“Governance” klinkt als iets voor enterprises. Bestuurlijke regelgeving, commissies, compliance-officers. Voor een mkb overkill, tot er iets misgaat. Een medewerker die klantdata in ChatGPT plakt. Een chatbot die onjuiste beloftes doet. Een AI-gegenereerd voorstel met feitelijke fouten.
Dit zijn geen theoretische risico’s. Met eenvoudige governance-afspraken zijn ze vaak te voorkomen.
Wat AI-governance voor een mkb inhoudt
AI-governance is de afspraak wie wat mag doen met AI in je organisatie, en wie daarvoor verantwoordelijk is.
Niet meer dan dat. Voor een mkb past het op 2 pagina’s.
De vier kernrollen
1. AI-eigenaar (1 persoon)
Verantwoordelijkheid: overall verantwoordelijk voor AI in de organisatie.
Wie: directeur, COO of CTO. Iemand op strategisch niveau met mandaat. Niet IT-medewerker die “er wel iets van snapt”.
Taken:
- Jaarlijkse AI-strategie review
- Goedkeuring van nieuwe AI-tools boven een bepaald budget
- Eindverantwoordelijk bij incidenten
- Rapporteert aan MT
Tijd: 4-8 uur per maand.
2. AI-operationeel leider (1-2 personen)
Verantwoordelijkheid: dagelijks AI-gebruik in goede banen leiden.
Wie: vaak een senior uit marketing, operations of product.
Taken:
- Eerste aanspreekpunt voor vragen uit team
- Tool-evaluatie en onboarding
- Maandelijkse monitoring van AI-gebruik
- Training en documentatie
Tijd: 1-2 dagen per week, schalend met organisatie-grootte.
3. AI-champions (1 per afdeling)
Verantwoordelijkheid: AI-expertise in hun afdeling.
Wie: early adopters, mensen die al met AI werken.
Taken:
- Eerste vraagbaak in hun afdeling
- Pilot-ideeën van collega’s vertalen naar voorstellen
- Feedback naar AI-operationeel leider over wat werkt/niet
Tijd: 2-4 uur per week bovenop reguliere taken.
4. Compliance-verantwoordelijke (1 persoon of extern)
Verantwoordelijkheid: juridische en privacy-risico’s afdekken.
Wie: vaak bestaande FG of juridisch adviseur. Kan extern zijn.
Taken:
- EU AI Act en AVG-compliance bewaken
- DPIA’s bij nieuwe AI-tools
- Incident response bij data-lekken
Tijd: 2-4 uur per maand.
De AI-policy (1-2 pagina’s)
Een praktische AI-policy voor mkb bevat:
1. Toegestane tools
Expliciete lijst. Bijvoorbeeld:
- Wel: ChatGPT Business of Enterprise (zakelijk account, niet persoonlijk)
- Wel: Claude Team of Enterprise (zakelijk account)
- Wel: Microsoft 365 Copilot
- Wel: Gemini in Google Workspace (zakelijk account)
- Niet: Persoonlijke AI-accounts met bedrijfsdata
- Niet: Browser-extensies zonder goedkeuring
2. Toegestane data
Expliciet welke data wel/niet in AI-tools mag:
- Wel: Publieke informatie, marketingteksten
- Wel: Samengevatte bedrijfsdata (geen persoonsgegevens)
- Alleen onder voorwaarden: Klantdata alleen in tools met een verwerkersovereenkomst (ChatGPT Business, Claude Team of Enterprise)
- Niet: Persoonsgegevens in publieke/gratis tools
- Niet: Wachtwoorden, API-keys, financiële gegevens
3. Output-verantwoordelijkheid
Wie accepteert AI-output?
- Marketing-content: eindredacteur checkt
- Klantgerichte communicatie: afdelingshoofd valideert
- Technische documentatie: specialist reviewt
- Financiële cijfers: altijd handmatige controle
4. Wat te doen bij twijfel
Eén telefoonnummer/mailadres: de AI-operationeel leider. Bij twijfel altijd vragen voordat je iets deelt of publiceert.
5. Incident response
Bij vermoeden van lek of verkeerde output: direct melden bij compliance-verantwoordelijke. 24u-review. Documentatie.
Waar het fout gaat
Drie patronen om op te letten:
Fout 1: Shadow-AI. Medewerkers gebruiken AI-tools zonder dat organisatie weet. Data-lek is een kwestie van tijd. Fix: duidelijke policy + training, niet verbod.
Fout 2: Overcompliance. Alles verbieden uit voorzorg. Gevolg: medewerkers gebruiken AI alsnog, nu in persoonlijke accounts. Veel risicovoller. Fix: pragmatisch toestaan wat veilig is.
Fout 3: Papieren tijger. Policy geschreven, nooit gecommuniceerd, nooit gehandhaafd. Fix: jaarlijkse training + quarterly check-ins.
Templates en tools
Een basis-policy hoeft geen duizend euro te kosten. Start met:
- Kopieer een bestaand sjabloon
- Pas aan voor jouw tools en data-types
- Review door jurist of FG
- Communiceer aan team
Voor structurele governance: tools als Drata of Vanta bieden AI-governance modules, maar die zijn vooral zinvol voor grotere organisaties.
Verbonden met EU AI Act
Governance-basis maakt EU AI Act-compliance makkelijker. De Act vereist o.a. transparantie, risico-evaluatie, menselijke oversight. Een goede governance-structuur helpt bij veel van deze vereisten.
Zie EU AI Act voor mkb.
Verder
Governance-opzet voor jouw organisatie? Bel 06 81 38 36 01 of plan een gesprek.
Tags
Geschreven door
Agensea
Het team van Agensea: websites en software op maat en online marketing, vanuit Zeeland.