“Governance” klinkt als iets voor enterprises. Bestuurlijke regelgeving, commissies, compliance-officers. Voor een mkb overkill — tot er iets misgaat. Een medewerker die klantdata in ChatGPT plakt. Een chatbot die onjuiste beloftes doet. Een AI-gegenereerd voorstel met feitelijke fouten.
Dit zijn geen theoretische risico’s. Het zijn echte incidenten die we in 2025-2026 zien. En ze zijn bijna altijd voorkomen door eenvoudige governance-afspraken.
Wat AI-governance voor een mkb inhoudt
AI-governance is de afspraak wie wat mag doen met AI in je organisatie, en wie daarvoor verantwoordelijk is.
Niet meer dan dat. Voor een mkb past het op 2 pagina’s.
De vier kernrollen
1. AI-eigenaar (1 persoon)
Verantwoordelijkheid: overall verantwoordelijk voor AI in de organisatie.
Wie: directeur, COO of CTO — iemand op strategisch niveau met mandaat. Niet IT-medewerker die “er wel iets van snapt”.
Taken:
- Jaarlijkse AI-strategie review
- Goedkeuring van nieuwe AI-tools boven een bepaald budget
- Eindverantwoordelijk bij incidenten
- Rapporteert aan MT
Tijd: 4-8 uur per maand.
2. AI-operationeel leider (1-2 personen)
Verantwoordelijkheid: dagelijks AI-gebruik in goede banen leiden.
Wie: vaak een senior uit marketing, operations of product.
Taken:
- Eerste aanspreekpunt voor vragen uit team
- Tool-evaluatie en onboarding
- Maandelijkse monitoring van AI-gebruik
- Training en documentatie
Tijd: 1-2 dagen per week, schalend met organisatie-grootte.
3. AI-champions (1 per afdeling)
Verantwoordelijkheid: AI-expertise in hun afdeling.
Wie: early adopters, mensen die al met AI werken.
Taken:
- Eerste vraagbaak in hun afdeling
- Pilot-ideeën van collega’s vertalen naar voorstellen
- Feedback naar AI-operationeel leider over wat werkt/niet
Tijd: 2-4 uur per week bovenop reguliere taken.
4. Compliance-verantwoordelijke (1 persoon of extern)
Verantwoordelijkheid: juridische en privacy-risico’s afdekken.
Wie: vaak bestaande FG of juridisch adviseur. Kan extern zijn.
Taken:
- EU AI Act en AVG-compliance bewaken
- DPIA’s bij nieuwe AI-tools
- Incident response bij data-lekken
Tijd: 2-4 uur per maand.
De AI-policy (1-2 pagina’s)
Een praktische AI-policy voor mkb bevat:
1. Toegestane tools
Expliciete lijst. Bijvoorbeeld:
- ✅ ChatGPT Pro (zakelijke account, niet persoonlijk)
- ✅ Claude Pro (zakelijke account)
- ✅ Microsoft Copilot voor 365
- ✅ Gemini Pro
- ❌ Persoonlijke AI-accounts met bedrijfsdata
- ❌ Browser-extensies zonder goedkeuring
2. Toegestane data
Expliciet welke data wel/niet in AI-tools mag:
- ✅ Publieke informatie, marketingteksten
- ✅ Samengevatte bedrijfsdata (geen persoonsgegevens)
- ⚠️ Klantdata alleen in tools met DPA (ChatGPT Team, Claude for Business)
- ❌ Persoonsgegevens in publieke/gratis tools
- ❌ Wachtwoorden, API-keys, financiële gegevens
3. Output-verantwoordelijkheid
Wie accepteert AI-output?
- Marketing-content: eindredacteur checkt
- Klantgerichte communicatie: afdelingshoofd valideert
- Technische documentatie: specialist reviewt
- Financiële cijfers: altijd handmatige controle
4. Wat te doen bij twijfel
Eén telefoonnummer/mailadres: de AI-operationeel leider. Bij twijfel altijd vragen voordat je iets deelt of publiceert.
5. Incident response
Bij vermoeden van lek of verkeerde output: direct melden bij compliance-verantwoordelijke. 24u-review. Documentatie.
Waar het fout gaat
Drie patronen uit onze praktijk:
Fout 1: Shadow-AI. Medewerkers gebruiken AI-tools zonder dat organisatie weet. Data-lek is een kwestie van tijd. Fix: duidelijke policy + training, niet verbod.
Fout 2: Overcompliance. Alles verbieden uit voorzorg. Gevolg: medewerkers gebruiken AI alsnog, nu in persoonlijke accounts. Veel risicovoller. Fix: pragmatisch toestaan wat veilig is.
Fout 3: Papieren tijger. Policy geschreven, nooit gecommuniceerd, nooit gehandhaafd. Fix: jaarlijkse training + quarterly check-ins.
Templates en tools
Een basis-policy hoeft geen duizend euro te kosten. Start met:
- Kopieer een bestaand sjabloon (AP Nederland biedt er een)
- Pas aan voor jouw tools en data-types
- Review door jurist of FG
- Communiceer aan team
Voor structurele governance: tools als Drata of Vanta bieden AI-governance modules, maar zijn pas zinvol vanaf 100+ FTE.
Verbonden met EU AI Act
Governance-basis maakt EU AI Act-compliance makkelijker. De Act vereist o.a. transparantie, risico-evaluatie, menselijke oversight. Een goede governance-structuur dekt automatisch veel van deze vereisten.
Zie EU AI Act voor mkb.
Verder
Governance-opzet voor jouw organisatie? Bel 06 81 38 36 01 of plan een gesprek.
Tags
Geschreven door
Jorian Wientjens
Developer en technisch specialist bij Agensea. Bouwt al jaren websites en maatwerk software, en kent het hele speelveld — van hosting en DNS tot performance en code-architectuur.