Wat hoort in een intern AI-toetsingskader?

Jaap de Roos · 23 Sep 2026

Een intern AI-toetsingskader beschrijft de criteria, verantwoordelijkheden en procedures waarmee je organisatie beoordeelt of een AI-toepassing veilig, verantwoord en doelgericht ingezet mag worden. Het kader legt vast wat je toetst, wie dat doet en wanneer. Voor IT-managers, operationeel directeuren en CFO’s die AI gecontroleerd willen invoeren, is zo’n kader geen bureaucratisch document maar een werkend instrument om de regie te houden. De vragen hieronder werken de onderdelen stap voor stap uit.

Welke onderdelen zijn verplicht in een AI-toetsingskader?

Een AI-toetsingskader bevat minimaal zes onderdelen: een risicoklassificatie van de toepassing, een databeoordeling, een beschrijving van het besluitvormingsproces, beveiligingseisen, een human-in-the-loop-vereiste en een evaluatiemoment na ingebruikname. Samen vormen deze onderdelen de basis om een AI-toepassing gecontroleerd te beoordelen en te monitoren.

Hieronder vind je een overzicht van de zes onderdelen met wat ze in de praktijk betekenen:

Risicoklassificatie: bepaal in welke categorie de toepassing valt. Raakt het beslissingen over mensen, verwerkt het gevoelige data, of opereert het autonoom? Hoe hoger het risico, hoe strenger de toets.
Databeoordeling: stel vast welke data de AI gebruikt, waar die vandaan komt, hoe actueel die is en of de kwaliteit geborgd is. Een AI-toepassing die werkt met onvolledige of verouderde data levert onbetrouwbare uitkomsten, ongeacht hoe goed het model zelf is.
Besluitvormingsproces: leg vast welke besluiten de AI neemt of ondersteunt, en wie de eindverantwoordelijkheid draagt. Dit is ook relevant voor de uitlegbaarheid van besluiten richting medewerkers, klanten of toezichthouders.
Beveiligingseisen: definieer toegangsbeheer, logging, encryptie en incident response specifiek voor de AI-toepassing. Bestaand IT-beveiligingsbeleid dekt dit zelden volledig af.
Human-in-the-loop-vereiste: stel vast bij welke uitkomsten een mens tussenbeide moet komen voordat een actie wordt uitgevoerd. Dit is geen optioneel onderdeel maar een structureel vereiste voor verantwoord gebruik.
Evaluatiemoment: plan een gestructureerde hertoetsing na een vastgestelde periode of bij een significante wijziging van de toepassing of de onderliggende data.

Dit zijn de verplichte bouwstenen. Afhankelijk van de sector en het type toepassing kun je aanvullende onderdelen opnemen, zoals een ethische toets of een impactbeoordeling voor betrokken medewerkers.

Hoe verschilt een AI-toetsingskader van bestaand IT-beleid?

Een AI-toetsingskader verschilt van bestaand IT-beleid doordat het niet alleen gaat over systemen en toegang, maar ook over gedrag, uitkomsten en verantwoording. IT-beleid regelt hoe systemen worden ingericht en beveiligd. Een AI-toetsingskader regelt wat een systeem mag doen, hoe je dat controleert en wie verantwoordelijk is als het fout gaat.

Bestaand IT-beleid richt zich doorgaans op infrastructuur, autorisaties, softwareversies en incidentbeheer. Dat is goed en nodig, maar het gaat uit van een systeem dat doet wat het geprogrammeerd is te doen. AI-toepassingen zijn anders: ze leren, produceren variabele uitkomsten en kunnen afwijken van verwacht gedrag naarmate data of context verandert.

Dat verschil heeft drie concrete gevolgen voor je beleid:

Uitlegbaarheid wordt een vereiste. IT-beleid vraagt zelden om een uitleg van waarom een systeem een bepaalde uitkomst geeft. Bij AI is dat wel nodig, zeker als de uitkomst gevolgen heeft voor mensen of processen.
Monitoring is continu, niet periodiek. Een server die goed werkt, werkt morgen ook goed. Een AI-model dat vandaag betrouwbare uitkomsten geeft, kan over drie maanden afwijken als de data verandert. Je beheercyclus moet daarop ingericht zijn.
Governance overstijgt IT. Bij AI zijn ook proceseigenaren, HR, juridische adviseurs en het management betrokken. Dat maakt AI-governance een organisatievraagstuk, niet alleen een IT-vraagstuk.

Een AI-toetsingskader bouwt voort op bestaand IT-beleid maar vult het aan met deze specifieke dimensies. Het vervangt je IT-beleid niet, het completeert het.

Wie is verantwoordelijk voor het uitvoeren van een AI-toetsing?

De verantwoordelijkheid voor een AI-toetsing ligt gedeeld bij de proceseigenaar van de toepassing, de IT- of datamanager en een aangewezen toetsingsverantwoordelijke, vaak een AI-coördinator of functionaris gegevensbescherming. De proceseigenaar is eindverantwoordelijk voor de uitkomsten; IT borgt de technische en beveiligingsaspecten; de toetsingsverantwoordelijke bewaakt het proces en de documentatie.

In de praktijk zien we dat AI-toetsingen blijven liggen omdat niemand eigenaarschap voelt. Dat is een governanceprobleem, geen technisch probleem. De oplossing is om de verantwoordelijkheidsverdeling vooraf vast te leggen in het toetsingskader zelf, niet achteraf te regelen als een toepassing al in gebruik is.

Voor middelgrote organisaties werkt een driehoeksmodel goed:

De proceseigenaar beschrijft het doel, de context en de verwachte uitkomsten van de toepassing.
De IT- of datamanager beoordeelt de technische vereisten, databronnen en beveiligingsaspecten.
De toetsingsverantwoordelijke voert de formele toets uit, documenteert de bevindingen en geeft een go/no-go af.

Bij toepassingen met een hoog risicoprofiel is het verstandig om ook een juridisch adviseur te betrekken, met name voor de beoordeling van AVG- en EU AI Act-verplichtingen. Raadpleeg hiervoor altijd je eigen juridische adviseur, want de specifieke eisen hangen af van de toepassing en de sector.

Wanneer moet een AI-toetsing plaatsvinden?

Een AI-toetsing moet plaatsvinden vóór ingebruikname van een nieuwe toepassing, bij een significante wijziging van de toepassing of de onderliggende data, en periodiek tijdens gebruik. In 2026 is een jaarlijkse hertoetsing voor de meeste toepassingen een redelijk minimum, maar bij hogere risicoprofielen of snelle modelwijzigingen is een kortere cyclus verstandiger.

Veel organisaties toetsen eenmalig bij de introductie van een AI-toepassing en gaan er daarna van uit dat de situatie stabiel blijft. Dat is een risico. AI-modellen gedragen zich anders naarmate de data verandert, de organisatiecontext verschuift of de toepassing breder wordt ingezet dan oorspronkelijk bedoeld.

Stel in je toetsingskader minimaal drie vaste momenten vast:

Pre-deploymenttoets: voordat de toepassing live gaat, toets je het volledige kader inclusief risicoklassificatie, databeoordeling en beveiligingseisen.
Wijzigingstoets: bij elke substantiële aanpassing van het model, de databronnen of het gebruiksscenario voer je een gerichte hertoetsing uit.
Periodieke evaluatie: op een vastgesteld interval, minimaal jaarlijks, beoordeel je of de toepassing nog voldoet aan de gestelde criteria en of de context veranderd is.

Leg ook vast wat een “significante wijziging” is. Dat voorkomt discussie achteraf over de vraag of een update wel of niet een hertoetsing vereist.

Hoe sluit een intern AI-toetsingskader aan op de EU AI Act?

Een intern AI-toetsingskader sluit aan op de EU AI Act door de risicoklassificatie, documentatieverplichtingen en transparantie-eisen uit de wet te vertalen naar interne procedures. De EU AI Act categoriseert AI-toepassingen op risico en verbindt daar specifieke verplichtingen aan. Je interne kader moet die categorisering volgen en de bijbehorende maatregelen borgen. Raadpleeg voor de juridische interpretatie altijd je eigen juridische adviseur.

De EU AI Act onderscheidt vier risicocategorieën: onaanvaardbaar risico (verboden), hoog risico (strenge eisen), beperkt risico (transparantieverplichtingen) en minimaal risico (grotendeels vrij). Voor de meeste organisaties in het MKB en de midcap zijn de hoogrisicotoepassingen het meest relevant om goed in kaart te brengen, omdat die de zwaarste documentatie- en toezichtseisen met zich meebrengen.

Je intern toetsingskader ondersteunt de naleving van de EU AI Act als het minimaal de volgende elementen bevat:

Een risicoklassificatie die aansluit op de categorieën uit de wet.
Documentatie van het doel, de werking en de beperkingen van de toepassing.
Een beschrijving van de menselijke toezichtsmaatregelen die je hebt ingericht.
Een registratie van toetsingsmomenten en bevindingen.
Een procedure voor het melden van incidenten of onverwacht gedrag.

Het is daarbij nuttig om te weten dat de EU AI Act niet statisch is. De uitvoeringsregels worden in 2026 verder geconcretiseerd. Een goed intern kader is zo gebouwd dat je het kunt aanpassen zonder het volledig te herzien.

Hoe wij helpen met AI-governance

Veel organisaties weten wat ze willen bereiken met AI, maar lopen vast op de vraag hoe ze het verantwoord inrichten. Het probleem is niet de technologie, het is het ontbreken van een werkend kader dat data, processen en mensen met elkaar verbindt. Dat is precies het vraagstuk dat wij aanpakken.

Via ons netwerk van specialty partners brengen we de juiste expertise bij je organisatie. Afhankelijk van waar je staat, kan dat betekenen:

Een AI Foundation Model Quick Scan om te zien op welke fundamenten je organisatie al stevig staat en waar de echte risico’s liggen.
Toegang tot AI-consultants en compliance-specialisten die je helpen een intern toetsingskader op te zetten dat aansluit op je bestaande IT-beleid en de EU AI Act.
Ondersteuning vanuit ons SecurityConnected netwerk voor de beveiligings- en datagovernance-aspecten van je AI-toepassingen.
Begeleiding bij de implementatie, zodat het kader niet in een la belandt maar werkelijk onderdeel wordt van je dagelijkse operatie.

We werken uitsluitend met zorgvuldig geselecteerde partners die hun vakmanschap hebben bewezen. Geen hoge marges, geen onnodige tussenstappen. Wil je weten hoe jouw organisatie er nu voor staat? Doe de gratis AI Foundation Model Quick Scan en ontdek in vijf minuten waar de echte risico’s en kansen liggen.