Dit artikel beantwoordt de specifieke vraag: Welke AI-systemen vereisen formele toelating vóór ingebruikname? Voor de volledige governance architectuur leest u onze centrale gids: Goedkeuringsproces & Risicobeoordeling in onze AI Governance pillar.
1. De toelatingspoort: Balans tussen innovatie en beheersing
Als een organisatie elke losse prompt zou moeten toetsen, staat het werk stil. Maar als medewerkers willekeurige nieuwe AI-tools, browserextensies en autonome agents kunnen koppelen aan bedrijfsdatabases, ontstaat binnen enkele weken een acuut beveiligings- en compliance-risico.
De oplossing is een helder gedefinieerde toelatingspoort met objectieve drempelwaarden. Zo weet elke medewerker direct wanneer formele goedkeuring vereist is.
2. De 3 toelatingscategorieën
Tools die enterprise-beveiligd zijn en centraal worden beheerd door IT. Geen individuele use case goedkeuring vereist, mits gebruikt binnen de richtlijnen van het AI-beleid.
Voorbeelden: Microsoft 365 Copilot onder bedrijfslicentie, DeepL Pro met zero-retention, zakelijke Claude Team accounts.
Nieuwe applicaties, custom API-koppelingen, RAG-omgevingen met bedrijfsdocumenten of tools die klantgegevens verwerken. Vereist voorafgaande toetsing door de AI Governance Board.
Voorbeelden: Geautomatiseerde klantenservicebots, agentic software-integraties, tools voor cv-screening.
Systemen die wettelijk verboden zijn onder artikel 5 van de EU AI Act of ernstige beveiligingsinbreuken veroorzaken.
Voorbeelden: Emotiedetectie op de werkvloer, sociale scoring, deepfake-tools zonder transparantielabel, gratis openbare chatbots voor bedrijfsgeheimen.
3. De 4 drempelvragen: Wanneer moet een tool naar de Board?
Een afdeling moet een AI-initiatief altijd voorleggen aan de governance board wanneer één van de volgende vier vragen met JA wordt beantwoord:
- 1. Data-impact: Verwerkt het AI-systeem direct identificeerbare persoonsgegevens (AVG), medische gegevens, salarisdata of intellectueel eigendom?
- 2. Autonomie & Agentic acties: Kan het systeem zelfstandig externe acties uitvoeren (e-mails versturen, API-calls doen, financiële mutaties uitvoeren)?
- 3. Annex III classificatie: Heeft het systeem impact op werving, selectie, prestatiebeoordeling of kredietbeoordeling van personen?
- 4. Externe blootstelling: Interageert het systeem direct met externe klanten, burgers of patiënten zonder menselijke tussenkomst?
Veelgestelde vragen over dit onderwerp
Moet echt elke AI-tool formeel worden goedgekeurd?
Nee. Om bureaucratische verlamming te voorkomen, werken organisaties met 'pre-approved' categorieën. Standaard enterprise-tools die al goedgekeurd zijn (zoals Copilot binnen de eigen Microsoft tenant) mogen direct voor toegestane taken worden benut. Maatwerk-tools, publieke consumententools en systemen die persoonsgegevens verwerken, vereisen wél altijd formele goedkeuring.
Wat zijn de belangrijkste criteria voor toelating?
De toelatingspoort toetst op vier kerncriteria: 1) Databescherming (wordt trainingsdata gelogd en is er zero-retention?), 2) Risiconiveau onder de EU AI Act (valt het onder Annex III?), 3) Mate van autonomie (agentic acties vs suggesties), en 4) Transparantie en uitlegbaarheid.
Wie beslist uiteindelijk over goedkeuring?
Voor standaard kantoorapplicaties kan de afdelingsmanager akkoord geven binnen de kaders van het AI-beleid. Voor systemen met klantdata, custom API-koppelingen of hoog-risico classificatie ligt de beslissing bij de AI Governance Board of CISO.
Wat gebeurt er als een medewerker een niet-goedgekeurde tool gebruikt?
Dit valt onder schaduw-AI en vormt een inbreuk op het IT- en veiligheidsbeleid. De organisatie moet een veilige meldcultuur hanteren: de use case wordt direct stilgelegd en beoordeeld, waarna gekeken wordt naar een goedgekeurd alternatief.
