Waar staat uw organisatie met AI-governance?
Het model zet acht dimensies van AI-governance naast elkaar, van het overzicht over uw tools tot het bewijs richting klanten. Per dimensie beschrijven vijf niveaus hoe het eruitziet. Kies per rij de beschrijving die past bij hoe het nu gaat. Een laag niveau betekent dat er werk ligt. Een plicht kan alleen openstaan bij de dimensies met een wettelijke markering.
Acht dimensies in vijf niveaus
Bij elke dimensie staat of er een wettelijke plicht onder ligt. De toelichting noemt de artikelen en de datum waarop ze gelden.
Overzicht
Tools, agents, eigen apps en schaduw-AI
Goede praktijk
Wet
Rol en risicoklasse onder de AI Act, plus de AVG
AI Act naar rol en risicoklasse · AVG bij persoonsgegevens
Toelichting
Welke plichten gelden, hangt af van de rol van uw organisatie per systeem en van de risicoklasse van dat systeem. Voorbeelden zijn de verboden praktijken (Artikel 5), de transparantieplichten (Artikel 50) en, voor AI-systemen met een hoog risico, de plichten van aanbieders (Artikel 16) en gebruiksverantwoordelijken (Artikel 26). Die hoog-risicoplichten gelden vanaf 2 december 2027 voor Bijlage III en vanaf 2 augustus 2028 voor AI in een product uit Bijlage I, afdeling A (Artikel 2 lid 2 en Artikel 113). Verwerkt een systeem persoonsgegevens, dan geldt ook de AVG, met onder meer een grondslag (Artikel 6 AVG) en bij een waarschijnlijk hoog risico een DPIA (Artikel 35 AVG).
Eigenaarschap
Wie is verantwoordelijk per systeem
Goede praktijk · bij hoog-risico-AI-systemen Artikel 26 lid 2
Toelichting
Niveau 1 tot en met 4 zijn goede praktijk. Alleen voor AI-systemen met een hoog risico eist Artikel 26 lid 2 dat de gebruiksverantwoordelijke het menselijk toezicht opdraagt aan natuurlijke personen met de nodige bekwaamheid, opleiding en autoriteit, die de nodige ondersteuning krijgen. Die plicht geldt vanaf 2 december 2027 voor Bijlage III en vanaf 2 augustus 2028 voor AI in een product uit Bijlage I, afdeling A (Artikel 2 lid 2 en Artikel 113).
Beleid
AI-beleid, bevestigd door medewerkers
Goede praktijk
Opleiding
AI-geletterdheid, ook voor nieuwe collega's
Artikel 4 lid 1
Toelichting
Sinds 2 februari 2025 nemen aanbieders en gebruiksverantwoordelijken maatregelen die de AI-geletterdheid ondersteunen van hun personeel en van anderen die namens hen AI-systemen gebruiken (Artikel 4 lid 1). Een bepaald kennisniveau per persoon hoeft niet te worden gegarandeerd. Het artikel laat de vorm vrij: een training, een registratie per persoon of een certificaat is goede praktijk.
Aanvragen
Tools aanvragen en bouwen met AI
Goede praktijk
Richting
Doelen en AI-initiatieven
Goede praktijk
Bewijs
Aantoonbaar naar klant, verzekeraar en partner
Goede praktijk
OverzichtTools, agents, eigen apps en schaduw-AIGoede praktijk
- Niveau 1: OnzichtbaarNiemand weet welke AI-tools er draaien. Medewerkers gebruiken privé-accounts.
- Niveau 2: Ad hocIT houdt een lijst bij van bekende tools. Agents en privégebruik ontbreken.
- Niveau 3: VastgelegdEén register met tools, agents en eigen apps, aangevuld met een uitvraag onder medewerkers.
- Niveau 4: BeheerstHet register groeit mee bij elke nieuwe tool. Schaduw-AI wordt periodiek opnieuw uitgevraagd.
- Niveau 5: AantoonbaarRegister, koppelingen en uitvraag vullen elkaar aan tot een actueel beeld, ook van agents en eigen apps.
WetRol en risicoklasse onder de AI Act, plus de AVGAI Act naar rol en risicoklasse · AVG bij persoonsgegevens
Welke plichten gelden, hangt af van de rol van uw organisatie per systeem en van de risicoklasse van dat systeem. Voorbeelden zijn de verboden praktijken (Artikel 5), de transparantieplichten (Artikel 50) en, voor AI-systemen met een hoog risico, de plichten van aanbieders (Artikel 16) en gebruiksverantwoordelijken (Artikel 26). Die hoog-risicoplichten gelden vanaf 2 december 2027 voor Bijlage III en vanaf 2 augustus 2028 voor AI in een product uit Bijlage I, afdeling A (Artikel 2 lid 2 en Artikel 113). Verwerkt een systeem persoonsgegevens, dan geldt ook de AVG, met onder meer een grondslag (Artikel 6 AVG) en bij een waarschijnlijk hoog risico een DPIA (Artikel 35 AVG).
- Niveau 1: OnzichtbaarNiemand weet of een toepassing onder de AI Act valt, of welke rol de organisatie heeft.
- Niveau 2: Ad hocPas als een klant ernaar vraagt, wordt één systeem uitgezocht. De rest blijft liggen.
- Niveau 3: VastgelegdPer systeem staan de rol van de organisatie en de risicoklasse vast, met de AVG-vragen erbij: welke gegevens, welke grondslag.
- Niveau 4: BeheerstClassificatie en DPIA-signaal worden herzien bij een nieuw gebruiksdoel of een nieuwe leverancier.
- Niveau 5: AantoonbaarPer systeem is te tonen welke verplichtingen gelden en wat ervan is ingevuld.
EigenaarschapWie is verantwoordelijk per systeemGoede praktijk · bij hoog-risico-AI-systemen Artikel 26 lid 2
Niveau 1 tot en met 4 zijn goede praktijk. Alleen voor AI-systemen met een hoog risico eist Artikel 26 lid 2 dat de gebruiksverantwoordelijke het menselijk toezicht opdraagt aan natuurlijke personen met de nodige bekwaamheid, opleiding en autoriteit, die de nodige ondersteuning krijgen. Die plicht geldt vanaf 2 december 2027 voor Bijlage III en vanaf 2 augustus 2028 voor AI in een product uit Bijlage I, afdeling A (Artikel 2 lid 2 en Artikel 113).
- Niveau 1: OnzichtbaarWie een tool aanzette, is er stilzwijgend verantwoordelijk voor. Of niemand.
- Niveau 2: Ad hocIT beheert de licenties. Wie inhoudelijk eigenaar is, is onduidelijk.
- Niveau 3: VastgelegdElk systeem en elke agent heeft een eigenaar op naam.
- Niveau 4: BeheerstEigenaar en opvolger staan vast. Bij vertrek gaat het eigenaarschap over.
- Niveau 5: AantoonbaarEigenaarschap is per systeem aantoonbaar. Bij hoog-risico-AI-systemen is het menselijk toezicht opgedragen aan mensen met de nodige bekwaamheid, opleiding en autoriteit, die daarbij worden ondersteund.
BeleidAI-beleid, bevestigd door medewerkersGoede praktijk
- Niveau 1: OnzichtbaarEr is geen AI-beleid. Medewerkers bepalen zelf wat kan.
- Niveau 2: Ad hocEr staat een beleid op het intranet. Wie het gelezen heeft, weet niemand.
- Niveau 3: VastgelegdHet beleid is vastgesteld en gedeeld, met huisregels per goedgekeurde tool.
- Niveau 4: BeheerstElke medewerker heeft het beleid digitaal bevestigd, nieuwe collega's bij indiensttreding.
- Niveau 5: AantoonbaarBevestigingen zijn per beleidsversie te tonen. Het beleid wordt jaarlijks herzien.
OpleidingAI-geletterdheid, ook voor nieuwe collega'sArtikel 4 lid 1
Sinds 2 februari 2025 nemen aanbieders en gebruiksverantwoordelijken maatregelen die de AI-geletterdheid ondersteunen van hun personeel en van anderen die namens hen AI-systemen gebruiken (Artikel 4 lid 1). Een bepaald kennisniveau per persoon hoeft niet te worden gegarandeerd. Het artikel laat de vorm vrij: een training, een registratie per persoon of een certificaat is goede praktijk.
- Niveau 1: OnzichtbaarNiemand werkt aan AI-geletterdheid. Medewerkers leren het zelf, of niet.
- Niveau 2: Ad hocEén keer een lunchsessie of webinar, zonder registratie.
- Niveau 3: VastgelegdEen vaste training voor iedereen die namens de organisatie AI gebruikt, ook ingehuurde krachten, afgestemd op rol en gebruik.
- Niveau 4: BeheerstNieuwe collega's krijgen de training bij indiensttreding. Voortgang wordt bijgehouden.
- Niveau 5: AantoonbaarPer medewerker is te tonen welke training is afgerond en wanneer.
AanvragenTools aanvragen en bouwen met AIGoede praktijk
- Niveau 1: OnzichtbaarEen nieuwe tool begint met een creditcard of een gratis account.
- Niveau 2: Ad hocAanvragen lopen via mail of de servicedesk, zonder vaste vragen.
- Niveau 3: VastgelegdEén aanvraagroute met vaste vragen, voor tools én voor apps en agents die medewerkers willen bouwen.
- Niveau 4: BeheerstElke aanvraag krijgt een fiattering, een risicoclassificatie en een AVG-toets vóór ingebruikname.
- Niveau 5: AantoonbaarElk besluit is terug te vinden: wie keurde wat goed en op welke grond.
RichtingDoelen en AI-initiatievenGoede praktijk
- Niveau 1: OnzichtbaarAI gebeurt per persoon. Wat het oplevert, weet niemand.
- Niveau 2: Ad hocEen paar losse pilots, elk gedragen door één enthousiasteling.
- Niveau 3: VastgelegdAlle initiatieven staan op één plek. Dubbel werk wordt zichtbaar.
- Niveau 4: BeheerstElk initiatief hangt aan een organisatiedoel, met een eigenaar en een verwachte opbrengst.
- Niveau 5: AantoonbaarDe opbrengst wordt nagemeten en bepaalt welke initiatieven doorgaan.
BewijsAantoonbaar naar klant, verzekeraar en partnerGoede praktijk
- Niveau 1: OnzichtbaarEen vragenlijst van een klant of verzekeraar kost weken zoekwerk.
- Niveau 2: Ad hocAntwoorden worden per keer bij elkaar gezocht uit mail en losse bestanden.
- Niveau 3: VastgelegdBeleid, register en trainingsoverzicht liggen op één plek.
- Niveau 4: BeheerstEen actueel dossier is binnen een dag te leveren.
- Niveau 5: AantoonbaarHet bewijs is altijd actueel en deelbaar met klanten en partners.
Donker omrande markering: hier ligt een wettelijke plicht onder, of bij hoog-risico-AI-systemen een deel ervan. Licht omrande markering: goede praktijk.
De vijf niveaus
Welk niveau past, hangt af van hoeveel AI er draait en wat ervan afhangt. Een organisatie met drie tools kan in de meeste dimensies met niveau 3 vooruit.
- Niveau 1OnzichtbaarEr wordt AI gebruikt zonder dat iemand het overziet.
- Niveau 2Ad hocEr gebeurt iets, per persoon of per vraag, zonder vaste werkwijze.
- Niveau 3VastgelegdEr is een vaste werkwijze, vastgelegd op één plek.
- Niveau 4BeheerstDe werkwijze beweegt mee met nieuwe tools, collega's en aanvragen.
- Niveau 5AantoonbaarU laat op elk moment zien hoe het gaat, aan wie er ook om vraagt.
Wat het platform per dimensie doet
Overzicht: Een anonieme uitvraag onder medewerkers brengt de AI-tools boven die nergens geregistreerd staan.
Schaduw-AI in kaart brengenWet: Per systeem legt u de rol van uw organisatie en de risicoklasse vast, met de AVG-vragen erbij.
Classificatie in het AI-registerEigenaarschap: In het register zet u bij elk systeem en elke agent een eigenaar op naam.
Eigenaren in het AI-registerBeleid: Medewerkers accorderen het AI-beleid digitaal, per gepubliceerde versie.
AI-beleid met bevestigingOpleiding: Het voortgangsoverzicht van de e-learning toont per medewerker welke modules zijn afgerond.
AI-geletterdheid en e-learningAanvragen: Aanvragen voor tools en initiatieven voor zelfgebouwde apps en agents komen binnen via dezelfde aanvraaglink.
De aanvraagroute voor AIRichting: U legt organisatiedoelen vast met een eigenaar en een meting, en koppelt initiatieven en systemen aan een doel.
AI-doelen en initiatievenBewijs: Register, documenten zoals het AI-beleid en de trainingsstatus komen samen in één auditdossier om te downloaden.
Het auditdossier
De scorekaart om zelf in te vullen
De scorekaart zet de acht dimensies en vijf niveaus op één A4. Leg hem neer in een overleg, of laat hem vooraf invullen door de mensen die het werk doen.
Download de scorekaart (PDF)Begin bij de rij Wet
Weet u nog niet welke risicoklasse uw AI-gebruik heeft? De gratis risicoscan geeft een eerste inschatting van de hoogste risicocategorie in uw AI-gebruik en de verplichtingen die daarbij horen.
Start de gratis risicoscanVeelgestelde vragen over het volwassenheidsmodel
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Ja, bij Opleiding, als uw organisatie AI gebruikt. Daar werkt op niveau 1 niemand aan AI-geletterdheid, terwijl aanbieders en gebruiksverantwoordelijken sinds 2 februari 2025 maatregelen nemen die de AI-geletterdheid ondersteunen van hun personeel en van anderen die namens hen AI-systemen gebruiken (Artikel 4 lid 1). Bij Eigenaarschap geldt Artikel 26 lid 2 alleen voor AI-systemen met een hoog risico: vanaf 2 december 2027 voor Bijlage III en vanaf 2 augustus 2028 voor AI in een product uit Bijlage I, afdeling A (Artikel 2 lid 2 en Artikel 113). Bij Wet hangt het af van rol en risicoklasse per systeem. De andere vijf dimensies meten alleen volwassenheid.
Nee, de AI Act kent geen algemene registerplicht voor wie AI gebruikt. Aanbieders registreren hoog-risicosystemen uit Bijlage III in de EU-databank (Artikel 49 lid 1). Ook als zij met Artikel 6 lid 3 concluderen dat een Bijlage III-systeem geen hoog risico inhoudt, registreren zij het (Artikel 49 lid 2). Overheidsinstanties die een hoog-risicosysteem uit Bijlage III gebruiken, of wie namens hen optreedt, registreren hun gebruik (Artikel 49 lid 3). Hoog-risicosystemen uit punt 2 van Bijlage III worden daarentegen nationaal geregistreerd (Artikel 49 lid 5). Dit gaat gelden met de hoog-risicoregels voor Bijlage III, op 2 december 2027 (Artikel 113).
Nee, maar een deel ervan kan een plicht zijn. Gebruikt u een AI-systeem met een hoog risico, dan draagt u het menselijk toezicht op aan mensen met de nodige bekwaamheid, opleiding en autoriteit, die daarbij worden ondersteund (Artikel 26 lid 2). Dat geldt vanaf 2 december 2027 voor Bijlage III en vanaf 2 augustus 2028 voor AI in een product uit Bijlage I, afdeling A (Artikel 2 lid 2 en Artikel 113). Bij Wet hangt het af van rol en risicoklasse per systeem. Bij Opleiding geldt al de plicht van Artikel 4 lid 1, maar de vorm is vrij. Een registratie per persoon, zoals op niveau 5, is goede praktijk.
IT, HR, privacy en een leidinggevende die over AI beslist, ieder apart. Leg de uitkomsten daarna naast elkaar en bespreek eerst de dimensies waar ze het verst uiteenlopen.