AI-governance en IT-governance overlappen gedeeltelijk, maar zijn niet hetzelfde. IT-governance richt zich op de beheersing van systemen, infrastructuur en processen. AI-governance voegt daar een laag aan toe: de beheersing van beslissingen die een systeem zelfstandig neemt, de uitlegbaarheid van die beslissingen en de naleving van regelgeving die specifiek voor AI geldt. Voor IT-managers en directeuren die AI verantwoord willen invoeren, is het verschil niet academisch maar operationeel. De vragen hieronder werken dat verschil concreet uit.
Waar houden AI-governance en IT-governance op met overlappen?
IT-governance en AI-governance overlappen op het gebied van toegangsbeheer, logging en risicomanagement. Het verschil zit in wat er beheerst moet worden: IT-governance beheert systemen en processen die mensen uitvoeren, terwijl AI-governance ook het gedrag beheert van systemen die zelfstandig beslissingen nemen. Zodra een systeem autonoom handelt, volstaat IT-governance niet meer.
Een concreet voorbeeld: een AI-agent die namens een medewerker klantdata ophaalt en een aanbeveling doet, valt binnen de scope van IT-governance wat betreft de infrastructuur waarop hij draait. Maar de vraag welke data de agent mag inzien, welke beslissingen hij zelfstandig mag nemen en hoe je achteraf kunt aantonen dat hij correct heeft gehandeld, valt buiten wat een standaard IT-governanceframework dekt. Dat is het domein van AI-governance.
De overlap is het grootst op drie punten: toegangsbeheer, audit logging en incidentrespons. Op al die punten bouwt AI-governance voort op bestaande IT-structuren, maar stelt het aanvullende eisen. Logging moet bijvoorbeeld niet alleen registreren welke gebruiker iets heeft gedaan, maar ook welke agent welke gebruiker heeft geholpen, welke databronnen zijn geraadpleegd en welke acties zijn uitgevoerd.
Welke risico’s dekt IT-governance niet af voor AI-systemen?
IT-governance dekt de technische betrouwbaarheid van systemen, maar niet de inhoudelijke betrouwbaarheid van AI-uitkomsten. Risico’s zoals modelafwijking, onbedoelde discriminatie in geautomatiseerde beslissingen, prompt injection en het overschrijden van toegangsgrenzen door agents zijn geen technische bugs maar governance-gaten die een apart kader vereisen.
Een voorbeeld dat dit scherp illustreert: een sales-agent die door een fout in de rechtenstructuur toegang krijgt tot HR-data handelt technisch gezien foutloos. Het systeem werkt. Maar de agent doet iets wat hij niet mag doen, en dat is een governance-probleem, geen infrastructuurprobleem. IT-governance heeft geen instrument om dit te voorkomen of te detecteren als het niet expliciet is ingericht op agentisch gedrag.
Andere risico’s die buiten de scope van traditionele IT-governance vallen:
- Modelveroudering: een AI-model dat correct was bij ingebruikname maar door veranderende data of context verkeerde uitkomsten gaat produceren
- Uitlegbaarheid: het ontbreken van een mechanisme om achteraf te reconstrueren waarom een systeem een specifieke beslissing heeft genomen
- Menselijke oversightborging: het ontbreken van vastgelegde regels over welke beslissingen altijd via een mens moeten lopen
- Semantische inconsistentie: een agent die een begrip als “omzet” anders interpreteert dan het dashboard, omdat er geen gedeelde definitie is vastgelegd
Wat schrijft de EU AI Act voor op het gebied van governance?
De EU AI Act verplicht organisaties die hoog-risico AI-systemen inzetten tot aantoonbare governance. Artikel 12 van Verordening 2024/1689 vereist automatische logging gedurende de volledige levensduur van het systeem. Deze verplichting geldt volledig vanaf 2 augustus 2026 en is niet optioneel: de logs moeten herleidbaar zijn en beschikbaar voor toezichthouders.
Wat de AI Act concreet vraagt, gaat verder dan wat de meeste organisaties nu al hebben ingericht:
- Verplichte risicoklassificatie van AI-systemen voordat ze in productie gaan
- Vastgelegde menselijke oversight voor hoog-risico toepassingen
- Technische documentatie die aantoont dat het systeem doet wat het moet doen
- Automatische logging van beslissingen en acties gedurende de levensduur van het systeem
- AI-geletterdheid bij medewerkers die met AI-systemen werken (Artikel 4)
Voor IT-managers betekent dit dat governance van AI-systemen niet langer een intern beleidsvraagstuk is maar een wettelijke verplichting met aantoonbaarheidseisen. De vraag is niet of je dit inricht, maar wanneer en hoe. Ik zoek een passende AI-governance oplossing voor jouw organisatie en sector.
Hoe verhoudt AI-governance zich tot bestaande frameworks zoals ISO 27001 en ITIL?
ISO 27001 en ITIL bieden een solide basis voor informatiebeveiliging en IT-servicemanagement, maar zijn niet ontworpen voor de specifieke risico’s van AI. AI-governance vult die frameworks aan: het bouwt voort op de structuren die al bestaan, maar voegt dimensies toe die in ISO 27001 en ITIL niet zijn uitgewerkt, zoals modelvalidatie, uitlegbaarheid en agentisch gedrag.
ISO 27001 en AI-governance
ISO 27001 regelt de bescherming van informatie. Het framework dekt toegangsbeheer, risicobeoordeling en incidentmanagement, en die elementen zijn ook relevant voor AI. Maar ISO 27001 stelt geen eisen aan de kwaliteit van AI-beslissingen, de herleidbaarheid van modeluitkomsten of de manier waarop een agent zijn bevoegdheden gebruikt. Een organisatie die ISO 27001-gecertificeerd is, heeft een goed fundament maar geen volledig AI-governanceframework.
ITIL en AI-governance
ITIL richt zich op het beheer van IT-diensten en processen. Het framework helpt bij het gestructureerd inrichten van changemanagement, incidentrespons en servicecontinuïteit. Voor AI-systemen zijn die processen relevant, maar ITIL bevat geen richtlijnen voor het beoordelen van modelgedrag, het bewaken van datakwaliteit als input voor AI of het vastleggen van welke beslissingen een agent autonoom mag nemen. AI-governance vult precies die lacunes in.
De praktische conclusie: je hoeft je bestaande frameworks niet te vervangen. Je breidt ze uit met een AI-specifieke laag die de unieke risico’s van zelfstandig handelende systemen adresseert.
Wie is verantwoordelijk voor AI-governance binnen een organisatie?
AI-governance is geen verantwoordelijkheid van één rol, maar vraagt om een gedeeld eigenaarschap tussen meerdere functies. De eindverantwoordelijkheid ligt bij de directie, maar de operationele invulling vereist samenwerking tussen IT, data, legal en compliance. Zonder expliciete toewijzing van rollen blijft AI-governance een papieren beleid.
De rollen die in de praktijk het verschil maken:
- Data Governance Lead: verantwoordelijk voor datakwaliteit, datacontracten en de semantische laag die agents en dashboards dezelfde definities laat hanteren
- Privacy Officer of DPO: bewaakt naleving van de AVG en juridische kaders rondom gegevensverwerking door AI-systemen
- IAM Specialist: richt toegangsbeheer in op basis van het minimale-rechtenprincipe, inclusief role-based access control en audit logging voor agents
- Compliance Officer: vertaalt de AI Act en sectorspecifieke regelgeving naar concrete beheersmaatregelen
- IT-manager of CTO: borgt dat de technische infrastructuur de governance-eisen ondersteunt
Niet elke organisatie heeft al deze rollen in huis. Voor middelgrote organisaties is een mix van vaste rollen en tijdelijke specialisten vaak de meest werkbare aanpak.
Wanneer heeft een organisatie een apart AI-governanceframework nodig?
Een organisatie heeft een apart AI-governanceframework nodig zodra AI-systemen zelfstandig beslissingen nemen die gevolgen hebben voor klanten, medewerkers of bedrijfsprocessen. Dat moment is eerder dan de meeste organisaties denken: niet pas bij grootschalige uitrol, maar al bij de eerste productie-agent of het eerste geautomatiseerde beslismodel.
Praktische signalen dat je bestaande IT-governance onvoldoende is:
- Je kunt niet aantonen welke data een AI-systeem heeft gebruikt voor een specifieke beslissing
- Er zijn geen vastgelegde regels over welke beslissingen een agent autonoom mag nemen
- Toegangsbeheer is ingericht op gebruikers, niet op agents die namens gebruikers handelen
- Er is geen proces voor het beoordelen van modelgedrag na ingebruikname
- De EU AI Act-verplichtingen zijn nog niet vertaald naar concrete maatregelen
De waardehypothese is hier helder: het probleem is niet de technologie maar het ontbreken van kaders die bepalen wanneer die technologie mag handelen, op basis van welke data, en met welke menselijke controle. Succes ziet er zo uit: een organisatie die AI inzet en op elk moment kan aantonen wat het systeem heeft gedaan, waarom, en wie daarvoor verantwoordelijk is.
Hoe wij helpen met AI-governance en IT-governance
Veel organisaties hebben al een IT-governancestructuur staan, maar merken dat die niet aansluit op de eisen die AI-systemen stellen. Het gat zit niet in de wil maar in de specifieke kennis en rollen die nodig zijn om AI-governance operationeel te maken.
Vanuit ons netwerk van specialty partners helpen we je om dat gat te dichten. Concreet betekent dat:
- Een snelle analyse van waar je huidige IT-governanceframework tekortschiet voor AI-toepassingen
- Tijdelijke invulling van rollen zoals Data Governance Lead, IAM Specialist of Compliance Officer, tot eigen medewerkers die taken kunnen overnemen
- Vertaling van de EU AI Act-verplichtingen naar maatregelen die passen bij jouw organisatie en sector
- Ondersteuning bij het inrichten van toegangsbeheer, logging en human-in-the-loop processen voor agents in productie
- Begeleiding vanuit ons SecurityConnected netwerk voor de security-kant van AI-governance
- Structurering van jouw AI-aanpak via het AI Foundationsmodel voor verantwoorde implementatie
We werken uitsluitend met professionals die hun vakmanschap hebben bewezen en geselecteerd zijn op kwaliteit. Geen hoge marges van tussenpartijen, wel de juiste expertise op het juiste moment. Wil je weten waar jouw organisatie nu staat? Neem contact op met onze specialisten en ontdek in vijf minuten waar de echte risico’s liggen.