Nederlandse organisaties willen meer controle op kunstmatige intelligentie, maar de data blijkt vaak de zwakke schakel. Nieuwe regels uit Brussel maken die kloof zichtbaar, met directe Europese AI-verordening gevolgen overheid en bedrijfsleven. Bedrijven rollen tools als Microsoft Copilot, ChatGPT (OpenAI) en Google Gemini breed uit. Toch blijft de basis lastig: wie beheert de data, hoe schoon is die, en wat mag er onder de AVG?
Controle groeit, data hapert
Organisaties zetten sneller interne spelregels op voor AI. Er komen goedkeuringsprocessen, veilige testomgevingen en “guardrails” tegen fout of risicovol gebruik. Leveranciers beloven filters, contentcontrole en beleid op maat. Maar die lagen lossen de kern niet op als de data eronder rommelig is.
De meeste problemen ontstaan bij brondata. Gegevens zitten in losse silo’s, hebben dubbele definities of missen een eigenaar. Daardoor leveren algoritmen onzekere of tegenstrijdige uitkomsten. Ook het bijhouden van herkomst en versies schiet vaak tekort.
De risico’s worden zichtbaar bij kantoor- en financiële processen. Teams gebruiken Copilot in Microsoft 365 of Gemini om teksten en analyses te maken. Als SharePoint-mappen slecht zijn ingedeeld, lekt context of worden oude cijfers herhaald. Beveiligingsregels helpen, maar zonder goede classificatie werken ze beperkt.
AI-verordening dwingt databeheer
De Europese AI-verordening legt, op het moment van schrijven, gefaseerd eisen op. Hoog-risicosystemen moeten een risicobeheersproces, technische documentatie en streng databeheer hebben. Voor algemene AI-modellen (zogeheten GPAI) gelden transparantie- en veiligheidsmaatregelen. Deadlines lopen de komende één tot twee jaar op.
De publieke sector krijgt extra aandacht. Gemeenten en uitvoeringsorganisaties die algoritmen inzetten voor besluiten of selectie moeten risico’s toetsen en systemen registreren. In Nederland sluiten het Algoritmekader Rijk en lokale algoritmeregisters hierop aan. Dit zijn concrete Europese AI-verordening gevolgen overheid die nu werkprocessen veranderen.
Inkoop verandert daardoor mee. Afnemers vragen modelkaarten, datasheets en Europese datalokalisatie. Diensten zoals Azure OpenAI Service en Vertex AI bieden EU-regio’s, maar contracten en technische waarborgen blijven nodig. Anders blijft de AVG-compliance op losse schroeven staan.
“Data governance is het geheel van processen, rollen en controles waarmee data betrouwbaar, vindbaar en veilig blijft gedurende de hele levenscyclus.”
Accountants vragen harde bewijzen
De accountancy kijkt vooral naar aantoonbaarheid. Als AI meedraait in rapportages of controles, moet er een spoor zijn van prompts, datasets, modelversies en besluiten. Zonder logboeken en duidelijke rollen is assurance lastig. Dat leidt tot vertraging of extra werkzaamheden bij audits.
Bij financiële processen geldt: hulpmiddel of kern van de beheersing? Als een model transacties matcht of risico’s weegt, moet het proces herleidbaar en te testen zijn. Denk aan functieverdeling bij modelwijzigingen en een change-log die vastligt. Anders wordt betrouwbaarheid van cijfers onderwerp van discussie.
Leveranciers bouwen AI in boekhoud- en ERP-pakketten in. Organisaties moeten vastleggen wat het systeem precies doet en welke data het gebruikt. Een korte beschrijving in het procesdossier helpt al, met bewijs van controles en fallback-stappen. Zo blijft de eindverantwoordelijkheid bij het management helder.
Privacy eerst, dan modellering
De AVG stelt duidelijke grenzen. Dataminimalisatie, doelbinding en versleuteling zijn basisregels. Bij gevoelige toepassingen hoort een DPIA, een privacy-risicoanalyse. Training op persoonsgegevens vraagt een geldige grondslag en strikte bewaartermijnen.
Veel organisaties kiezen voor retrieval augmented generation, een techniek die een taalmodel laat antwoorden op basis van interne bronnen. Zo blijft gevoelige data buiten het model zelf. Het verkleint het risico op ongewenst hergebruik van persoonsgegevens. Toegang op basis van rollen en automatisch verwijderen blijven wel nodig.
Praktische stappen winnen terrein. Begin met een datacatalogus en wijs data-eigenaren aan. Leg datacontracten vast tussen teams, met definities en kwaliteitsregels. Test AI-systemen klein en meetbaar, met heldere stopknoppen en periodieke beoordelingen.
Open modellen, duidelijke grenzen
Open en gesloten modellen groeien naar elkaar toe. Bedrijven verkennen Meta’s Llama en Mistral-modellen naast diensten van OpenAI en Google. Een hybride aanpak is logisch: gesloten modellen voor productiviteit, open modellen on-premise voor gevoelige data. De keuze hangt af van herleidbaarheid, kosten en privacy-eisen.
Databeperkingen blijven leidend, ook bij krachtige modellen. Hallucinaties en bias nemen af met betere, actuele en goed gelabelde bronnen. Zonder datakwaliteit neemt de druk op menselijke controle toe. Dan verdwijnt de beloofde tijdwinst snel.
De les is nuchter: eerst data, dan automatisering. Organisaties die nu investeren in eigenaarschap, logging en schoon bronbeheer plukken later de vruchten. Ze voldoen makkelijker aan de AI-verordening en de AVG. En ze krijgen betrouwbaardere uitkomsten uit hun algoritmen en datamodellen.