren.
Vanuit wet- en regelgeving, waaronder de AVG en de EU AI Act, gelden aanvullende eisen rond documentatie, audit trails en aantoonbare zorgvuldigheid. Voor de specifieke implicaties van deze wetgeving voor jouw organisatie is het verstandig om een eigen juridisch adviseur te raadplegen. Wat je technisch kunt regelen: zorg dat je logging zo is ingericht dat je achteraf altijd kunt reconstrueren welke data een agent heeft gebruikt en welke beslissing daaruit is voortgekomen.
Wanneer is een externe AI-specialist nodig naast de eigen IT-afdeling?
Een externe AI-specialist is nodig wanneer het vraagstuk meerdere vakgebieden tegelijk raakt en de combinatie van die vakgebieden buiten de expertise van de eigen IT-afdeling valt. AI-implementatie raakt data-engineering, security, procesontwerp, compliance en organisatieverandering tegelijk. Dat is zelden de dagelijkse werkelijkheid van een interne IT-afdeling die ook de bestaande omgeving draaiende moet houden.
Concrete signalen dat externe expertise nuttig is:
- Je weet niet goed hoe volwassen je datakwaliteit en governance zijn als vertrekpunt voor AI
- Je mist specifieke kennis over agent-architectuur, observability of AI-security
- De AI-implementatie raakt meerdere afdelingen en je hebt behoefte aan een onafhankelijke programmamanager
- Er is intern geen capaciteit om naast de dagelijkse operatie ook een transformatietraject te trekken
Wat je daarbij wilt vermijden is een externe partij die een generalist levert die “het allemaal een beetje kan”. De meerwaarde van externe specialisten zit in diepte, niet in breedte. Per fundament, of het nu gaat om datakwaliteit, security of change management, heb je iemand nodig die daar specifiek sterk in is, niet iemand die het erbij doet. Meer weten over hoe wij dat aanpakken? Bekijk de Connect & Build aanpak voor AI-trajecten.
Hoe we je helpen met AI-automatisering
We zien bij organisaties van 250 tot 1.000 medewerkers regelmatig hetzelfde patroon: de ambitie om AI-automatisering in te voeren is er, maar het ontbreekt aan inzicht in waar de fundamenten sterk genoeg zijn om op te bouwen en waar niet. Dat inzicht is precies waar we mee beginnen.
Via onze AIConnected aanpak brengen we in kaart hoe volwassen jouw organisatie is op alle negen fundamenten die nodig zijn voor verantwoorde AI-implementatie. Dat doen we met de Foundation Scan: drie gerichte gesprekken van elk 45 minuten, met de juiste mensen aan tafel per laag. De uitkomst is een concrete rapportage met een score per fundament, zodat je weet waar je staat en wat de logische volgende stap is.
Wat je van ons krijgt:
- Een helder beeld van je startpositie op data, security, procesvolwassenheid en governance
- Een waardehypothese voor de eerste agent die je verantwoord in productie kunt brengen
- Toegang tot specialisten per fundament, zonder dat je zelf vijf leveranciers hoeft te coördineren
- Eén aanspreekpunt dat de regie voert en de afhankelijkheden tussen vakgebieden bewaakt
We werken niet met mensen op de bank die moeten worden weggezet. Per onderdeel selecteren we de specialist die er het sterkst in is. Wil je weten waar jouw organisatie nu staat? Neem contact op en plan een eerste gesprek in.