CEO-led AI vraagt om risicobesluiten, geen zichtbare CEO bij elke pilot
Maak de directie eigenaar van de risicokeuze
De bruikbare keuze is niet dat de CEO iedere AI-pilot uitvoert, maar dat de directie expliciet beslist over de risico's die een toepassing mag dragen. De NIST AI RMF stelt dat executive leadership verantwoordelijkheid neemt voor besluiten over risico's bij ontwikkeling en inzet van AI-systemen. De bijbehorende toelichting richt zich op organisaties met een AI-portfolio: senior leiders horen AI-risico's te kennen, de risicobereidheid te bevestigen en die risico's te beheren. Dat is een governance-opdracht; de bron schrijft niet voor welke CEO, sector of budgetformule daarbij past. Voor een directieteam betekent dit dat een project pas verdergaat wanneer iemand de risicokeuze kan dragen. Een team kan de toepassing bouwen of inkopen, maar de directie bewaakt de grens waar een lokale proef een organisatiebesluit wordt: bijvoorbeeld door klantimpact, gebruik van gevoelige informatie, afhankelijkheid van een leverancier of gevolgen voor een kernproces.
Leg rollen vast voordat de pilot groter wordt
Een naam op een organogram is onvoldoende als niemand weet wie risico's in kaart brengt, meet of beheert. NIST vraagt dat rollen, verantwoordelijkheden en communicatielijnen rond die drie activiteiten zijn gedocumenteerd en helder zijn voor mensen en teams in de organisatie. Dezelfde kerntekst noemt ook training voor personeel en partners, zodat zij hun taken volgens beleid, procedures en afspraken kunnen uitvoeren. Dit onderbouwt een minimum voor de inrichting: wijs een besliseigenaar aan, maak duidelijk wie controleert en bepaal waar een team escaleert. Het bewijst niet dat één standaardrollenmodel voor elke organisatie werkt. Houd de afspraak proportioneel. Een afgebakende interne proef vraagt niet automatisch dezelfde besluitvorming als een toepassing die bedrijfsbreed wordt uitgerold. De nuttige directievraag is daarom: welke rol beslist bij afwijkende uitkomsten of nieuw risico, en is die route voor het team begrijpelijk?
Een beslisregister dat een directiebesluit zichtbaar maakt
Gebruik één register per toepassing, geen algemene governanceverklaring. Noteer de toepassing, de besliseigenaar, het relevante risico, de afgesproken controle, het moment van herbeoordeling en het vervolgbesluit. Zo wordt zichtbaar welke keuze de directie werkelijk heeft gemaakt en welke informatie nog ontbreekt. De NIST-playbooktekst koppelt accountability aan een specifiek team en individu voor AI-risicobeheer en noemt dat sommige organisaties daarvoor bevoegdheid en middelen, waaronder budget, toekennen. Dat is steun voor expliciet eigenaarschap en middelen; het is geen bewijs voor een vast ROI-doel of verplichte organisatiestructuur. Praktisch artefact: Noteer per AI-toepassing de besliseigenaar, het geaccepteerde risico, de controlemaatregel, het herbeoordelingsmoment en het stop-, schaal- of aanpassingsbesluit. Begin met één toepassing die een teamgrens of klantproces raakt en bespreek het register in het eerstvolgende relevante directieoverleg. Beperking: de aangeleverde NIST-passages gaan over AI-risicomanagement en beschrijven geen individuele juridische, financiële of professionele beoordeling, noch een gegarandeerde bedrijfswaarde. Gebruik het register daarom als besluit- en controlemiddel; laat toepasselijke wettelijke, contractuele en sectorspecifieke eisen afzonderlijk toetsen.
