Hoe risicomanagers en compliance managers grip houden op AI die steeds zelfstandiger wordt
Dit artikel is onderdeel van de reeks ‘AI-governance in de praktijk’. Dit artikel richt zich daarbij specifiek op risicomanagers en compliance managers in de tweede lijn. De centrale vraag is: hoe kunnen zij kritisch toetsen en adviseren, zonder het eigenaarschap van de eerste lijn over te nemen?
De methode in één regel: één eigenaar in de eerste lijn, vier beslismomenten en twee vaste bewijslijnen voor de tweede lijn.
De bekende instrumenten zijn niet het probleem
Beleid, risicokaders, compliancechecks, monitoring en evaluatie zijn bekende bouwstenen van de tweede lijn. Veel organisaties hebben ze inmiddels op papier. Toch blijft opschaling lastig, omdat deze onderdelen vaak niet samenkomen wanneer een keuze nodig is. Een register kan bijvoorbeeld verouderd zijn, een normenkader kan daarnaast losstaan van de praktijk en een eigenaar zonder mandaat kan bovendien niet ingrijpen.
Mijn aanpak maakt daarom van deze losse onderdelen één besluitstelsel: één eigenaar in de eerste lijn, vier beslismomenten en twee bewijslijnen. De tweede lijn verbindt daarbij normen, risico’s en bewijs. Richting wordt een kort besluitcontract, ritme krijgt een vaste plaats in de levenscyclus en bewijs zorgt er ten slotte voor dat alle betrokkenen naar dezelfde actuele feiten kijken. Dáár zit dus het onderscheid: de tweede lijn neemt niet over, maar maakt zichtbaar of een besluit verantwoord is.
Waarom dit juist nu nodig is
Vanaf 2 augustus 2026 is het grootste deel van de Europese AI-verordening van toepassing; voor enkele toepassingen met een hoog risico gelden daarbij latere data. Maar wetgeving is slechts één reden om sneller te sturen. Leveranciers voegen bovendien AI-functies via gewone software-updates toe. Zo kan nieuwe functionaliteit ontstaan zonder een apart project, een nieuwe aanbesteding, een duidelijk bestuursbesluit of een nieuwe toets door de tweede lijn.
Bij AI-agents wordt dit bovendien nog belangrijker. Zij geven daarbij niet alleen antwoord, maar kunnen ook gegevens lezen of wijzigen, berichten versturen en acties uitvoeren. Het risico verschuift dan ook van een verkeerd antwoord naar een verkeerde handeling. Daarom moeten nieuwe toepassingen, leveranciersupdates, wijzigingen in doel of data en incidenten altijd een nieuwe governancecheck starten.
Vier gebeurtenissen die altijd tot een nieuwe governancecheck moeten leiden
1. Een nieuwe AI-toepassing of pilot begint.
2. Een leverancier voegt een AI-functie, connector of agent toe.
3. Het doel, de doelgroep, de gebruikte data of de zelfstandigheid van het systeem verandert.
4. Een klacht, incident, afwijkende uitkomst of onverwacht patroon wordt zichtbaar.
1. Richting wordt een besluitcontract
Voor iedere belangrijke AI-toepassing moet de eerste lijn daarom een kort besluitcontract kunnen laten zien. De tweede lijn moet dit vervolgens kunnen toetsen. Eén goed ingevulde pagina is daarbij genoeg als vijf punten helder zijn.
- De toepassing: in welk proces wordt AI gebruikt en welke uitkomst beïnvloedt zij?
- De waarde: welk probleem wordt opgelost en welke concrete verbetering verwachten we?
- De menselijke rol: welke beslissing, controle of verantwoordelijkheid blijft bij een mens?
- De grens: welke data, acties en mate van zelfstandigheid zijn wel en niet toegestaan?
- De stopregel: welk signaal leidt tot extra onderzoek, beperking, pauze of stopzetting?
Dit contract voorkomt daarmee dat “we gaan iets met AI doen” als strategie wordt gezien. De tweede lijn vult het niet zelf in, maar gebruikt het voor kritische vragen en advies. Het dwingt vooraf keuzes af en maakt waarde meetbaar. Die waarde kan bijvoorbeeld bestaan uit lagere kosten, minder fouten, een kortere doorlooptijd, betere uitleg of hogere klanttevredenheid. De tweede lijn beoordeelt of nulmeting, resultaatmaatstaf en risicogrenzen samen een besluit ondersteunen. Anders meet de organisatie vooral gebruik, geen waarde.
2. Ritme wordt vier vaste beslismomenten
AI verandert namelijk na ingebruikname: data verschuiven, medewerkers werken anders en leveranciers brengen bovendien nieuwe versies uit. Eén toets vooraf is daarom niet genoeg. De tweede lijn moet vervolgens bewaken dat de governance op vier vaste momenten terugkomt, binnen bestaande processen voor projecten, inkoop, wijzigingen, risico, audit en rapportage.
Beslismoment | Vraag aan de eerste lijn | Wat moet de tweede lijn kunnen vaststellen? |
1. Voor de start | Mogen we beginnen? | Doel, doelgroep, eigenaar, data, rol, risicoklasse, menselijke verantwoordelijkheid en grenzen zijn helder. |
2. Voor ingebruikname | Mag dit naar de praktijk? | Tests, uitleg, logging, menselijke controle, beveiliging, |
3. Na ingebruikname | Werkt het zoals bedoeld? | Waarde, prestaties, fouten, klachten, verschillen tussen groepen, |
4. Na wijziging of incident | Wat herstellen en veranderen we? | Oorzaak, maatregel, eigenaar, termijn, hertest en effectmeting zijn vastgelegd. |
Deze momenten kunnen bijvoorbeeld worden ingericht als Definition of Ready, Definition of Done, Review en CAPA. De namen zijn daarbij minder belangrijk dan de rolverdeling: de bevoegde eerste lijn of het bestuur besluit, terwijl de tweede lijn adviseert, voorwaarden stelt, monitort en zo nodig escaleert. Ieder moment eindigt dus met starten, doorgaan onder voorwaarden, opschalen, herstellen, pauzeren of stoppen.
3. Bewijs wordt twee vaste bewijslijnen
Een risicomanager of compliance manager hoeft daarbij geen technisch dossier van honderden pagina’s te lezen. De onderbouwing moet echter wel steeds op dezelfde manier beschikbaar zijn. Daarom werk ik met twee vaste bewijslijnen voor gerichte toetsing en rapportage.
De eerste is namelijk het AI-register. Dat toont per toepassing wat het systeem doet, welke rol en risicoklasse gelden, wie eigenaar is, welke leverancier betrokken is en wanneer de laatste beoordeling plaatsvond. Zo ziet de tweede lijn bovendien wat ontbreekt of opnieuw moet worden beoordeeld.
De tweede is vervolgens het bewijspakket voor de review, met actuele informatie over waarde, prestaties, fouten, uitleg, verschillen tussen groepen, logboeken, menselijke correcties, klachten, incidenten en verbetermaatregelen. Bij een agent komen daar bovendien hulpmiddelen, uitgevoerde acties, bevoegdheden en de noodstop bij. Hiermee duiden risicomanagers risico’s en afwijkingen, terwijl compliance managers beoordelen of normen aantoonbaar worden nageleefd. Zo kijken bestuur, RvC, tweede lijn en audit naar dezelfde feiten. Ontbreekt één bewijslijn, dan is een onderbouwd advies niet mogelijk en is het dossier nog niet besluitrijp.
De kern van de aanpak
- Richting zonder ritme blijft een voornemen.
- Ritme zonder bewijs wordt een vergadercircuit.
- Bewijs zonder richting wordt bureaucratie.
Een openbare praktijkcase voor de tweede lijn: de chatbot van Air Canada
Een klant vroeg eerst de chatbot van Air Canada naar een speciaal tarief na een overlijden. De chatbot gaf vervolgens informatie die niet klopte met het officiële beleid. De klant vertrouwde daardoor op het antwoord en leed financieel nadeel.
Air Canada stelde daarop dat het niet verantwoordelijk was voor de chatbot. Het Canadese Civil Resolution Tribunal wees dat echter af: de chatbot was onderdeel van de website en de organisatie bleef verantwoordelijk voor de informatie. De zaak is weliswaar geen Nederlands precedent, maar de bestuurlijke les is helder: een chatbot, agent of leverancier neemt het eigenaarschap niet over.
Voor de tweede lijn laat de methode hiermee direct zien waar de kritische toets had moeten plaatsvinden. Bij richting was ten eerste onvoldoende duidelijk dat klanten op het antwoord een financiële keuze konden baseren. Het ritme had vervolgens controles moeten bevatten op verschillen tussen de chatbot en het officiële beleid, ook na wijzigingen. Het bewijs had ten slotte moeten tonen welke bron en versie werden gebruikt, wat was getest, welke klachten binnenkwamen en wanneer de toepassing moest worden aangepast of uitgezet.
Vier vragen waarmee de tweede lijn binnen tien minuten zwakke plekken zichtbaar maakt
Kies daarom voor een eerste toets één belangrijke toepassing en stel de eerste lijn vervolgens vier vragen. Die maken vaak binnen tien minuten zichtbaar waar het dossier nog zwak is en waar de tweede lijn moet doorvragen.
Vraag van de tweede lijn | Zwak antwoord | Sterk antwoord |
1. Welke toepassing is het precies? | “Wij gebruiken Copilot” of “we hebben een chatbot”. | “In de schade-intake vat AI documenten samen en stelt zij een route voor. Een medewerker beslist. De toepassing raakt particuliere klanten.” |
2. Wie is de eigenaar? | “IT”, “de projectgroep” of “de leverancier”. | “De directeur Schade is persoonlijk eigenaar van waarde en risico, heeft een vervanger en mag de toepassing pauzeren.” |
3. Welk getal laat de waarde zien? | “Zeventig procent gebruikt de tool” of “een medewerker bespaart twintig minuten”. | “De doorlooptijd daalt van vijf naar drie dagen. Minimaal 95 procent van de dossiers is in één keer goed en klachten stijgen niet.” |
4. Wanneer pauzeren of stoppen we? | “Als iets misgaat, kijken we ernaar.” | “We pauzeren bij te lage nauwkeurigheid, meer klachten, te veel menselijke correcties of een leverancierswijziging zonder nieuwe beoordeling.” |
De percentages zijn hierbij voorbeelden. Een sterk antwoord is concreet, meetbaar en gekoppeld aan een bevoegd persoon. De tweede lijn beoordeelt vervolgens of het past bij de risico’s, normen en afgesproken grenzen.
Wie moet wat doen?
De eerste lijn blijft allereerst eigenaar en levert bewijs over waarde, werking, incidenten en herstel. De risicomanager duidt daarnaast de risicoklasse, risico’s, grenzen en afwijkingen. De compliance manager vertaalt normen naar concrete eisen en beoordeelt of afspraken aantoonbaar worden nageleefd. Samen stellen zij kritische vragen, adviseren zij en escaleren zij bij onvoldoende bewijs, zonder de uitvoering over te nemen. Internal audit toetst onafhankelijk of bewijs en praktijk overeenkomen. Het bestuur maakt ten slotte de keuzes en stelt mensen, tijd en geld beschikbaar.
De RvC of RvT vervult een dynamische rol van advies en toezicht. De tweede lijn ondersteunt die rol met feiten over het beslismoment, het bewijs en de openstaande maatregelen. Bij een kennislacune, grote menselijke gevolgen, sterke leveranciersafhankelijkheid of zwak bewijs kan de raad tijdelijk dichter aansluiten. Zodra het bestuur voldoende deskundig is en de werking stabiel is, kan de raad weer meer afstand nemen. De kernvragen blijven: welk beslismoment is aan de orde, welk advies geeft de tweede lijn en welk besluit neemt het bestuur?
Wat de tweede lijn morgen kan doen
Neem daarom morgen één materiële AI-toepassing en voer samen met de eerste lijn deze korte oefening uit:
- Vraag de eerste lijn eerst de toepassing in één zin te beschrijven: proces, taak, uitkomst en doelgroep.
- Controleer daarna of één persoonlijke eigenaar verantwoordelijk is voor waarde én risico.
- Vraag vervolgens om één waardegetal en minimaal één harde grens.
- Bepaal ook in welk van de vier beslismomenten de toepassing nu zit.
- Vraag dan om de twee bewijslijnen: het actuele register en het bewijspakket uit de praktijk.
Lukt dit niet, dan is het dossier nog niet besluitrijp. Vraag de eerste lijn om aanvulling of adviseer tijdelijke begrenzing. Neem het dossier daarbij niet zelf over.
De praktische toets
De methode laat de tweede lijn dus snel zien wat ontbreekt: een eigenaar, een beslismoment of actueel bewijs. Daardoor kan zij gericht adviseren, voorwaarden stellen en escaleren. Haar advies kan een toepassing begrenzen, maar ook versnellen wanneer doel, grens en bewijs helder zijn.
Feiten boven oordeel. Bewijs boven beleid. Advies zonder overname. Besluit boven bespreking.
Kortom, kan de tweede lijn voor één toepassing uitleggen waarom AI wordt ingezet, wie in de eerste lijn verantwoordelijk is, welke waarde en risico’s zichtbaar zijn en wanneer wordt ingegrepen? Dan helpt zij de organisatie AI aantoonbaar te besturen, zonder de uitvoering over te nemen.
Dit artikel is onderdeel van de reeks ‘AI-governance in de praktijk’. Volgende artikelen gaan onder meer over het AI-register, AI-geletterdheid en -vaardigheid, menselijk toezicht, procesherontwerp, leveranciers, monitoring en agentische AI.
Bronnen bij de actuele voorbeelden
- Europese Commissie - AI Act: toepassing, toezicht en tijdlijn
- Microsoft Learn - Release Notes for Microsoft 365 Copilot
- Microsoft Learn - Add tools to custom agents
- Moffatt v. Air Canada, 2024 BCCRT 149
- Hein van den Steenhoven - AI Governance in de Praktijk, 2026
