De groeiende kloof tussen AI-beleid en de handhaving ervan in de praktijk

AI heeft niet één allesomvattend regelboek

AI wordt in steeds meer sectoren en toepassingen ingezet, sneller dan het beleid en de bestuurskaders die nodig zijn om toezicht te houden zich kunnen ontwikkelen. Historisch gezien vielen AI-toepassingen grotendeels onder bestaande regels voor consumentenbescherming, privacy en specifieke sectoren, naast het interne beleid van bedrijven. Overheden voeren nu specifieke eisen voor AI in, maar die zijn versnipperd en bieden vaak weinig houvast voor de manier waarop systemen daadwerkelijk moeten werken. Bedrijven moeten daarom externe eisen zien te verenigen met hun eigen risicotolerantie, productdoelstellingen en operationele realiteit.

De EU handhaaft nu actief delen van de AI Act, terwijl het federale beleid in de VS nadrukkelijk de voorkeur geeft aan een minder belastend landelijk kader. Executive Order 14365 beoogt tegenstrijdige eisen van afzonderlijke staten te beperken, terwijl die staten in 2025 meer dan 1.000 AI-gerelateerde maatregelen invoerden. Elk van deze overheden schetst een andere koers, en de bedrijven die de systemen ontwikkelen en inzetten moeten die uiteenlopende benaderingen met elkaar zien te verenigen.

Maar regelgeving vaststellen is slechts een deel van de uitdaging. Naarmate AI in meer toepassingen en contexten wordt ingezet, moeten bedrijven brede eisen en intern beleid vertalen naar operationele beheersmaatregelen en afzonderlijke AI-beslissingen. Geen enkel regelgevend kader kan op elke toepassing, context of afweging vooruitlopen. Organisaties moeten daarom een lijn kunnen volgen van de geldende eisen en het interne beleid naar het gedrag van systemen, meetbare resultaten en audits of beoordelingen. Het NIST AI Risk Management Framework hanteert een vergelijkbare benadering: het legt de nadruk op voortdurende meting en beheersing, in plaats van governance te beschouwen als een op zichzelf staande nalevingsoefening. Eisen werken door naar de uitvoering en bewijs stroomt terug naar boven: toezichthouders en bestuurders kunnen de gewenste resultaten bepalen, maar organisaties moeten aantonen of hun systemen die resultaten daadwerkelijk opleveren.

Hierdoor komt een groot deel van de praktische verantwoordelijkheid voor AI-governance te liggen bij de organisaties die deze systemen inzetten.

Governance wordt lastig bij de implementatie

Regelgeving en bestuurskaders bepalen doorgaans principes, verplichtingen en gewenste resultaten. Productiesystemen moeten die echter vertalen naar afzonderlijke beslissingen, en juist daar wordt governance lastig. Een beleidsregel kan voorschrijven dat discriminatie moet worden voorkomen, gebruikers moeten worden beschermd, transparantie moet worden geboden of zinvol menselijk toezicht mogelijk moet zijn. Een operationeel systeem moet echter veel specifiekere vragen beantwoorden: bij welke drempelwaarde grijpt het in, op basis van welk bewijs en met welke mate van zekerheid, wanneer is menselijke beoordeling vereist, wat wordt vastgelegd en wat gebeurt er als het systeem onzeker is?

Toezichthouders verwachten zulke antwoorden al. De FTC, DOJ, CFPB en EEOC verklaarden gezamenlijk dat ze hun bestaande bevoegdheden zullen inzetten om toezicht te houden op geautomatiseerde systemen. Dat betekent dat uiteindelijk iemand een bedrijf zal vragen uit te leggen hoe het systeem beslissingen neemt.

Neem een platform met een helder beleid tegen intimidatie. Een bericht met krachttermen kan onschuldige plagerij tussen vrienden zijn, terwijl een ogenschijnlijk onschuldig bericht deel kan uitmaken van een langdurige campagne tegen een andere gebruiker. Het systeem moet bepalen welke context het betrouwbaar kan gebruiken, hoeveel bewijs nodig is om in te grijpen en welke maatregel passend is: het bericht blokkeren, de afzender waarschuwen, het voor menselijke beoordeling doorsturen of niets doen. Door de detectiedrempel te verlagen, kan meer schadelijk gedrag worden opgespoord, maar wordt ook legitieme communicatie onderdrukt. Menselijke beoordeling verplicht stellen kan tot betere afwegingen leiden, maar vertraagt het ingrijpen. Geen van deze beslissingen ligt vast in een algemeen beleid dat intimidatie verbiedt, maar samen bepalen ze hoe dat beleid daadwerkelijk wordt gehandhaafd.

Geen enkel beleidsdocument legt deze afwegingen vooraf vast. Iemand binnen het bedrijf moet ze dus maken, documenteren en opnieuw beoordelen. Die persoon schrijft in feite beleid, of dat nu in het organogram staat of niet.

Wat verantwoorde AI in de praktijk vereist

Als de mensen die een systeem implementeren in feite ook het beleid schrijven, kan verantwoorde AI niet worden afgedaan als een intentieverklaring: ze moet tot uiting komen in het dagelijkse gedrag van het systeem. Dat betekent dat je in de loop der tijd moet beheren hoe AI wordt gebruikt, gemeten en bijgestuurd, en niet alleen beleid moet goedkeuren of een eerste evaluatie moet doorstaan. In de praktijk zijn vooral drie ideeën van belang, die elk voortvloeien uit de hierboven beschreven afwegingen:

• De mate van governance moet in verhouding staan tot de mogelijke gevolgen. Een AI-systeem dat tekstsuggesties doet, een lening goedkeurt, een beveiligingsdreiging signaleert of een medische beslissing ondersteunt, brengt heel verschillende risico’s met zich mee. Organisaties moeten bepalen waar strengere beheersmaatregelen, beoordeling en toezicht nodig zijn, uitgaande van de mogelijke gevolgen.
• Nauwkeurigheid alleen is niet voldoende. Verschillende fouten brengen verschillende kosten met zich mee. Een onterechte melding bij moderatie kan legitieme uitingen onderdrukken, terwijl een fout bij kredietverlening, gezondheidszorg of beveiliging veel ernstigere gevolgen kan hebben. Governance moet aansluiten bij de werkelijke impact van een beslissing, niet alleen bij de prestaties van het model.
• Doorlopende evaluatie en feedback zijn essentieel. Handmatige correcties, bezwaren, incidenten, uitzonderlijke gevallen en gevolgen verderop in het proces moeten allemaal bijdragen aan voortdurende evaluatie.

Een praktisch raamwerk voor intern AI-governance

Om deze principes in de praktijk te brengen, moet governance worden ingebed in de manier waarop AI-systemen worden ontworpen, ingezet en beheerd. Vier praktijken zijn bijzonder belangrijk:

• Behandel governancevereisten vanaf het begin als product- en systeemvereisten. Nalevingsmaatregelen die pas na de implementatie worden toegevoegd, zijn vaak duur en kwetsbaar. Privacy, transparantie, controleerbaarheid en toetsingsmechanismen zijn veel eenvoudiger in een systeem te ontwerpen dan er achteraf in te bouwen.
• Bouw een controleerbare keten op van beleid naar besluit. Organisaties moeten de toepasselijke vereiste of het interne beleid kunnen koppelen aan de toegepaste maatregel en het daaruit voortvloeiende besluit. Ook moeten ze beschikken over het bewijs dat nodig is om dit te beoordelen.
• Wijs duidelijk eigenaarschap en verantwoordingsplicht toe. Leg vast wie verantwoordelijk is voor het beleid, wie bepaalt welk risico aanvaardbaar is en wie de prestaties bewaakt. Ook moet iemand de bevoegdheid hebben om in te grijpen wanneer het systeem buiten die grenzen treedt.
• Bouw een gedeelde, aanpasbare governance-infrastructuur. Gegevenscontroles, audittrails, configureerbaar beleid, toetsingsprocessen en meetmethoden moeten ondersteuning bieden voor uiteenlopende wettelijke vereisten en toepassingsgebieden. Controles en drempelwaarden moeten kunnen worden aangepast aan het rechtsgebied, de toepassing en het risico, zodat organisaties op veranderende vereisten kunnen inspelen zonder hun systemen opnieuw op te bouwen.

Governance moet in de praktijk werken

Regelgeving kan verplichtingen en principes vastleggen, maar bedrijven moeten die nog altijd vertalen naar systemen die op grote schaal echte beslissingen nemen. Daardoor is intern governance een operationele verantwoordelijkheid, en niet slechts een nalevingsoefening. Elk bedrijf dat AI op grote schaal inzet, bepaalt nu al beleid via zijn drempelwaarden, toetsingsregels en escalatieroutes. De enige open vraag is of het dat bewust doet.

Toezichthouders blijven de resultaten bepalen die ze willen bereiken, en zijn het daar niet altijd over eens. Daarom moet het bedrijf beslissen hoe die verwachtingen worden omgezet in controles en vervolgens met bewijs aantonen dat die controles werken. Bedrijven die nu zorgen voor duidelijk eigenaarschap, meetbare controles, controleerbaarheid en aanpasbare infrastructuur, zijn beter voorbereid op de verdere ontwikkeling van regelgeving.

Ik heb dit probleem van verschillende kanten gezien: in omgevingen voor cyberbeveiliging, bij het ontwikkelen van risicomodellen en nu bij het op grote schaal beheren van AI-systemen. In al die gevallen is de les vergelijkbaar: een raamwerk werkt alleen als het kan worden vertaald naar duidelijke beslissingen, in de praktijk kan worden gemeten en kan worden verbeterd wanneer de werkelijkheid de tekortkomingen blootlegt.