Een AI-tool is niet goed of slecht. Het gebruiksdoel bepaalt of een toepassing veilig genoeg is. Dezelfde chatbot die een nieuwsbrief helpt schrijven, wordt een risico zodra hij klantgegevens verwerkt of beslissingen over mensen voorbereidt.
Daarom werkt een algemene lijst met toegestane tools slecht. Wat u nodig heeft, is een korte, herhaalbare toets per toepassing. Deze checklist gebruikt de acht elementen van het AIP Duurzame AI Kompas als controlevragen en is bedoeld voor wie een AI-toepassing wil beoordelen voordat die in gebruik gaat. Wilt u eerst weten hoe het kompas als geheel in elkaar zit, lees dan hoe het AI-kompas werkt.
Wanneer gebruikt u deze checklist?
Gebruik de checklist op drie momenten: voordat een nieuwe AI-tool of agent wordt toegelaten, wanneer een bestaande tool voor een nieuw doel wordt gebruikt, en bij een significante update van de leverancier. Het gaat om één toepassing per keer. Zet het resultaat in een korte notitie, zodat u later kunt laten zien waarom een keuze is gemaakt.
De beoordeling in vier stappen
- Beschrijf de toepassingWat doet ze, voor wie, met welke data en welke beslissing of output volgt eruit? Eén alinea volstaat.
- Stel de eerste risicovraagRaakt de toepassing aan een verboden praktijk, bepaalt of ondersteunt ze beslissingen over mensen (werving, beoordeling, krediet, toegang tot diensten) of communiceert ze rechtstreeks met klanten? Zo ja, beoordeel dan zwaarder en betrek een jurist.
- Loop de acht controlevragen langsGeef per vraag groen, oranje of rood. De tabel hieronder bevat de vragen.
- Neem een besluit en leg het vastToestaan, toestaan onder voorwaarden, of niet toestaan. Noteer wie eigenaar is en wanneer u opnieuw toetst.
De acht controlevragen
Onze vuistregel: één rood op governance, data of veiligheid betekent dat de toepassing niet live gaat voordat dit is opgelost. Oranje betekent dat u de toepassing onder voorwaarden kunt toestaan, met een datum waarop de voorwaarde is ingevuld. Deze kleurmethode is een praktisch hulpmiddel van AI Personeelstraining, geen wettelijke norm.
| Element | Controlevraag | Groen | Rood |
|---|---|---|---|
| Governance en verantwoordelijkheid | Is er een eigenaar en een besluit om de toepassing te gebruiken? | Benoemde eigenaar, besluit vastgelegd | Niemand is verantwoordelijk |
| Datakwaliteit en privacy | Welke data gaat erin en mag dat volgens beleid en AVG? | Alleen toegestane data, verwerkersovereenkomst aanwezig | Persoonsgegevens of vertrouwelijke data zonder grondslag of afspraken |
| Transparantie en uitlegbaarheid | Kunt u uitleggen hoe een uitkomst tot stand komt en weten betrokkenen dat AI is gebruikt? | Uitkomst herleidbaar, AI-gebruik gemeld waar nodig | Black box zonder toelichting bij beslissingen over mensen |
| Ethiek en non-discriminatie | Is gekeken naar bias en onbedoelde gevolgen? | Uitkomsten steekproefsgewijs getoetst | Geen toetsing bij beslissingen die mensen raken |
| Veiligheid en robuustheid | Wat gebeurt er bij een fout, datalek of hallucinatie? | Protocol en terugvalprocedure aanwezig | Geen procedure, onomkeerbare acties mogelijk |
| Training en bewustwording | Weten gebruikers wat wel en niet mag en hoe ze output controleren? | Gebruikers getraind op dit gebruiksdoel | Gebruik zonder instructie |
| Monitoring en continue verbetering | Wie volgt prestaties, kosten en afwijkingen? | Meetpunten en herbeoordelingsdatum | Geen meting, geen herziening |
| Externe samenwerking en kennisdeling | Is de leverancier getoetst en weet u wat hij met uw data doet? | Voorwaarden, locatie en subverwerkers beoordeeld | Onduidelijke voorwaarden, geen contactpersoon |
Twee voorbeelden (fictief, ter illustratie)
Voorbeeld 1: nieuwsbriefondersteuning in marketing
Een marketingmedewerker gebruikt een goedgekeurde AI-assistent om concepten voor een nieuwsbrief te schrijven. De data is publieke informatie, er zijn geen beslissingen over mensen en een collega leest alles na. De uitkomst is groen op de meeste punten, met een oranje voor training: de medewerker heeft nog geen instructie over het controleren van feiten. Besluit: toestaan, training binnen vier weken.
Voorbeeld 2: cv-screening in HR
Een HR-team wil een tool die sollicitaties voorsorteert. Hier komen persoonsgegevens en beslissingen over mensen samen. Werving valt onder de categorieën hoog-risico in bijlage III van de EU AI Act. De verplichtingen daarvoor gaan volgens de Digital Omnibus in op 2 december 2027. Data, ethiek en uitlegbaarheid zijn rood tot het team kan laten zien hoe uitkomsten worden getoetst. Besluit: niet toestaan tot er een juridische beoordeling en een toetsingsprocedure liggen.
Let op de rol die u heeft
De EU AI Act maakt onderscheid tussen aanbieders en gebruikers van AI-systemen. Als organisatie die een systeem inzet, heeft u andere verplichtingen dan de leverancier. Controleer per toepassing welke rol u heeft, bijvoorbeeld in onze EU AI Act-gids of bij uw jurist.
Wat wij in de praktijk zien
Inzicht 1: de vraag verschuift van tool naar toepassing
Organisaties vragen vaak of een bepaalde tool is toegestaan. Het nuttigere antwoord begint met: waarvoor wilt u hem gebruiken? Het gebruiksdoel verandert de uitkomst van de beoordeling meer dan de tool zelf.
Inzicht 2: de leverancier wordt te laat beoordeeld
Vaak start een pilot voordat iemand de voorwaarden van de leverancier heeft gelezen. Verwerkerschap, datalocatie en hergebruik van data voor modeltraining zijn dan al ingevuld door de standaardinstellingen.
Inzicht 3: beoordelen is geen eenmalige handeling
Een toepassing verandert zodra de leverancier een functie toevoegt of een afdeling de tool voor iets anders gaat gebruiken. Zonder herbeoordelingsdatum veroudert elke beoordeling snel.
Hoe wij dit aanpakken
In onze trainingen beoordelen deelnemers een toepassing uit hun eigen werk met deze checklist. Zo ontstaat een eerste beoordeling die zij daarna zelf kunnen herhalen. Het raamwerk komt uit het Duurzame AI Kompas; de afspraken legt u vast in uw AI-beleid. Wilt u eerst een nulmeting, begin dan met de AI-readiness assessment.
Veelgestelde vragen over het beoordelen van AI-toepassingen
Wat is een AI-toepassing beoordelen?
Het toetsen van één concrete AI-toepassing, zoals een chatbot, een cv-screeningtool of een agent, op risico's en randvoorwaarden voordat medewerkers ermee gaan werken. U kijkt naar governance, data, veiligheid, transparantie, ethiek, training, monitoring en leverancier.
Wie moet een AI-toepassing beoordelen?
Meestal een kleine groep: de business-eigenaar van de toepassing, IT of security, en iemand met kennis van privacy en juridische zaken. Bij toepassingen die mensen raken, zoals werving of beoordeling, hoort ook HR aan tafel.
Hoe lang duurt het beoordelen van een AI-tool?
Voor een laag-risico toepassing zoals tekstondersteuning duurt een eerste beoordeling vaak één tot twee uur. Voor toepassingen met persoonsgegevens, beslissingen over mensen of autonome agents is meer tijd nodig, omdat u ook de leverancier en de documentatie moet toetsen.
Is een positieve beoordeling een garantie dat de toepassing aan de EU AI Act voldoet?
Nee. De checklist is een praktisch hulpmiddel om risico's zichtbaar te maken. Of een toepassing onder de verboden praktijken, de transparantieplicht of de hoog-risicocategorie valt, moet u apart vaststellen, in overleg met een jurist.
Moet ik elke AI-tool apart beoordelen?
Beoordeel per toepassing, niet per tool. Dezelfde tool kan voor het opstellen van een nieuwsbrief laag risico hebben en voor het selecteren van sollicitanten een hoog risico. Het gebruiksdoel bepaalt de uitkomst.
Tot slot
Een toets van één uur voorkomt dat u maanden later moet uitleggen waarom een toepassing zonder afspraken in gebruik is genomen. Kies deze week één toepassing die al in gebruik is en loop de acht vragen langs.
Deze checklist is een praktisch hulpmiddel en geen juridisch advies of garantie op naleving van wet- en regelgeving.
Over de auteur
Barry van der Laan MBA is oprichter van AI Personeelstraining en werkt al meer dan 25 jaar in de financiële sector. Hij heeft een master's-niveau opleiding in Financial Services (NIBE-SVV) en helpt organisaties om generatieve AI praktisch, verantwoord en binnen duidelijke governance in te voeren.
Zijn trainingen en adviestrajecten richten zich op AI-geletterdheid, AI-beleid en de praktische invoering van AI-toepassingen in bestaande werkprocessen. Lees meer over onze trainers.