3 manieren waarop de EU AI Act je organisatie beter maakt (als je het goed aanpakt)

De EU AI Act wordt in veel organisaties besproken als last. Weer regels erbij. Weer juridische kosten. Weer documentatie die iemand moet schrijven en die in een map verdwijnt. Dat is begrijpelijk, want regelgeving voelt zelden als kans. Kijk naar wat de act feitelijk van je vraagt en het beeld kantelt.

• Welke AI-systemen gebruik je eigenlijk?
• Wie is verantwoordelijk voor de output?
• Wat doe je als het misgaat?

Dat zijn vragen die elke organisatie zich zou moeten stellen, los van de wet. Als je ze serieus beantwoordt, kom je er sterker uit. Niet omdat je compliant bent, maar omdat je weet hoe technologie door je organisatie loopt.

De meeste organisaties benaderen de EU AI Act als juridisch project. De juridische afdeling brengt de vereisten in kaart, het compliance-team maakt een gap-analyse, en het bestuur vraagt wanneer het klaar is. Compliance die alleen juridisch wordt ingevuld levert documentatie op die niemand leest en classificaties die niemand gebruikt.

Wil je het als organisatie beter doen? Doe het dan anders. Ik werk dat uit langs 3 patronen die ik in advocatenkantoren, financiële instellingen, overheid en onderwijsinstellingen steeds terug zie.

1. Gebruik de risicoclassificatie als aanleiding voor gesprekken die je anders niet voert

De EU AI Act vraagt organisaties om hun AI-toepassingen te classificeren op risiconiveau. Dat klinkt als juridische exercitie, en dat is het ook. Het is tegelijk een uitstekende aanleiding voor gesprekken die de meeste organisaties uit de weg gaan:

• Welke AI-tools gebruiken we eigenlijk?
• Wie heeft die aangeschaft en waarom?
• Wat doen ze precies, en wat is de impact als ze een fout maken?

Wat ik bij onderwijsinstellingen vaak terugzie: een risicoclassificatie-exercitie brengt aan het licht dat er veel meer AI-toepassingen in gebruik zijn dan het bestuur vermoedde. Niet uit kwaadwilligheid, maar omdat afdelingen individueel tools aanschaffen en er geen proces is om dat centraal te melden. De classificatie maakt die versnippering zichtbaar en dwingt het gesprek erover.

Wat werkt: behandel de risicoclassificatie niet als afvinklijst, maar als organisatie-scan. Betrek niet alleen juristen maar ook de mensen die dagelijks met de tools werken. Stel niet alleen de vraag in welke categorie iets valt, maar ook wat er gebeurt als het misgaat en wie dat dan merkt.

2. Bouw transparantie in als werkwijze, niet als documentatie

De act stelt eisen aan transparantie. Je moet kunnen uitleggen hoe een AI-systeem tot een beslissing komt. Voor veel organisaties betekent dat: documentatie schrijven. Documentatie die niemand leest is geen transparantie. Het is een compliance-artefact.

Wil je transparantie serieus nemen? Bouw het dan in als werkwijze. De mensen die met AI-output werken begrijpen wat het systeem doet en wat het niet doet. Stakeholders horen in begrijpelijke taal hoe een aanbeveling tot stand kwam. En er is een cultuur waarin het normaal is om te vragen waarop een uitkomst is gebaseerd.

Dat is meer dan een technische kwestie, het raakt aan vertrouwensarchitectuur. Een structuur waarbinnen mensen zelf kunnen verifiëren. Niet “vertrouw ons, het systeem is getest”, maar “dit is hoe het werkt, en dit is waar je zelf kunt controleren”. Die bouw je niet met documentatie alleen, maar door transparantie onderdeel te maken van hoe je werkt. Niet door het achteraf toe te voegen.

Wat werkt: begin bij de toepassingen met de meeste impact op mensen. Hoe leg je aan een medewerker, klant of burger uit dat er een algoritme bij de beslissing was? Als je daar geen helder antwoord op hebt, begin je daar. Het gaat niet een generiek transparantierapport, maar een concreet antwoord op de vraag die de betrokkene zou stellen.

3. Investeer niet alleen in compliance, ook in leervermogen

De act is geen statisch kader. Technologie verandert sneller dan regelgeving en risico’s verschuiven. Wat vandaag een laag-risico-toepassing is, kan morgen anders uitkomen zodra de context verschuift. Als je dus alleen investeert in voldoen aan de huidige eisen, heb je over twee jaar een compliance-dossier dat niet meer klopt.

Investeren niet alleen in de wet, maar in het vermogen om mee te bewegen. Bouw interne expertise op in plaats van alles uit te besteden en zorg voor structuren waarin nieuwe risico’s worden gesignaleerd en besproken. Behandel governance als doorlopend proces.

Hier komt de verdeling van investering scherp in beeld. In de trajecten die stranden zie ik bijna altijd dezelfde 40-30-30 terugkomen: 40 procent technologie, 30 procent processen, 30 procent mensen en cultuur. De trajecten die wel renderen draaien die verhouding om. Meer in mensen en cultuur, minder in tools. Dat is de 40-30-30-inversie, en het is precies wat je nodig hebt om compliance niet als last maar als startpunt te laten werken.

Wat werkt: plan een kwartaalmoment waarop je de AI-risicoclassificatie reviewt. Niet als audit, maar als leergesprek:

• Wat is er veranderd?
• Welke nieuwe toepassingen zijn erbij gekomen?
• Waar zitten de blinde vlekken?

Dat kwartaaluurtje levert meer op dan een jaarlijks compliance-rapport van tweehonderd pagina’s.

Waar begin je?

Begin dus niet bij de juridische gap-analyse, die komt vanzelf. Begin bij de vraag die ertoe doet. Weten de mensen die dagelijks met AI werken welke systemen ze gebruiken, wat die systemen doen, en wat ze moeten doen als er iets niet klopt? Als het antwoord nee is, heb je een duidelijk startpunt.

De EU AI Act is geen last, het is een aanleiding om je organisatie beter in te richten. De vraag is of je die aanleiding benut of alleen het papierwerk afhandelt.

Bron header-afbeelding: PhotoGranary02 / Shutterstock.com