"AI-register" klinkt als iets waar een compliance-afdeling een kwartaal aan kwijt is. In de praktijk is het een lijst, meestal in een spreadsheet, en de eerste versie kost je een middag.
Het is ook een van de weinige documenten waarvan het invullen zelf al het meeste oplevert. Niet omdat de lijst zo bijzonder is, maar omdat je onderweg dingen ontdekt.
Wat erin staat
Per AI-toepassing leg je een handvol dingen vast. Niet alles hoeft voor elke toepassing even uitgebreid; voor een tool die alleen interne teksten netter maakt, volstaat de bovenste helft.
Wat en waarvoor
- Welke tool of toepassing het is.
- Wat het doel is, en in welk proces het zit.
- Welke leverancier en welk model erachter zitten.
- De status: in gebruik, uitgefaseerd, in beproeving.
Gegevens en risico
- Welke gegevens erin gaan.
- Of daar persoonsgegevens bij zitten.
- Een inschatting van het risico: wat gaat er mis als dit fout gaat, en hoe erg is dat.
- Wie er toegang heeft.
Controle en opvolging
- Wie de eigenaar is binnen de organisatie.
- Hoe een mens de uitkomst controleert, en of dat altijd of steekproefsgewijs gebeurt.
- Of klanten er direct mee in aanraking komen, en of dat kenbaar wordt gemaakt.
- Wanneer het opnieuw beoordeeld wordt.
Dat is het. Twaalf tot vijftien kolommen, afhankelijk van hoe je het indeelt.
Wat je ziet zodra het er staat
Dit is het deel dat mensen verrast. De lijst is niet het product; de patronen erin zijn dat wel.
Toepassingen zonder eigenaar. Er staat iets in de lijst waarvan niemand zegt: die is van mij. Dat is niet erg zolang alles goed gaat. Het wordt een probleem op de dag dat de leverancier zijn voorwaarden wijzigt of het model iets doet wat niet klopt, want dan is er niemand die erover gaat.
Drie tools die hetzelfde doen. Verschillende afdelingen zijn zelf iets gaan gebruiken. Meestal kan er dan een weg, en dat scheelt licentiekosten en een leverancier waar gegevens naartoe gaan.
Persoonsgegevens in een tool zonder afspraken. Dit is de belangrijkste. Zodra er persoonsgegevens in gaan, gelden de gewone AVG-regels: die veranderen niet doordat er AI in het proces zit. Er hoort dan een verwerkersovereenkomst te zijn met de partij die die gegevens namens jou verwerkt.
De gratis versie waar de zakelijke had gemoeten. Bij de meeste aanbieders verschilt dat wezenlijk op het punt dat ertoe doet: of er op jouw invoer getraind wordt en hoe lang die bewaard blijft.
Waar het moet staan
Waar jij het bijhoudt. Een spreadsheet, SharePoint, of het systeem dat je toch al gebruikt.
Er is een sterke neiging om hier een tool voor te kopen. Dat is bijna altijd zonde. Een register van tien tot dertig regels heeft geen applicatie nodig; het heeft een eigenaar nodig en een moment waarop het wordt nagelopen. Zonder die twee is elk register, in welke tool dan ook, binnen een half jaar niet meer waar.
Wanneer je het bijwerkt
Drie momenten, en die zijn genoeg:
- Als er een nieuwe tool in gebruik wordt genomen. Dat werkt alleen als er is afgesproken wie daarover beslist; anders hoor je het achteraf of helemaal niet.
- Als er iets verandert aan een bestaande toepassing: ander doel, andere gegevens, andere leverancier.
- Eén vast moment per jaar, in de agenda. Dat is het moment waarop je de tools eruit haalt die niemand meer gebruikt.
Wat het niet is
Een AI-register is geen wettelijk voorgeschreven document met een vaste vorm voor elke organisatie, en het bezitten ervan zegt op zichzelf niets over of je aan de AI Act voldoet. Wat het wel doet: het maakt zichtbaar wat er gebeurt, het geeft je een antwoord als een klant ernaar vraagt, en het is de basis waarop je afspraken kunt maken die ergens over gaan.
Het is ook geen risicoclassificatie in juridische zin. De risico-inschatting in het register is praktisch: wat gaat er mis, hoe erg is dat, wie merkt het. Lijkt een toepassing op iets zwaarders, dan is dat een reden om er met een jurist naar te kijken, niet om zelf een categorie in te vullen.
Beginnen
De AI Act Zelfcheck loopt in twintig vragen langs de onderwerpen die in zo'n register terechtkomen. Je ziet dan meteen waar je nog niets van weet, en dat is de handigste inhoudsopgave die er is.
Wil je het register en de afspraken eromheen in één keer goed neerzetten, dan is dat de AI Governance Starter.