AI-governance: wijs per risicobesluit een beslisser aan
Het relevante eigenaarschap zit in het besluit
De bruikbare vraag is niet wie alle AI-rollen draagt, maar wie een concrete keuze mag maken of terugdraaien: mag deze workflow met klantgegevens naar dit model, is menselijke controle nodig en wanneer gaat de workflow uit? NIST beschrijft governance- en oversighttaken als taken van actoren met management-, fiduciaire en juridische bevoegdheid en verantwoordelijkheid. Dat ondersteunt geen voorgeschreven organogram, maar wel het uitgangspunt dat bevoegdheid zichtbaar moet zijn bij het besluit.
Gebruik de vier functies als ordening, niet als afvinklijst
Het NIST AI RMF Playbook rangschikt suggesties onder Govern, Map, Measure en Manage. Die suggesties zijn vrijwillig en het Playbook is nadrukkelijk geen checklist die volledig moet worden gevolgd. Gebruik de functies daarom om één workflow te onderzoeken: bepaal het doel en de betrokkenen, beschrijf de datastroom en mogelijke schade, toets de output en beheer de uitkomst met een stop- of escalatiebesluit. De passende diepgang hangt af van de eigen toepassing en context.
Een besliskaart voor één AI-workflow
Maak voor de eerstvolgende wijziging een kaart met zes velden: het besluit, de beslisser, de betrokken workflow en data, het vereiste bewijs, de stopgrens en de herbeoordelingsdatum. Bijvoorbeeld: voordat een model klantmails mag opstellen, legt de producteigenaar vast welke evaluatievoorbeelden zijn bekeken; security krijgt een expliciete stopgrens bij een toegangsincident; na een model-, prompt- of databronwijziging volgt een nieuwe beoordeling. Gebruik als werkregel: "Leg per AI-workflow vast: beslissing, bevoegde eigenaar, gebruikte data, toetsbewijs, stopgrens en volgende herbeoordeling." Daarmee wordt een abstracte eigenaar een controleerbare handeling.
Wat een kaart niet oplost
De kaart maakt een besluit traceerbaar, maar levert geen mandaat, vakkennis of tijd op. "Een besliskaart vervangt geen mandaat, expertise of beschikbare tijd; oefen de stopgrens en pas de bewijslast aan op de mogelijke schade." Plan daarom bij een betekenisvolle workflow een korte oefening: laat de aangewezen beslisser een foutsignaal beoordelen, de workflow stoppen en vastleggen wat herstart vereist. Voor een eenvoudige interne toepassing kan dezelfde kaart kort blijven; de bronpassages geven geen universele drempels, wettelijke kwalificaties of garanties over uitkomsten.
