In het kort
- AI-governance is het systeem dat AI-compliance houdbaar maakt (wie beslist, wie reviewt, hoe escaleren); compliance zelf is de uitkomst.
- Drie archetypes per organisatiegrootte: persoonsgebonden (5-25 medewerkers), rolverdeling met werkgroep (25-100), formeel operating model (100+).
- Een werkbare RACI belegt vijf besluiten: nieuwe AI-tool, risicoclassificatie, vrijgave hoog-risico, incident-escalatie, periodieke review.
- Operationele cadans: kwartaal-review werkgroep, halfjaar-review op managementniveau, jaarlijkse externe blik (auditor of ISO 42001).
- Veelvoorkomende valkuilen: governance op papier zonder agenda, RACI zonder een duidelijke Accountable, AI-coördinator als single-point-of-failure.
Wat is AI-governance en hoe richt u het in? Governance legt vast wie over AI besluit, wanneer iemand escaleert en hoe vaak er wordt gereviewd. Dat maakt compliance houdbaar. Voor het MKB hoeft dat geen comité te zijn; een naam, een RACI en een kwartaalritme volstaan.
AI-governance is geen synoniem voor AI-compliance. Compliance is de uitkomst: voldoet uw organisatie aan wet- en regelgeving? Governance is het systeem dat die uitkomst mogelijk maakt: wie besluit wat, wie escaleert wanneer, wie reviewt hoe vaak. Voor het Nederlandse MKB en mid-market wordt governance in 2026 een serieus thema. De EU AI Act schrijft AI-governance als zodanig nergens voor. Zet u hoog-risico AI in, dan komen er wel eisen bij die om een vaste werkwijze vragen: een risicobeheersysteem voor aanbieders (Artikel 9) en verplichtingen voor gebruiksverantwoordelijken (Artikel 26), allebei vanaf 2 december 2027 voor Bijlage III-systemen. Daarnaast vragen inkopers, vooral in finance en de publieke sector, steeds vaker hoe u AI bestuurt, soms met ISO 42001 als maatstaf. De operationele groei van AI in uw eigen organisatie maakt ad-hoc beslissen onhoudbaar.
Dit artikel geeft een werkbare AI-governance-structuur per organisatiegrootte. Drie archetypes, een RACI-matrix per archetype en de operationele cadans die uw governance levend houdt.
AI-governance vs AI Compliance vs ISO 42001
Drie termen die vaak door elkaar lopen. Het onderscheid:
AI Compliance
WetHet naleven van wettelijke verplichtingen (EU AI Act, AVG, sectorregels). Een uitkomst, een staat van zijn: voldoet uw organisatie aan wat de wet vraagt?
AI-governance
SysteemHet bestuurssysteem dat compliance, ethiek en effectiviteit borgt. Wie beslist, wie reviewt, wie is verantwoordelijk, hoe escaleren we, hoe vaak kijken we terug.
ISO/IEC 42001
StandaardInternationale norm voor een AI-managementsysteem (AIMS, gepubliceerd december 2023). Geeft een gestandaardiseerde governance-structuur volgens Annex SL-managementsysteemstructuur. Vrijwillig en certificeerbaar.
Vereenvoudigd: compliance is wat u moet doen, governance is hoe u het doet, ISO 42001 is een mal voor het hoe. Een organisatie kan compliance zonder ISO 42001 halen. Zonder governance is compliance niet vol te houden. Dat is het centrale inzicht achter Artikel 9, dat aanbieders van hoog-risico AI een doorlopend, gedocumenteerd en periodiek te actualiseren risicobeheersysteem oplegt (Artikel 9, leden 1 en 2).
Drie archetypes per organisatiegrootte
De vorm van AI-governance hangt af van wat u in huis heeft. Drie archetypes dekken het overgrote deel van het Nederlandse MKB en mid-market.
Archetype 1: kleinschalig MKB (5-25 medewerkers)Een directeur of bedrijfsleider, een handvol AI-tools (ChatGPT, Microsoft Copilot, AI-features in HR-software of CRM), geen aparte compliance-functie. Governance is hier persoonsgebonden: de directeur of een aangewezen senior medewerker is verantwoordelijk voor alle AI-besluiten. Met welke stappen die persoon begint, staat in de AI Act-checklist voor het MKB. Risico: bottlenecks en stille drift wanneer de eigenaar te druk is om bij te houden welke nieuwe AI-functie in een SaaS-tool is geactiveerd. Werkt u in Microsoft 365, dan vraagt Copilot meestal als eerste om afspraken. Hoe u dat aanpakt, staat bij AI-governance in Microsoft 365.
Archetype 2: middelgroot MKB (25-100 medewerkers)Een management-team van drie tot vijf mensen, een groter palet aan AI-tools, vaak een interne IT-functie of een externe IT-partner. Hier wordt governance een rolverdeling: een AI-coördinator (soms de compliance officer of, zonder belangenconflict, de DPO/FG), een AI-werkgroep met vertegenwoordigers uit IT, juridisch/HR en de operationele businesseigenaren. Risico: rollen op papier maar zonder cadans. Werkgroep komt vier keer per jaar bij elkaar zonder concrete agenda.
Archetype 3: mid-market en grote organisaties (100-1000+ medewerkers)Een formeel governance-comite, een AI-coördinator full-time of 0,5 fte, een AI-risico-eigenaar per businessunit, een interne audit-functie en vaak een externe certificeringsroute (ISO 42001 of vergelijkbaar). Governance is hier een operating model: decision rights, escalation paths, formele review-cadans, audit-mechanismen. Risico: zwaar en log, decision-by-committee, AI-innovatie loopt achter feiten aan.
Wie beslist over welk AI-besluit
Bij elk archetype horen vijf besluitcategorieën belegd te zijn. Dat is geen eis uit de AI Act maar de indeling die in de praktijk werkt. De RACI-matrix (Responsible, Accountable, Consulted, Informed) is hiervoor de standaard. Wordt veel gezien in ISO 42001-implementaties, in NIST AI RMF-projecten en bij grotere Nederlandse organisaties met een volwassen governance-structuur.
Voor archetype 1 vereenvoudigt het: een persoon is Responsible en Accountable, anderen worden Informed.
Voor archetype 2 en 3 is een echte matrix nodig. Een werkbaar uitgangspunt:
Goedkeuring nieuwe AI-tool
BesluitR: businesseigenaar. A: AI-coördinator. C: IT, DPO/FG. I: directie.
Risicoclassificatie hoog-risico ja/nee
BesluitR: AI-coördinator. A: directie. C: extern juridisch. I: businesseigenaar.
Vrijgave hoog-risico AI in productie
BesluitR: AI-coördinator. A: directie. C: DPO/FG, IT-security, externe auditor waar relevant. I: businesseigenaar.
Escalatie AI-incident
BesluitR: AI-coördinator. A: directie. C: DPO/FG, juridisch, communicatie. I: alle betrokken businesseigenaren.
Periodieke review en update
BesluitR: AI-coördinator. A: AI-werkgroep. C: businesseigenaren. I: directie.
R staat voor wie het werk doet, A voor wie eindverantwoordelijk is (een persoon, niet een comite), C voor wie geconsulteerd wordt voor het besluit valt, I voor wie op de hoogte wordt gebracht. De grootste valkuil: meer dan een A per besluit. Onduidelijke eindverantwoordelijkheid voorspelt vertraging.
Hoe vaak u AI-governance op de agenda zet
Een AI-governance-structuur leeft alleen als ze in de agenda staat. Drie cadansen voor archetype 2 en 3, oplopend in frequentie:
Kwartaal-review werkgroep
Werkgroep komt elk kwartaal bijeen: nieuwe AI-tools sinds vorige keer, status hoog-risico systemen, eventuele incidenten, voortgang op AI-geletterdheid, deadline-monitoring (AI Act, Digital Omnibus, sectorrichtsnoeren).
Halfjaarlijkse strategische review
Een keer per halfjaar agendeert directie AI-governance op managementniveau: zijn we nog op koers, wat moet bijgestuurd, welke investeringen vraagt het komende halfjaar.
Jaarlijkse externe blik
Een externe partij (auditor, ISO 42001-certificeerder, juridisch expert) toetst het systeem jaarlijks tegen actuele wet- en regelgeving. Voor mid-market vaak gekoppeld aan ISO-certificeringscyclus.
Tussen reviews door werkt het systeem op signalen: een nieuwe AI-tool wordt aangemeld, geclassificeerd en in het register opgenomen. Een incident wordt gemeld, onderzocht en als lessons learned in de eerstvolgende kwartaal-review besproken. Toezichthouders willen bewijs van beide: de structuur en de toepassing.
Wanneer u een AI-incident escaleert
AI-incidenten zijn niet allemaal gelijk. Een hallucinatie in een interne tekst is iets anders dan een hoog-risico AI-systeem dat een verkeerd kredietbesluit neemt. Een werkbaar escalatie-model kent drie niveaus.
Niveau 1: operationeelDe eindgebruiker meldt aan AI-coördinator of businesseigenaar. Geen verdere escalatie tenzij patroon. Voorbeeld: een marketeer constateert dat de chatbot-flow regelmatig fouten maakt in productinformatie.
Niveau 2: tactischAI-coördinator beoordeelt en betrekt DPO/FG. Wordt besproken in de eerstvolgende werkgroep-bijeenkomst. Voorbeeld: een leverancier van een AI-tool kondigt aan de architectuur te wijzigen, met mogelijke impact op risicoclassificatie.
Niveau 3: kritiekDirecte escalatie naar directie en juridisch. Mogelijk klantcommunicatie, mogelijk meldplicht. Voorbeeld: een verboden praktijk uit Artikel 5 wordt geconstateerd, of een hoog-risico systeem laat structureel bias zien tegen een beschermde categorie.
De drempel tussen niveau 2 en 3 is lastig. Vuistregel: zodra een incident kan resulteren in schade aan personen, juridische aansprakelijkheid of meldplichten onder AVG of AI Act, is het niveau 3.
Veelvoorkomende valkuilen
Vier patronen die we tegenkomen bij Nederlandse MKB- en mid-market-organisaties.
Governance die alleen op papier staatEen mooi document met rollen en cadansen, maar de werkgroep-bijeenkomsten worden afgezegd of zijn slappe agenda-vulling zonder besluiten. Symptoom: niemand kan zonder voorbereiding noemen wat er bij de laatste werkgroep is besloten.
RACI zonder ownerIedereen Consulted, niemand Accountable. Resultaat: trage besluitvorming, falen door collectieve verantwoordelijkheid. Symptoom: bij een vraag of besluit duurt het lang voor iemand zich opwerpt.
AI-coördinator als bottleneckEen persoon die alles moet weten en alles moet goedkeuren. Bij ziekte of vertrek stort het systeem in. Symptoom: steeds dezelfde naam, zonder back-up of plaatsvervanger.
Geen koppeling met bestaande managementsystemenEen aparte AI-governance los van ISO 27001, ISO 9001 of bestaand risicomanagement. Resultaat: dubbel werk, inconsistente besluiten, audit-fatigue. Symptoom: dezelfde risico's komen in meerdere systemen verschillend gecategoriseerd terug.
Hoe verhoudt dit zich tot de AI Act
De AI Act eist op meerdere plekken expliciet governance-elementen. Drie ervan komen het vaakst terug. Wie zelf hoog-risico AI aanbiedt, heeft ook een systeem voor kwaliteitsbeheer nodig, met een kader dat de verantwoordelijkheden van management en personeel vastlegt (Artikel 17, lid 1, onder m).
Artikel 9: risicobeheersysteemVoor aanbieders van hoog-risico AI: een gedocumenteerd, doorlopend en herzienbaar risicobeheersysteem dat de hele levenscyclus dekt. Dit is governance in optima forma.
Artikel 26: deployer-verplichtingenVoor gebruiksverantwoordelijken van hoog-risico AI: menselijk toezicht borgen, logbestanden bewaren, incidenten melden, gebruiken volgens de instructies van de aanbieder. Vraagt een toegewezen verantwoordelijke en een meld-procedure.
[Artikel 27](/ai-verordening/artikel-27): FRIAPubliekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen, voeren een Fundamental Rights Impact Assessment uit voordat zij een hoog-risicosysteem uit Bijlage III in gebruik nemen, behalve bij kritieke infrastructuur (Bijlage III, punt 2). Dezelfde plicht geldt voor iedereen die AI inzet om de kredietwaardigheid van natuurlijke personen te beoordelen of voor risicobeoordeling en prijsstelling bij hun levens- en ziektekostenverzekering (Bijlage III, punt 5, onder b en c). Vraagt een besluit-proces en documentatie-routine.
Voor MKB met alleen minimaal- of beperkt-risico AI zijn Artikel 9 en 27 niet van toepassing. Artikel 26 raakt u zodra u een hoog-risico tool als gebruiksverantwoordelijke inzet, bijvoorbeeld een AI-systeem dat sollicitaties filtert en kandidaten beoordeelt (Bijlage III, punt 4 onder a). Die verplichtingen gaan in op 2 december 2027 (Artikel 113, derde alinea, onder c). Is het systeem vóór die datum in de handel gebracht of in gebruik gesteld, dan gelden ze pas na een aanzienlijke wijziging in het ontwerp. Is zo'n bestaand systeem bedoeld voor gebruik door overheidsinstanties, dan moet het uiterlijk op 2 augustus 2030 voldoen, ook zonder wijziging (Artikel 111, lid 2). Artikel 4 (AI-geletterdheid) raakt iedere organisatie die AI beroepsmatig inzet. De transparantieplichten uit Artikel 50 raken u zodra u bijvoorbeeld een chatbot aanbiedt of met AI deepfakes maakt.
Wat verandert er onder Digital Omnibus
De Digital Omnibus, Verordening (EU) 2026/1744, is op 27 juli 2026 in werking getreden. Hij schuift de toepassingsdatum voor hoog-risico AI uit Bijlage III van 2 augustus 2026 naar 2 december 2027 (Artikel 113, derde alinea, onder c). Voor uw governance betekent dat extra tijd voor de implementatie, maar de structuur zelf kan nu al staan. Drie redenen om nu te beginnen ondanks het uitstel.
AI-geletterdheid (Artikel 4) en de oorspronkelijke verboden uit Artikel 5 gelden sinds 2 februari 2025 en zijn niet uitgesteld. De Digital Omnibus heeft de tekst van Artikel 4 wel vervangen: u neemt maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen, zonder een bepaald niveau per persoon te hoeven waarborgen (Artikel 4, lid 1). Ook voegde hij twee verboden toe die met ingang van 2 december 2026 gelden (Artikel 113, derde alinea, onder a). Het eerste verbiedt AI die zonder uitdrukkelijke toestemming realistisch intiem of seksueel expliciet materiaal van een herkenbaar persoon maakt, zoals nudifiers (Artikel 5, lid 1, onder b bis). Het tweede verbiedt AI-gegenereerd kindermisbruikmateriaal (onder b ter). Uw governance moet hier al op staan. De AI Act schrijft geen werkgroep of coördinator voor. Wel zijn die twee rollen de basis om aan te tonen dat u Artikel 4 naleeft en verboden praktijken uit Artikel 5 op tijd opmerkt.
De transparantieplichten uit Artikel 50 zijn door de Digital Omnibus niet uitgesteld en gelden sinds 2 augustus 2026. Heeft uw website een AI-chatbot, dan moet een bezoeker weten dat hij met AI praat, tenzij dat uit de situatie al duidelijk is. Die plicht rust op de aanbieder van de chatbot (Artikel 50, lid 1). Bouwt u hem zelf, dan bent u dat. Deepfakes maakt u bekend als kunstmatig (Artikel 50 lid 4). Voor AI-tekst geldt dat alleen als u die publiceert om het publiek te informeren over aangelegenheden van algemeen belang. Ook dan vervalt de plicht als een mens de tekst inhoudelijk heeft getoetst en uw organisatie er redactionele verantwoordelijkheid voor draagt. Alleen de machineleesbare markering kent uitstel: aanbieders van generatieve systemen die vóór 2 augustus 2026 in de handel waren, hebben daarvoor tot 2 december 2026 de tijd (Artikel 111, lid 4).
Klanten en inkopers vragen er nu al om. In aanbestedingen en leveranciersbeoordelingen van overheden, banken en grote ondernemingen duiken vragen op over AI-governance, een AI-register, ISO 42001 en incidentprocedures.
Een MKB-startsjabloon
Voor archetype 1 en 2 een sjabloon dat in een uur is in te vullen. Het vormt het governance-deel van uw AI compliance plan.
- Een AI-coördinator (naam, rol, mailadres)
- Een plaatsvervanger (naam, rol, mailadres)
- Een AI-werkgroep van drie tot vijf mensen (vakgebieden: IT, juridisch/HR, businesseigenaren)
- Een vaste agenda voor de kwartaal-review (nieuwe tools, lopende risico's, voortgang AI-geletterdheid)
- Een meld-mailadres voor AI-incidenten en een eenvoudige escalatie-tabel (niveau 1, 2, 3)
- Een jaarlijkse review-datum die in de agenda van directie staat
Een ISO 42001-certificering kunt u later op deze basis bouwen.
Hoe AIComplianceHub helpt
In AIComplianceHub bouwt u een AI-register, AI-beleid en e-learning waarmee uw governance operationeel wordt. De Governance-module zet elk kwartaal op een rij wat aandacht vraagt, zoals verouderde documenten, verlopen certificaten en AI-systemen zonder geplande review. Uw kwartaalcheck legt u er vast als bewijs. De gratis Risicoscanner geeft u een eerste beeld van uw AI-risicoprofiel, de basis voor uw eerste governance-cyclus.
Veelgestelde vragen
Is AI-governance hetzelfde als AI-compliance?
Nee. Compliance is een uitkomst (voldoen aan wet en regelgeving), governance is het systeem dat die uitkomst mogelijk maakt en houdbaar maakt. Een organisatie kan compliance halen zonder formele governance, maar zonder governance is compliance niet vol te houden.
Heb ik ISO 42001 nodig voor goede AI-governance?
Nee. ISO 42001 is een vrijwillige norm die een gestandaardiseerde governance-structuur geeft. Voor MKB met minimaal- of beperkt-risico AI is een lichte governance-opzet zoals beschreven in dit artikel voldoende. ISO 42001 gaat meetellen bij groei naar mid-market, bij hoog-risico AI of bij B2B-eisen van inkopers in finance, zorg en publieke sector.
Heeft een MKB-bedrijf een compliance officer nodig voor de AI Act?
Nee. De AI Act verplicht geen compliance officer of AI-functionaris. Artikel 4, lid 1 vraagt dat u de AI-geletterdheid ondersteunt van uw personeel en anderen die namens u AI-systemen bedienen en gebruiken. Zet u een hoog-risicosysteem uit Bijlage III in, dan draagt u vanaf 2 december 2027 het menselijk toezicht op aan mensen met de nodige bekwaamheid, opleiding en autoriteit (Artikel 26, lid 2; Artikel 113). Is het systeem vóór die datum in de handel gebracht of in gebruik gesteld, dan geldt dat pas na een aanzienlijke ontwerpwijziging (Artikel 111, lid 2).
Wie wijs ik aan als AI-coördinator?
Voor MKB vaak de DPO/FG of compliance officer. Voor mid-market een aparte rol of een 0,5 fte naast IT-management. Vereisten: voldoende mandaat om besluiten te nemen, basale AI-kennis, affiniteit met juridisch werk, communicatie-vaardig naar directie en businesseigenaren. Artikel 4 legt geen eisen op aan één functionaris. Het verplicht u maatregelen te nemen die de ontwikkeling van AI-geletterdheid ondersteunen bij uw personeel en bij anderen die namens u AI-systemen bedienen en gebruiken (Artikel 4, lid 1). Niet per se een techneut.
Hoe vaak moet een AI-werkgroep bij elkaar komen?
Kwartaal voor archetype 2 en 3. Voor archetype 1 (kleinschalig MKB) volstaat een halfjaarlijkse review met de directeur en een externe sparring partner. Belangrijk is niet alleen de frequentie, ook de agenda telt. Een werkgroep zonder vaste agenda-onderdelen (nieuwe tools, status risico's, voortgang AI-geletterdheid) verzandt.
Hoe verhoudt AI-governance zich tot data governance?
Data governance gaat over wie eigenaar is van welke data, hoe data wordt geclassificeerd en hoe kwaliteit wordt geborgd. AI-governance bouwt daarop voort: AI-systemen draaien op data, dus uw AI-besluitvorming is alleen zo betrouwbaar als uw data governance. Mid-market organisaties brengen beide onder in één governance-structuur.
Moet de DPO ook AI-coördinator zijn?
Nee, dat is niet verplicht. Het mag wel, zolang die combinatie niet tot een belangenconflict leidt (Artikel 38 lid 6 AVG): wie meebeslist over de inzet van AI, houdt anders toezicht op eigen besluiten. De DPO/FG heeft ervaring met advies over DPIA's en privacy-by-design. Ook is de FG het aanspreekpunt voor betrokkenen (Artikel 38 lid 4 AVG). Welke AVG-instrumenten iets naast zich krijgen in de AI-praktijk, staat in de AI Act voor de functionaris gegevensbescherming. Voor mid-market en grote organisaties is splitsing zinvoller: de DPO blijft adviseren en toezien op de AVG, de AI-coördinator wordt eigenaar van de AI Act-naleving plus governance. Beide rollen werken nauw samen.