Uw AI-governanceplan heeft een nachtdienstprobleem

Stel u zich voor dat een AI-werkstroom om 02:13 uur een uitzondering signaleert. Het systeem heeft precies gedaan wat het governanceplan vroeg: het is gestopt en heeft een mens ingeschakeld. Er is slechts één probleem. De persoon die bevoegd is om de beslissing te nemen, begint om negen uur met werken.

Dat gat is van belang in elke operatie die buiten kantooruren draait. Een beleid kan een eigenaar toewijzen en een duidelijke escalatielijn schetsen. Om 02:00 uur helpt geen van beide als de enige persoon die de oproep begrijpt of de toestemming heeft om te handelen, offline is.

Beschikbaarheid moet dus in de controle zelf worden ingebouwd. Voor een systeem dat ’s nachts draait, zijn de praktische vragen duidelijk: wie dekt, wat ze mogen beslissen, wat ze moeten zien, en wat er gebeurt als niemand reageert? Het antwoord moet bovendien een ploegwissel kunnen doorstaan.

Regelgeving heeft een klok. Operaties hebben er meerdere.

De regelgevingskalender geeft het vraagstuk een tijdig voordeel. Op 2 augustus 2026 the European Commission’s AI Office en nationale autoriteiten begonnen met het handhaven van de toepasselijke bepalingen van de AI Act, en nieuwe transparantieregels traden in werking.

Die datum mag niet worden uitgerekt tot de bewering dat alle verplichtingen voor hoog-risico AI in één keer afdwingbaar werden. Het huidige schema van de Commissie stelt regels voor Annex‑III hoog-risico systemen op 2 december 2027, en regels voor hoog-risico AI ingebed in gereguleerde producten volgen op 2 augustus 2028.

Het beperktere operationele punt is toch bruikbaarder. Governance‑vereisten verschuiven van beleidswerk naar handhaving, terwijl de systemen die worden beheerd al ’s nachts, in het weekend en over tijdzones heen draaien. Een controle die is ontworpen rond een maandag‑tot‑vrijdag organisatiestructuur zal uiteindelijk een uitzondering op zaterdagochtend tegenkomen.

Veel governance‑plannen beschrijven die confrontatie niet. Ze geven aan wie het systeem bezit, wie een use‑case goedkeurt en welke commissie risico beoordeelt. Dat zijn noodzakelijke beslissingen. Ze vertellen de nachtopdraaier niet of de transactie zeven uur in de wacht moet blijven, of een on‑call analist deze kan vrijgeven, of wie het risico accepteert als de wachtrij blijft groeien.

Het beleid heeft een naam in een vakje. De operatie heeft een persoon die de klok bijhoudt nodig.

Een mens in de lus veronderstelt een rooster

Unite.AI heeft al aangetoond dat een echte validatiepoort betekenisvolle zichtbaarheid en controle vereist. De beoordelaar moet de voorgestelde actie en de reden waarom het systeem stopte kunnen zien. Belangrijker nog, het scherm moet hen in staat stellen iets nuttigs te doen: het goedkeuren, wijzigen, afwijzen of het proces afsluiten.

Dekking is het volgende ontwerpprobleem. Een goed ontworpen beoordelingsscherm kan niet helpen wanneer de enige geschikte beoordelaar slaapt, met verlof is of in een andere regio werkt zonder formele overdracht.

Hier wordt de uitdrukking “human in the loop” te vaag. Ze kan verschillende functies verbergen. De workflow‑eigenaar is verantwoordelijk voor hoe het proces functioneert, terwijl de reviewer in dienst de uitzondering interpreteert en ontbrekende context verzamelt. Een vakspecialist beoordeelt het domeinrisico. Een goedkeurder heeft de bevoegdheid om de voorgestelde actie toe te staan, te wijzigen of te stoppen. Wanneer de uitzondering een bredere storing signaleert, coördineert een incident‑eigenaar de respons.

Het combineren van rollen is niet per definitie een probleem. Bij een workflow met laag risico kan het de meest eenvoudige opzet zijn. Maar leg het vast. De analist die de output van een model begrijpt, kan nog steeds niet de toestemming hebben om een grote betaling vrij te geven, een veiligheidslimiet te overschrijven of een actie goed te keuren die klanten beïnvloedt.

Het NIST AI Risk Management Framework is hier nuttig omdat het governance beschouwt als een operationele structuur. De Govern‑functie vraagt om duidelijke rollen, verantwoordelijkheden en communicatielijnen, met de juiste personen bevoegd, verantwoordelijk en getraind. Het vereist ook dat processen voor menselijk toezicht worden gedefinieerd, beoordeeld en gedocumenteerd. “Een mens zal het beoordelen” voldoet niet aan die helderheidsnorm.

Bepaal wat ‘gekwalificeerd’ betekent voordat de waarschuwing arriveert

In dienst zijn maakt iemand niet automatisch klaar om te beslissen. Ze kennen het bedrijfsproces misschien goed, maar hebben nog steeds geen basis om deze specifieke modeluitzondering te beoordelen.

Kwalificatie moet worden gedefinieerd ten opzichte van de beslissing, niet ten opzichte van een brede functietitel. Een organisatie kan eisen dat een beoordelaar het doel van de workflow begrijpt, het bewijs dat het systeem toont, de grenzen van het model, de relevante beleidsdrempel en de consequenties van elke beschikbare actie. Sommige rollen hebben mogelijk actuele training, een certificering of recente supervisie‑praktijk nodig.

Recente ervaring telt. Een persoon die twee jaar geleden een training heeft afgerond, kan nog steeds gekwalificeerd lijken in een statische spreadsheet, hoewel het model, de interface en de escalatieregels sindsdien twee keer zijn gewijzigd. De governance‑vraag is of het bewijs van gereedheid nog steeds overeenkomt met de huidige workflow.

Bevoegdheid moet afzonderlijk worden vastgelegd. Denk aan een fraude‑analist die kan uitleggen waarom een transactie is gemarkeerd. Die analist kan volledig gekwalificeerd zijn om het bewijs te beoordelen, maar niet bevoegd om de betaling boven een bepaald bedrag vrij te geven. De beslissing ‘s nachts hangt dan af van twee vormen van dekking: iemand die het oordeel kan vellen en iemand die de actie mag autoriseren.

Dit onderscheid voorkomt een veelvoorkomende fout. Teams vinden een deskundig persoon, beschouwen die beschikbaarheid als volledige dekking en ontdekken tijdens een incident dat die persoon de vereiste stap niet kan nemen. De escalatie loopt vervolgens omhoog totdat deze iemand bereikt die zowel gekwalificeerd als bevoegd is, vaak nadat de operationele deadline is verstreken.

Een bruikbare definitie van dekking begint met vier vragen. Wat moet de beoordelaar weten? Welk bewijs bevestigt dat? De beoordelaar heeft ook een gedefinieerde beslissingslimiet nodig. Ten slotte, wanneer verloopt die toestemming of moet deze opnieuw worden beoordeeld? Als die antwoorden in verschillende systemen staan, moet het escalatieproces ze eerst op elkaar afstemmen voordat de case wordt toegewezen.

Geef de beoordelaar bevoegdheid en het systeem een veilige standaard

Een beoordelaar buiten kantooruren heeft meer nodig dan alleen een melding. De waarschuwing moet worden geleverd met de voorgestelde actie, de bronnen of gegevens die eraan ten grondslag liggen, de uitzondering die de beoordeling heeft geactiveerd, de beschikbare tijd en de gevolgen van vertraging. Daarnaast moet worden weergegeven wat de beoordelaar mag doen.

Die toestemmingen moeten grenzen hebben. Mag de beoordelaar de actie zoals voorgesteld goedkeuren of bewerken? Afwijzing kan permanent zijn, of alleen de case terugsturen naar een wachtrij. Verschillende soortgelijke uitzonderingen kunnen ook rechtvaardigen dat de bredere workflow wordt gestopt. De laatste grens is het moment waarop een tweede goedkeurder moet worden ingeschakeld.

Deze vragen horen bij het ontwerp van runtime‑controles voor AI‑agenten, niet in een spoeddiscussie nadat de wachtrij al is gevormd. Pauze-, quarantaine- en beperkte‑toestemmingsstatussen bieden operationele teams een veilige plek om onzeker werk te plaatsen. Telemetrie‑ en audit‑records laten zien wat er gebeurde terwijl het proces wachtte.

Het moeilijkste geval is geen reactie. Elke beheerde workflow heeft een vooraf goedgekeurd antwoord nodig voor die situatie. Afhankelijk van het risico kan het systeem de actie vasthouden, in de wachtrij plaatsen voor de volgende gekwalificeerde shift, doorgaan in een gereduceerde modus of het getroffen proces stoppen. Een klanten‑ondersteuningssysteem kan een ongewoon grote terugbetaling pauzeren terwijl routine‑verzoeken doorgaan. Een workflow voor productiekwaliteit kan een twijfelachtige batch in quarantaine plaatsen in plaats van de lijn stilzwijgen als goedkeuring te laten beschouwen.

Stilte kan niet als goedkeuring tellen.

Delegatie werkt alleen met leuningen. Leg vast wie de bevoegdheid heeft doorgegeven, wie deze heeft ontvangen, welke oproepen het dekt, wanneer het verloopt en eventuele limieten. Zonder dat spoor is het proces buiten kantooruren slechts een reeks berichten die later onmogelijk te reconstrueren is.

Shift‑overdracht maakt deel uit van de controle

Sommige uitzonderingen duren langer dan een shift. De vertrekkende beoordelaar kan bewijs hebben verzameld, een specialist hebben geraadpleegd en een optie hebben uitgesloten zonder tot een definitieve beslissing te komen. Een ticketnummer en een haastige notitie vormen geen degelijke overdracht. De volgende beoordelaar verspilt kostbare tijd aan het reconstrueren van werk dat al is uitgevoerd.

Dit is geen nieuw probleem. Veiligheidskritische operaties beschouwen overdracht al lange tijd als een eigen taak. De UK Health and Safety Executive beschrijft effectieve shift‑overdracht als een driefasig proces: voorbereiding door vertrekkend personeel, een uitwisseling van taak‑relevante informatie en een kruiscontrole door inkomend personeel wanneer zij de verantwoordelijkheid overnemen. De richtlijnen geven de voorkeur aan tweerichtingscommunicatie ondersteund door schriftelijke en mondelinge informatie, met voldoende tijd en middelen om de taak uit te voeren.

Een AI‑uitzonderingsoverdracht vereist dezelfde discipline, aangepast aan de workflow. Het record moet de voorgestelde actie, het door het systeem gepresenteerde bewijs, de reden voor escalatie, reeds ondernomen stappen, uitgesloten opties, resterende tijd en de huidige risiconiveau bevatten. Daarnaast is een benoemd eigenaarschap aan beide kanten van de overdracht nodig.

Het belangrijkste onderdeel is de bevestiging. Een logboek kan aantonen dat informatie is vastgelegd. Het kan echter niet bewijzen dat de binnenkomende beoordelaar de status van de case heeft begrepen of de verantwoordelijkheid voor de volgende beslissing heeft aanvaard. Een kruiscontrole biedt de binnenkomende persoon de mogelijkheid om ontbrekend bewijs te betwisten, de deadline te bevestigen en de volgende toegestane actie opnieuw te formuleren.

Interface‑ontwerp is hier van belang. Een overdrachtscherm mag de redenatie van het model, de notities van de mens en de toestemmingsstatus niet verbergen in afzonderlijke tabbladen. De binnenkomende beoordelaar moet kunnen zien wat er tijdens de vorige shift is veranderd en welke feiten nog gecontroleerd moeten worden. Anders creëert elke overdracht een nieuwe kans dat context verdwijnt.

Breng gekwalificeerde dekking in kaart over shifts

De meeste teams kunnen een lijst maken van personen die bij een AI‑workflow betrokken zijn. Minder teams kunnen aantonen dat elke operationele periode de juiste mix van kennis en bevoegdheid heeft.

Het praktische startpunt is een rol‑per‑shift overzicht. Bouw het overzicht rond daadwerkelijke beslissingen, niet rond namen op een rooster. Leg voor elke mogelijke escalatie vast welke kennis vereist is, hoe de huidige competentie wordt aangetoond en welke bevoegdheid nodig is om te handelen. Leg dit vervolgens af tegen de personen die nachten, weekenden en feestdagen dekken.

Een vaardigheden- of competentiematrix kan het personeelsrisico zichtbaar maken door het in kaart brengen van gekwalificeerde dekking over diensten, rollen en locaties voordat een uitzondering optreedt. De matrix kan onthullen dat één persoon de enige huidige kwalificatie heeft voor een kritische beoordeling, dat een certificering verloopt tijdens een geplande inzet of dat een weekenddienst technische expertise heeft maar geen eindgoedkeurder.

De hiaten worden concreet. Die zichtbaarheid bewijst echter niet dat iemand het werk kan uitvoeren, omdat aantoonbare praktijk, actuele training en geobserveerde beslissingen nog steeds van belang zijn, en een matrix geen wettelijke of organisatorische autoriteit kan verlenen. De taak ervan is beperkter: laten zien waar het dekkingsmodel steunt op aannames, verouderde gegevens of één enkele persoon.

Zodra de hiaten zichtbaar zijn, hebben teams keuzes. Ze kunnen een andere beoordelaar cross‑trainen, de on‑call dekking aanpassen, de permissies van de nachtelijke workflow beperken of de veilige fallback wijzigen totdat de dekking verbetert. De juiste reactie hangt af van de consequentie van vertraging en de consequentie van een verkeerde beslissing. Een low‑risk wachtrij kan wachten. Een veiligheidsgerelateerde uitzondering kan onmiddellijke specialistische dekking of een harde stop vereisen.

Dekking moet ook worden getest, niet alleen gedocumenteerd. Voer een oefening buiten kantooruren uit. Activeer een representatieve uitzondering, volg het escalatiepad en meet of de toegewezen persoon voldoende context krijgt om binnen de toegestane tijd te handelen. Herhaal vervolgens de test over een dienstwissel. Papierdekking lijkt vaak geruststellend totdat het eerste bericht naar een verouderd telefoonnummer gaat of bij iemand terechtkomt wiens goedkeuringslimiet te laag is.

Voer de Nachtdiensttest uit

Enterprise governance is al afhankelijk van gedefinieerde eigenaren en escalatieroutes. De nacht‑diensttest controleert of die structuren bruikbaar blijven wanneer de gebruikelijke personen niet achter hun bureau zitten.

Begin met een echte workflow en één plausibele uitzondering. Vraag wie de melding ontvangt op het minst handige uur. Bevestig dat die persoon gekwalificeerd is voor dat exacte oordeel, controleer vervolgens wat hij/zij kan goedkeuren, wijzigen, stoppen of delegeren. Volg de geen‑reactie‑route. Draag tenslotte het onopgeloste geval mee over een dienstwissel en kijk of de binnenkomende beoordelaar de status kan uitleggen zonder het onderzoek opnieuw op te bouwen.

De test zal meestal alledaagse problemen blootleggen: een rol zonder on‑call rooster, een kwalificatierecord die niet overeenkomt met het huidige model, een goedkeurder wiens limiet te laag is of een overdracht die notities overbrengt zonder eigendom over te dragen. Alledaags is goed. Dit zijn oplosbare operationele problemen, mits ze worden gevonden voordat een live‑uitzondering ze onder tijdsdruk zet.

Een AI‑workflow kan de hele nacht draaien. Het governance‑model moet hetzelfde doen.