Veel financieel directeuren (CFO’s) kunnen beslissingen van hun AI-systemen niet goed uitleggen aan auditors. Dat veroorzaakt spanningen bij jaarrekeningen en interne controles in Nederland en de EU. De kern: het algoritme werkt, maar de onderbouwing ontbreekt. Dit speelt nu extra door de Europese AI-verordening en de gevolgen voor overheid en bedrijfsleven.
Audits vragen om uitlegbaarheid
Auditors willen weten hoe een model tot een uitkomst komt. In finance worden algoritmen gebruikt voor bijvoorbeeld prognoses, factuurmatching en fraudedetectie. Vaak komt de software uit cloudplatforms of ERP-systemen en voelt voor de CFO als een ‘zwarte doos’.
Bij controles op interne beheersing tellen onderbouwing en reproduceerbaarheid. Zonder heldere documentatie over data, aannames en modelkeuzes stokt het gesprek met de auditor. Dan is het lastig om een correct cijfer of risico-inschatting te verdedigen.
Ook generatieve AI, zoals OpenAI GPT-4, Google Gemini of Microsoft Copilot, maakt het lastiger. Deze systemen geven soms wisselende antwoorden op dezelfde vraag. Dat botst met de behoefte aan stabiele, verifieerbare audit-trails.
Uitlegbare AI betekent dat je in begrijpelijke stappen kunt laten zien waarom een model precies déze uitkomst gaf, met welke data en met welke regels.
Tekort aan AI-governance
Veel organisaties missen een actueel overzicht van alle modellen in gebruik. Er is geen lijst met eigenaren, risico-indeling of afspraken over testen en updates. Leveranciersfuncties in ERP-software, zoals SAP en Oracle, worden ingevoerd zonder eigen toetsing op uitlegbaarheid.
Stevige AI-governance vraagt om een modellencatalogus, versiebeheer en vaste testprotocollen. Leg vast welke data zijn gebruikt, met welk doel en onder welke beperkingen. Zorg dat een mens belangrijke beslissingen kan beoordelen en zo nodig corrigeren (human-in-the-loop).
Documentatie helpt bij de audit. Denk aan ‘model cards’ (korte fiches met doel, data en prestaties) en ‘datasheets’ (herkomst en kwaliteit van data). Log elk modelresultaat, inclusief parameters en gebruikte brondata, zodat het later te herhalen is.
EU-regels verhogen druk
De Europese AI-verordening (AI Act) plaatst bepaalde toepassingen in een hoogrisicoklasse. Dat geldt bijvoorbeeld voor kredietbeoordeling en werving, processen die ook onder CFO-verantwoordelijkheid kunnen vallen. Hoogrisicosystemen moeten straks voldoen aan strengere eisen, zoals risicobeheer, datakwaliteit, technische documentatie en logging.
Daarnaast blijft de AVG gelden bij persoonsgegevens. Organisaties moeten dataminimalisatie toepassen en kunnen een Data Protection Impact Assessment nodig hebben. Bij geautomatiseerde besluiten moet “zinvolle informatie” over de logica beschikbaar zijn, zodat betrokkenen hun rechten kunnen uitoefenen.
In Nederland verwachten toezichthouders als DNB en AFM op het moment van schrijven robuust modelrisicobeheer bij financiële instellingen. Overheden werken met algoritmeregisters om inzicht te geven in gebruikte systemen. Deze praktijk zet ook private organisaties aan tot meer transparantie richting klanten en auditors.
Acties voor CFO’s nu
Begin met een inventarisatie van alle algoritmen, inclusief generatieve AI in rapportage en analyse. Wijs per model een eigenaar aan, bepaal het risico en leg controlestappen vast. Vraag leveranciers als Microsoft, SAP, Oracle en Google Cloud om technische documentatie en auditlogs, en neem die eisen op in contracten.
Introduceer eenvoudige uitlegbaarheidstools. Methoden als SHAP en LIME leggen in gewone taal uit welke factoren de uitkomst bepalen. Maak voor generatieve AI duidelijke richtlijnen voor prompts, gegevensgebruik en goedkeuring, en koppel die aan interne controles.
Investeer in kennis bij finance, IT en internal audit. Train teams om modelprestaties te testen, bias op te sporen en resultaten te herhalen. Plan tijdig voor externe assurance, zeker als de toepassing waarschijnlijk onder de hoogrisicoregels van de AI Act valt.
Grenzen van generatieve AI
Grote taalmodellen (LLM’s) zoals GPT-4, Gemini en Claude kunnen hallucineren: ze vullen onterecht feiten in. De uitkomst is bovendien niet altijd exact te herhalen. Dat maakt ze ongeschikt als enkelvoudige bron voor auditbewijs of cijfermatige toelichtingen.
Wees voorzichtig met gevoelige data in cloud-API’s. Gebruik bedrijfsvarianten met strikte instellingen voor dataretentie en toegangsbeheer. Overweeg retrieval augmented generation (RAG): het model zoekt eerst in goedgekeurde interne bronnen en verwijst daarna naar die stukken, wat de controleerbaarheid verhoogt.
Leg een volledig spoor vast: prompt, gebruikte modelversie, parameters en bronbestanden. Behandel AI-tekst als concept en laat altijd een mens de eindbeslissing nemen. Zo blijven betrouwbaarheid en verantwoording op peil tijdens audits.