Beleid
Wie beslist over AI-tools, wie beoordeelt de risico's en wie houdt toezicht? De rollen op een rij, met een eenvoudige overlegstructuur en een AI-register.
AI-governance is het geheel van afspraken over wie in je organisatie beslist over AI-tools, wie de risico's beoordeelt, wie de tools beheert en wie toezicht houdt. De directie is eindverantwoordelijk, de lijn gebruikt en controleert, IT en security beheren, en de functionaris gegevensbescherming of privacy officer adviseert en kijkt mee. Niemand doet het alleen.
Voor een kantoor met dertig mensen is AI-governance geen afdeling en geen handboek. Het is een pagina met namen, een overleg dat doorgaat en een lijst die klopt. Geen wet gebruikt de term of schrijft één vorm voor. De plichten waar het om draait, staan wel in de wet: de verantwoordingsplicht uit de AVG, de regels over de functionaris gegevensbescherming en de bepalingen van de AI Act over AI-geletterdheid en menselijk toezicht.
De Autoriteit Persoonsgegevens (AP) schrijft in haar advies over Microsoft 365 Copilot bij een gemeente, gepubliceerd in juli 2026, dat beleid ook in de praktijk moet worden uitgevoerd en dat medewerkers het moeten kennen. De verantwoordelijkheid moet volgens de AP niet bij een enkele medewerker of afdeling liggen, maar door de hele organisatie worden gedragen. Als niemand is aangewezen, kiest iedere medewerker zijn eigen tool. Wat er dan gebeurt, lees je in het artikel over shadow AI.
De tabel hieronder is een vertrekpunt. In een kleine organisatie vallen rollen samen. Dat mag, behalve bij de functionaris gegevensbescherming: die mag niet zelf beslissen over wat hij moet controleren.
| Rol | Verantwoordelijk voor | Beslist over |
|---|---|---|
| Directie of bestuur | De naleving van de AVG en de AI Act, het budget, de risicobereidheid | Of AI wordt ingezet, het AI-beleid, het accepteren van een restrisico |
| Functionaris gegevensbescherming (FG) | Advies en intern toezicht op de omgang met persoonsgegevens | Niets over doel en middelen; wel over de eigen onderzoeken en adviezen |
| Privacy officer | De uitvoering: register, DPIA's, overeenkomsten, vragen van collega's | Wat de directie aan deze rol heeft gemandateerd |
| IT of applicatiebeheer | Inrichting, accounts, toegangsrechten, koppelingen | Technische instellingen binnen het beleid |
| Security | Beveiligingseisen, incidenten, controle op leveranciers | Of een tool aan de beveiligingseisen voldoet |
| Leidinggevenden in de lijn | Het gebruik in hun team, de controle van de uitkomsten, de training | Voor welke taken het team de tool gebruikt, binnen het beleid |
| Medewerkers | Zorgvuldig gebruik, fouten en incidenten melden | Of een uitkomst goed genoeg is om te gebruiken |
| Inkoop of contractbeheer | Verwerkersovereenkomsten en voorwaarden | Niets inhoudelijk; bewaakt dat er geen contract zonder toets komt |
De AVG legt de plichten bij de verwerkingsverantwoordelijke. Dat is de organisatie, en daarmee haar bestuur. De AP noemt de hoogste bestuurders op haar pagina over de FG "de verwerkingsverantwoordelijke in de zin van de wet". De directie kan taken uitbesteden, de verantwoordelijkheid niet. De leidinggevenden in de lijn zijn eigenaar van het gebruik in hun team: zij zien als eerste wanneer het fout gaat.
IT en security beantwoorden vragen die een jurist niet kan beantwoorden: tot welke documenten heeft de assistent toegang, wie kan een koppeling aanzetten, wat wordt er gelogd? De AP wijst in hetzelfde advies op het belang van autorisaties: als een AI-systeem bij alle documenten kan waar de gebruiker bij kan, worden specifieke autorisaties nog noodzakelijker.
De functionaris gegevensbescherming, in de AVG de functionaris voor gegevensbescherming, is geregeld in de artikelen 37 tot en met 39. Artikel 37 van de AVG noemt drie gevallen waarin de aanwijzing verplicht is:
De AP legt op haar pagina De FG in uw organisatie uit hoe zij dat leest. Bij de eerste groep noemt ze naast rijk, gemeenten en provincies ook zorg- en onderwijsinstellingen. Bij de tweede gaat het bijvoorbeeld om profilering, cameratoezicht en personeelsvolgsystemen. Lidstaten kunnen extra situaties aanwijzen. In Nederland is dat volgens de AP niet gebeurd.
Dan moet je volgens de AP goed kunnen onderbouwen waarom je wel of geen FG hebt aangesteld. "Op grote schaal" en "hoofdzakelijk belast" zijn open begrippen. Ga je met AI meer gevoelige gegevens verwerken dan voorheen, stel de vraag dan opnieuw.
De FG wordt aangewezen op grond van zijn professionele kwaliteiten en zijn deskundigheid op het gebied van de wetgeving en de praktijk van gegevensbescherming. Het mag een eigen medewerker zijn of iemand die je inhuurt. De organisatie maakt de contactgegevens bekend en geeft ze door aan de toezichthouder. De AP schat het aantal FG's in Nederland op ongeveer 10.000.
Artikel 39 noemt vijf taken die de FG ten minste vervult:
Artikel 38 beschermt de positie. De organisatie betrekt de FG naar behoren en tijdig bij alle aangelegenheden die met de bescherming van persoonsgegevens te maken hebben. De FG krijgt toegang tot gegevens en verwerkingen en de middelen om zijn werk te doen. Hij ontvangt geen instructies over de uitvoering van zijn taken, wordt daarvoor niet ontslagen of gestraft en brengt rechtstreeks verslag uit aan de hoogste leidinggevende. Andere taken mogen, zolang ze niet tot een belangenconflict leiden.
De AP maakt dat laatste concreet. De FG mag niet ook een functie hebben waarin hij het doel en de middelen van een verwerking bepaalt, zoals een managementpositie als hoofd financiën, strategie, marketing, IT of HRM, of als CISO. De Uitvoeringswet AVG voegt in artikel 39 een geheimhoudingsplicht toe voor wat de FG door een klacht of verzoek van een betrokkene te weten komt.
De FG is niet de eigenaar van het privacybeleid en niet degene die AI-tools goedkeurt. Op haar pagina over de taken en verantwoordelijkheden van de FG schrijft de AP dat de naleving de verantwoordelijkheid is van de organisatie, dat de FG niet persoonlijk aansprakelijk is bij een overtreding en dat het bijhouden van het overzicht van verwerkingen geen taak van de FG is. Bij een DPIA ben je verplicht de FG om advies te vragen, en je legt vast wat je met dat advies hebt gedaan. Meer daarover in het artikel over de DPIA voor AI-tools.
Voor AI-governance betekent dit: de FG zit aan tafel, vroeg en met alle informatie, maar tekent niet voor het besluit.
De AVG kent de privacy officer niet. Het is een functienaam die organisaties zelf invullen. De FG is een wettelijke rol.
| Functionaris gegevensbescherming | Privacy officer | |
|---|---|---|
| Wettelijke basis | Artikelen 37 tot en met 39 van de AVG | Geen |
| Taak | Adviseren en intern toezicht houden | Uitvoeren, organiseren, vaak ook adviseren |
| Positie | Onafhankelijk, geen instructies, rechtstreeks naar de hoogste leiding | Gewone medewerker of adviseur in de lijn |
| Bescherming | Niet ontslagen of gestraft voor de uitvoering van de taken | De gewone arbeidsrechtelijke positie |
| Aanmelden bij de AP | Ja | Nee |
| Mag meebeslissen over doel en middelen | Nee | Ja, als dat zo is afgesproken |
Stel je vrijwillig iemand aan en noem je die persoon functionaris gegevensbescherming, dan gelden volgens de AP dezelfde regels als voor een verplichte FG, inclusief de aanmelding. Wil je die eisen niet stellen, dan raadt de AP aan een andere naam te gebruiken, bijvoorbeeld privacy officer, en binnen en buiten de organisatie duidelijk te maken dat deze persoon geen FG in de zin van de wet is.
De AP geeft in haar hulpmiddel voor generatieve AI een aanwijzing voor de bezetting: laat het invullen door privacyprofessionals, IT-specialisten en vertegenwoordigers van de onderdelen die AI willen inzetten, en betrek de FG op tijd. Dat is in het klein al een AI-overleg. Dagelijkse vragen horen daar niet, en een incident volgt de procedure voor datalekken.
De AVG en de AI Act schrijven een organisatie die AI alleen gebruikt geen intern "AI-register" met die naam voor. Het is een praktisch hulpmiddel. Zonder lijst weet het overleg niet waarover het gaat.
Het verwerkingsregister is wel verplicht en beschrijft verwerkingen van persoonsgegevens. Het AI-register beschrijft tools, ook als er geen persoonsgegevens in gaan. De twee verwijzen naar elkaar. Hoe een regel voor een AI-tool eruitziet, staat in het artikel over het verwerkingsregister. Overheden hebben daarnaast een openbaar register voor algoritmes. Zie het artikel over het Algoritmeregister en het IAMA.
Governance zegt wie beslist. Het beleid zegt wat er is besloten. De training zorgt dat medewerkers het weten.
Het AI-beleid is het document dat het overleg beheert: toegestane tools, gegevens, verboden gebruik, rollen en incidenten. Hoe je het opstelt, lees je in AI-beleid opstellen.
Artikel 4 van de AI Act is op 27 juli 2026 gewijzigd. Volgens de aangenomen tekst van de digitale omnibus nemen aanbieders en gebruiksverantwoordelijken maatregelen om de ontwikkeling van AI-geletterdheid van hun personeel te ondersteunen. De plicht vraagt niet dat je een bepaald niveau van elke medewerker garandeert. Voor governance betekent dit dat iemand eigenaar is van de training en kan laten zien wat er is gedaan. De uitwerking staat in het artikel over AI-geletterdheid.
Gebruik je een systeem dat onder de AI Act hoog risico is, dan komen er plichten bij. Artikel 26 vraagt onder meer dat je het menselijk toezicht toewijst aan natuurlijke personen met de nodige bekwaamheid, opleiding en bevoegdheid. De eisen voor de toepassingen uit bijlage III gelden volgens de Europese Commissie vanaf 2 december 2027. Wat hoog risico is en wat nu al geldt, lees je in de AI Act uitgelegd. Of een toepassing van jou eronder valt, is een juridische beoordeling.
PrivaSearch is een hulpmiddel binnen je governance, geen vervanging ervan. Het pseudonimiseert persoonsgegevens in documenten voordat een AI-assistent erin zoekt. Wie beslist dat je het gebruikt, wie eigenaar is en wie toezicht houdt, bepaal je zelf.
Een paar onderdelen sluiten aan op de rollen uit dit artikel. Niets wordt doorzoekbaar zonder dat een medewerker het document heeft bekeken en goedgekeurd: de review is verplicht. Medewerkers volgen een ingebouwde training die periodiek wordt herhaald. Handelingen worden gelogd. De uitleg staat op de pagina over de werking.
Je omgeving maakt daarnaast vier startdocumenten uit één formulier: een AI-beleid met onder meer een hoofdstuk over rollen en incidenten, een DPIA-startdocument, een registervermelding en de uitgeschreven grondslag. Ze staan beschreven op de pagina over de AVG en de AI Act. Het zijn startdocumenten en geen juridisch advies. Het advies van je functionaris gegevensbescherming en de formele vaststelling door de directie blijven van jou.
Wat een gekoppelde assistent te zien krijgt, en wat je daarvoor zelf regelt, staat op de pagina over AI-chatbots en de AVG. Wil je zien hoe de review, de training en de documenten eruitzien, vraag dan een demo aan.
Een afspraak op één pagina: wie beslist over nieuwe AI-tools, wie vooraf naar de risico's kijkt, wie de tools beheert en wie controleert of het gebruik binnen de afspraken blijft. In een kleine organisatie zijn dat vaak drie of vier mensen die een paar keer per jaar overleggen, met een lijst van de tools die in gebruik zijn. Een aparte afdeling is niet nodig.
Niet door het gebruik van AI alleen. De aanwijzing is verplicht voor overheidsinstanties, voor organisaties die hoofdzakelijk op grote schaal mensen stelselmatig observeren en voor organisaties die hoofdzakelijk op grote schaal bijzondere of strafrechtelijke gegevens verwerken. Gaat je organisatie met AI meer gevoelige gegevens verwerken, dan kan het antwoord veranderen. Is het onduidelijk, dan moet je je keuze kunnen onderbouwen.
De functionaris gegevensbescherming is een wettelijke rol: onafhankelijk, zonder instructies, met rechtstreekse toegang tot de hoogste leiding en aangemeld bij de Autoriteit Persoonsgegevens. De privacy officer is een functienaam zonder wettelijke status, meestal iemand die het privacywerk uitvoert en organiseert. Een privacy officer mag meebeslissen over verwerkingen, een FG niet. Een organisatie kan beide hebben: de privacy officer voert uit, de FG controleert.
Nee. De FG adviseert en houdt toezicht. Volgens de Autoriteit Persoonsgegevens mag de FG geen functie hebben waarin hij het doel en de middelen van een verwerking bepaalt, omdat hij dan zijn eigen besluit zou controleren. De directie of een gemandateerde leidinggevende beslist. De organisatie betrekt de FG wel tijdig en vraagt bij een DPIA verplicht om advies.
De organisatie blijft als verwerkingsverantwoordelijke aanspreekbaar op wat er met persoonsgegevens gebeurt. De functionaris gegevensbescherming is volgens de Autoriteit Persoonsgegevens niet persoonlijk aansprakelijk bij een overtreding. Of een medewerker iets te verwijten valt, hangt af van de afspraken die er waren en of hij die kende. Daarom horen beleid, training en een meldprocedure bij elkaar.
Een intern AI-register met die naam staat niet in de AVG of de AI Act als plicht voor organisaties die AI alleen gebruiken. Het verwerkingsregister is wel verplicht voor verwerkingen van persoonsgegevens, en voor overheden bestaat een openbaar register voor algoritmes. Een eigen lijst van AI-toepassingen is vooral praktisch: zonder overzicht kun je geen risico's beoordelen en geen training afstemmen.
Medewerkers gebruiken AI-chatbots vaak buiten het zicht van de organisatie. Wat dat is, wat er mis kan gaan en hoe je er in stappen grip op krijgt.
Waar een geüpload bestand terechtkomt, hoe lang het blijft staan, wie erbij kan en wat verwijderen betekent. Met vier routes voor dossiers.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →