Een AI-project moet worden goedgekeurd door een combinatie van zakelijke, juridische en technische beslissers: minimaal de IT-verantwoordelijke, een privacy- of compliance-officer en een budgethouder op directieniveau. Welke rollen precies betrokken zijn, hangt af van de omvang van het project en het risiconiveau dat de AI-toepassing met zich meebrengt. De vragen hieronder helpen je om dat goedkeuringsproces concreet in te richten.
Welke rollen hebben formele beslissingsbevoegdheid over AI?
Bij de meeste organisaties liggen drie rollen aan de basis van formele beslissingsbevoegdheid over AI: de IT-manager of CTO die technische haalbaarheid en architectuur beoordeelt, de CFO of operationeel directeur die het zakelijke nut en de kosten weegt, en de Privacy Officer of DPO die toetst aan de AVG en de EU AI Act. Samen vormen zij het minimale goedkeuringsquorum voor een AI-project met enige reikwijdte.
Afhankelijk van het type toepassing komen daar aanvullende rollen bij. Een AI-agent die toegang heeft tot klantdata vraagt om betrokkenheid van de DPO. Een toepassing die geautomatiseerde besluiten neemt over medewerkers of klanten valt mogelijk onder de hoog-risico-categorie van de EU AI Act, waardoor ook een Compliance Officer en een juridisch adviseur formeel een rol spelen. Een IAM Specialist (Identity & Access Management) is relevant zodra de agent toegang krijgt tot meerdere systemen.
Wat in de praktijk vaak misgaat: de beslissingsbevoegdheid wordt informeel belegd bij de initiatiefnemer van het project, doorgaans een teamlead of IT-architect. Dat is geen goedkeuring, dat is een aanname. Governance voor AI vereist expliciete mandatering, niet impliciete instemming.
Wat maakt een AI-project anders dan een gewoon IT-project?
Een AI-project verschilt van een standaard IT-project doordat het gedrag van het systeem niet volledig voorspelbaar is vanuit de code alleen. Waar een traditioneel systeem doet wat het geprogrammeerd is te doen, leert of redeneert een AI-systeem op basis van data. Dat maakt de uitkomsten afhankelijk van de kwaliteit van die data en de context waarin het systeem wordt ingezet, niet alleen van de technische specificaties.
Concreet betekent dit drie dingen voor het goedkeuringsproces:
- Datakwaliteit is een randvoorwaarde, geen implementatiedetail. Een AI-agent die werkt met inconsistente of onvolledige data levert onbetrouwbare uitkomsten, ongeacht hoe goed de technologie zelf is.
- Compliance-verplichtingen zijn specifiek voor AI. De EU AI Act, die vanaf 2 augustus 2026 volledig van toepassing is voor hoog-risico-toepassingen, stelt eisen aan logging, herleidbaarheid en menselijk toezicht die niet gelden voor gewone software.
- Adoptie is geen vanzelfsprekendheid. Medewerkers die niet begrijpen wat een AI-systeem doet of waarom, werken er omheen. Dat ondermijnt de waarde van de investering.
Een AI-project vraagt daarmee om een bredere scope dan een IT-project: naast techniek en budget moeten ook data-architectuur, juridische kaders en verandermanagement onderdeel zijn van het goedkeuringsdossier.
Hoe ziet een goedkeuringsproces voor AI er in de praktijk uit?
Een werkbaar goedkeuringsproces voor AI bestaat uit vier opeenvolgende stappen: probleemdefiniëring, risicoklassificatie, toetsing door relevante stakeholders en formele besluitvorming met vastgelegde condities. Het proces is niet zwaarder dan nodig, maar licht genoeg om snel te doorlopen zonder de juiste vragen over te slaan.
Stap 1: Probleemdefiniëring en waardehypothese
Voordat een project ter goedkeuring wordt voorgelegd, moet de initiatiefnemer drie vragen beantwoorden: welk probleem los je op, voor wie, en hoe ziet succes eruit? Dit is de kern van een solide business case. Zonder dit antwoord is goedkeuring geen beslissing maar een gok.
Stap 2: Risicoklassificatie op basis van de EU AI Act
De EU AI Act verdeelt AI-toepassingen in risicocategorieën. Hoog-risico-toepassingen, zoals systemen die besluiten nemen over personen, vereisen uitgebreidere documentatie, logging en menselijk toezicht. Het vaststellen van de risicocategorie bepaalt welke rollen verplicht betrokken moeten zijn en welke documentatie aangeleverd moet worden.
Stap 3: Toetsing en formele besluitvorming
Na de risicoklassificatie toetsen de relevante beslissers elk vanuit hun eigen verantwoordelijkheid: IT op technische haalbaarheid en architectuur, Finance op kosten en zakelijk nut, Legal of DPO op AVG en AI Act-conformiteit. De uitkomst is een formeel besluit met vastgelegde condities: welke data mag worden gebruikt, welke beslissingen mag de AI zelfstandig nemen, en wat loopt altijd via een mens.
Wanneer is een stuurgroep of AI-commissie nodig?
Een stuurgroep of AI-commissie is nuttig zodra een organisatie meerdere AI-initiatieven tegelijk uitvoert, of wanneer een enkel project raakvlakken heeft met meerdere afdelingen, systemen of regelgeving. Voor een eenmalig, afgebakend experiment volstaat een ad-hoc goedkeuringsproces. Zodra AI structureel onderdeel wordt van de bedrijfsvoering, is een vaste governancestructuur de betere keuze.
Een AI-commissie heeft een aantal concrete voordelen ten opzichte van projectgebonden goedkeuring:
- Ze zorgt voor consistentie: dezelfde beoordelingscriteria gelden voor elk project.
- Ze voorkomt dat projecten in silo’s worden goedgekeurd zonder zicht op onderlinge afhankelijkheden.
- Ze biedt een vaste plek voor de vertaling van nieuwe regelgeving naar interne richtlijnen.
In de praktijk bestaat een effectieve AI-commissie uit vijf tot zeven leden: een voorzitter op directieniveau, vertegenwoordigers van IT, Legal, Finance en HR, en eventueel een externe specialist voor specifieke domeinen. De commissie vergadert op vaste momenten en hanteert een gestandaardiseerd beoordelingskader, zodat beslissingen herleidbaar zijn en niet afhankelijk van wie er toevallig aanwezig is.
Welke vragen moet een goedkeurende partij kunnen beantwoorden?
Een goedkeurende partij moet minimaal zes vragen kunnen beantwoorden voordat zij een AI-project accordeert. Deze vragen dekken samen de drie lagen die bepalen of een AI-project werkelijk waarde levert: de datalaag, de proceslaag en de menslaag.
- Op welke data draait dit systeem, en zijn die data schoon, eenduidig en beheerd? Een AI-agent die werkt met inconsistente data levert onbetrouwbare uitkomsten, ongeacht de technologie.
- Welke beslissingen neemt het systeem zelfstandig, en welke lopen altijd via een mens? Dit legt de grens vast tussen automatisering en menselijk toezicht, een verplichting onder de EU AI Act voor hoog-risico-toepassingen.
- Welke toegang heeft het systeem tot welke systemen en data, en is dat toegangsbeheer gelogd? Een AI-agent die onbedoeld toegang krijgt tot HR-data terwijl hij bedoeld is voor sales, is een governance-gat.
- Hoe tonen we achteraf aan wat het systeem heeft gedaan en waarom? Artikel 12 van de EU AI Act vereist automatische logging voor hoog-risico-AI, volledig van toepassing vanaf 2 augustus 2026.
- Hoe worden medewerkers voorbereid op het werken met dit systeem? Adoptie is geen bijzaak. Organisaties die hier niet in investeren, zien medewerkers het systeem omzeilen.
- Wat is het criterium voor succes, en wie is verantwoordelijk voor de evaluatie? Zonder meetbare doelstelling en eigenaarschap is er geen basis voor bijsturing.
Wat zijn veelgemaakte fouten bij het goedkeuren van AI-projecten?
De meest voorkomende fout bij het goedkeuren van AI-projecten is dat de beslissing wordt genomen op basis van technische mogelijkheden in plaats van zakelijke en organisatorische randvoorwaarden. Het project wordt goedgekeurd omdat de demo indrukwekkend was, niet omdat de datastructuren, het toegangsbeheer en de adoptieaanpak op orde zijn.
Andere veelgemaakte fouten zijn:
- Goedkeuring zonder eigenaarschap. Het project wordt geaccordeerd, maar niemand is formeel verantwoordelijk voor de uitkomsten na livegang. Evaluatie blijft dan uit.
- Compliance als afvinklijst. De DPO tekent een DPIA af, maar de vraag of het systeem ook in de praktijk voldoet aan de EU AI Act-eisen voor logging en herleidbaarheid, blijft onbeantwoord.
- Onderschatting van de mensenkant. Medewerkers worden pas betrokken bij de uitrol, niet bij de definitie van het probleem. Dat vergroot de kans op weerstand en laag gebruik.
- Goedkeuring van een pilot zonder exitcriteria. Een pilot zonder vastgesteld criterium voor opschaling of stopzetting eindigt zelden met een heldere beslissing. Het project blijft hangen in een permanente testfase.
- Governance die alleen op papier bestaat. Beleid in een document is geen governance. Werkende governance betekent dat de regels ook zichtbaar zijn in de dagelijkse praktijk en in de systemen.
Onderzoek laat zien dat meer dan 40% van de agentic AI-projecten voortijdig wordt gestopt. Vrijwel altijd door een gebrek aan governance en fundament, niet door de technologie zelf. Dat percentage daalt alleen als goedkeuring meer is dan een handtekening.
Hoe wij helpen met AI-governance
Wij zien bij veel organisaties hetzelfde patroon: er is enthousiasme voor AI, maar het goedkeuringsproces is niet ingericht op de specifieke eisen die AI-projecten stellen. Daardoor stranden projecten niet in de techniek, maar in de governance.
Vanuit ons netwerk van specialty partners helpen we je om dat concreet te maken:
- We brengen in kaart welk risiconiveau jouw AI-toepassing heeft en welke rollen formeel betrokken moeten zijn.
- We verbinden je aan specialisten op het gebied van AI-governance, compliance, data en change, afgestemd op jouw vraagstuk en organisatiegrootte.
- We helpen je een goedkeuringsproces voor jouw AI-vraagstuk in te richten dat werkbaar is, niet bureaucratisch, en dat aansluit op de eisen van de EU AI Act en de AVG.
- We werken transparant: je betaalt geen hoge marges aan tussenpartijen, maar werkt direct samen met de specialist die jouw project uitvoert.
Wil je weten waar jouw organisatie nu staat op het gebied van AI-governance? Doe de gratis AI Foundationsmodel Quick Scan voor jouw organisatie en ontdek in vijf minuten waar de risico’s liggen. Of neem direct contact op voor een kennismaking; we plannen graag iets in.