De EU-wetgeving inzake kunstmatige intelligentie is al van kracht, er worden al sancties opgelegd en de meeste bedrijven kunnen hun eigen AI-systemen niet classificeren. De governancekloof is niet langer theoretisch; het is een last die op de balans staat.
De afgelopen drie jaar hebben besturen enthousiast AI ingezet voor werving, kredietverlening, klantenservice, bedrijfsvoering en strategie. De meeste hebben dit echter gedaan zonder de benodigde governance-structuur te ontwikkelen. Nu is het regelgevingskader er, en het is niet mis te verstaan.
Delen van de EU-wetgeving inzake kunstmatige intelligentie zijn al van kracht. Verboden op onaanvaardbare AI-praktijken zijn in februari 2025 ingegaan. Sancties voor aanbieders van algemene AI-modellen zijn in augustus 2025 van kracht geworden. De volledige handhaving van de regelgeving tegen risicovolle AI-systemen zal nu gefaseerd ingaan tussen augustus en december 2027. De periode tot dan is geen adempauze, maar een volledige landingsbaan.
En toch is de kloof in paraatheid opvallend groot. Een onderzoek van AppliedAI naar 106 AI-systemen binnen bedrijven wees uit dat 40% hun eigen risicoclassificatie volgens de wet niet duidelijk kon vaststellen. De meest fundamentele stap in het complianceproces blijft voor een groot deel van de implementaties binnen bedrijven onvoltooid. Een meerderheid van de C-suite leiders beschouwt het niet-naleven van de regelgeving nu als hun grootste zorg met betrekking tot AI. De achterblijvende factor is de operationele respons.
Dit is de kern van het probleem. De investeringen in AI zijn reëel. De concurrentiedruk om AI in te zetten is reëel. De wettelijke verplichtingen zijn nu reëel. Wat echter niet gelijke tred heeft gehouden, is de governance.
De kloof waar niemand het over heeft.
De meeste gesprekken over AI binnen bedrijven gaan nog steeds over mogelijkheden en investeringen. Het gesprek over governance is achtergebleven en de gevolgen daarvan zijn al merkbaar.
Uit gegevens van het IO State of Information Security Report blijkt dat 79% van de organisaties de afgelopen 12 maanden AI of machine learning heeft geïmplementeerd, en dat nog eens 19% van plan is dit te doen. Dit betekent dat AI-implementatie bijna universeel is. Wat de daaruit voortvloeiende governancekloof des te groter maakt, is het volgende: 37% van de organisaties meldt dat medewerkers generatieve AI gebruiken zonder toestemming.
Aanvullend onderzoek van IBM wijst uit dat incidenten met betrekking tot verborgen AI verantwoordelijk waren voor 20% van de datalekken in het afgelopen jaar, en dat 11% van de getroffen organisaties niet zeker wist of ze een dergelijk incident hadden meegemaakt. De implicatie voor de naleving van de AI-wetgeving is duidelijk: wanneer werknemers AI inzetten zonder medeweten van de organisatie, kan de organisatie risicovolle AI-systemen beheren die ze niet kan classificeren, monitoren of waarvoor ze geen governance kan aantonen. Volgens de wetgeving is dat een aansprakelijkheid van de implementeerder.
Je kunt niet besturen wat je niet kunt zien. En de meeste organisaties kunnen hun AI nog niet volledig in kaart brengen.
Dit probleem ligt niet bij één specifiek onderdeel van de organisatie. De EU-wetgeving inzake kunstmatige intelligentie (AI) legt gelijktijdige verplichtingen op het gebied van informatiebeveiliging, gegevensbescherming en AI-governance. Elk AI-systeem dat persoonsgegevens verwerkt, valt onder zowel de wet als de AVG. Elk systeem dat is geïntegreerd in wervings-, krediet- of klantbeslissingsprocessen brengt verplichtingen met zich mee voor de implementeerder, ongeacht of het intern is ontwikkeld of bij een leverancier is aangeschaft. Leverancierscontracten moeten nu verantwoordelijkheden voor AI-compliance vastleggen. De toeleveringsketen voor AI-governance is de verantwoordelijkheid van de organisatie.
De meeste organisaties hebben deze functies in aparte ruimtes ondergebracht, waar aparte gesprekken plaatsvinden. Die fragmentatie is precies de structurele kwetsbaarheid die de wet aan het licht zal brengen.
De regelgeving reikt verder dan de meeste besturen momenteel beseffen.
De sanctiestructuur is aanzienlijk: boetes tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor de ernstigste overtredingen, een maximum dat zelfs hoger ligt dan de AVG.
De wet voorziet in persoonlijke aansprakelijkheid voor het hoger management. En de reikwijdte ervan is extraterritoriaal. Elke organisatie waarvan de AI-systemen gebruikers of markten in de EU beïnvloeden, valt onder de wet, ongeacht de vestigingsplaats. Londen, New York, Singapore: als uw AI de EU raakt, bent u aansprakelijk. Voor Britse bedrijven die ervan uitgaan dat de regelgevende afstand na de Brexit hier enige bescherming biedt, is dat niet het geval.
De verplichting is gekoppeld aan het systeem, niet aan de vlag.
De tijdlijn is een opeenvolging, geen enkele toekomstige datum. De verboden zijn al van kracht. De algemene sancties voor AI zijn al van toepassing. December 2027 is geen verre deadline. Het opbouwen van een geïntegreerde governance-infrastructuur voor functies die momenteel onafhankelijk van elkaar opereren, met verschillende cycli en verschillende tools, kost meer tijd dan de meeste organisaties met reactieve complianceprogramma's nog hebben.
Waarom het selectievakjesmodel niet werkt
De traditionele aanpak om aan de regelgeving te voldoen – het opstellen van een risicoanalyse, het aanwijzen van een beleidsverantwoordelijke en het inplannen van een jaarlijkse evaluatie – werkt niet. De eisen van de wet zijn technisch en operationeel. AI-systemen moeten continu worden gemonitord, geregistreerd en getest op basis van hun huidige prestaties. Modellen veranderen. Trainingsdata raken verouderd. Implementatiecontexten veranderen. Een governancemodel dat is gebaseerd op periodieke evaluaties kan dit tempo niet bijhouden.
De IO-gegevens maken de omvang hiervan duidelijk. 54% van de respondenten zegt dat ze AI-technologie te snel hebben omarmd en nu moeite hebben om de implementatie ervan terug te schroeven of op een meer verantwoorde manier in te zetten. Slechts 21% noemt het opstellen van beleid voor verantwoord AI-gebruik als prioriteit voor het komende jaar. Het contrast is opvallend: bijna universele implementatie, minimale prioriteit voor governance.
Fundamenteler nog, geen enkele afdeling heeft de volledige controle over de naleving van de wet. Een juridisch team dat zich alleen richt op de privacydreiging laat de beveiligings- en AI-risico's onbeschermd. Een CISO die zich alleen richt op beveiliging laat classificatie en gegevensbeheer ongedekt. Een productteam dat zich alleen richt op AI-risico's heeft geen inzicht in de privacy- of beveiligingsstatus van de systemen die het beheert. Gefragmenteerde reacties op multidisciplinaire regelgeving leiden niet tot gedeeltelijke naleving. Ze creëren de illusie van naleving, en die illusie is precies wat toezichthouders willen toetsen.
De veerkrachtcyclus
Het inzicht dat organisaties die daadwerkelijk veerkracht opbouwen onderscheidt van organisaties die geïsoleerde verplichtingen beheren, is dit: AI-governance kan niet los worden gezien van informatiebeveiliging en gegevensbescherming, omdat deze risico's in de praktijk onlosmakelijk met elkaar verbonden zijn.
De veerkrachtlus, het continue, uniforme beheer van informatiebeveiliging, gegevensprivacy en AI-governance als één geïntegreerd systeem, is het architectonische antwoord op die realiteit. Een systeem dat een helder overzicht van risico's en risicobeperkingen genereert, zich aanpast aan nieuwe wettelijke eisen en de aantoonbare, controleerbare veerkracht levert die toezichthouders, investeerders en zakelijke klanten steeds vaker eisen.
De drie domeinen die de EU AI-wetgeving gelijktijdig activeert, zijn precies de drie domeinen die de veerkrachtcyclus verenigt. Een organisatie die al op deze manier werkt, hoeft de naleving van de AI-wetgeving niet achteraf in bestaande programma's te implementeren. De infrastructuur is al aanwezig en bestrijkt het volledige, multidisciplinaire oppervlak waarop de regelgeving betrekking heeft.
Organisaties die deze omschakeling nog niet hebben gemaakt, kampen niet met een documentatieprobleem, maar met een architectuurprobleem.
De concurrentieanalyse
Gereguleerde sectoren zoals financiële dienstverlening, gezondheidszorg en kritieke infrastructuur stellen steeds hogere eisen aan AI-governance voor leveranciers en partners. In het inkoopproces van bedrijven worden steeds vaker AI-governance-beoordelingen meegenomen. Institutionele beleggers beginnen de volwassenheid van AI-toezicht mee te wegen in hun risicobeoordeling.
De IO-gegevens wijzen op wat er al gaande is. Respondenten melden dat de grootste stijgingen in de ROI van compliance voortkomen uit verbeterde zakelijke besluitvorming, klantbehoud en nieuwe verkoopkansen, en dat deze winsten jaar na jaar aanzienlijk zijn toegenomen. Het patroon is consistent: organisaties die vroegtijdig overstappen op geïntegreerd governancebeheer lopen voor op organisaties die compliance nog reactief beheren, niet omdat governance op zich een concurrentievoordeel is, maar omdat de infrastructuur die ermee wordt opgebouwd een snellere en zelfverzekerdere implementatie van de mogelijkheden mogelijk maakt die dat wél zijn.
De AI-wet is niet het maximum dat aan goed bestuur wordt gesteld, maar slechts het minimum.
De periode is korter dan de meeste besturen momenteel beseffen.
December 2027 is de uiterste datum voor AI-systemen met een hoog risico. Het bouwen van de geïntegreerde governance-infrastructuur om die deadline te halen, is geen project dat in het derde kwartaal van 2026 van start gaat. Het begint nu.
De organisaties die binnen deze periode actie ondernemen, zullen vanuit een sterke positie klaar zijn voor handhaving. Degenen die wachten, zullen zich onder druk moeten aanpassen, met een deadline die voor elke toezichthouder al in zicht is.
De vraag die elk bestuur zich zou moeten stellen, is niet of er actie moet worden ondernomen, maar of er nog tijd is. En het antwoord is, voorlopig, ja.
Breid je kennis uit
Podcast: Phishing for Trouble S02 Ep02: AI: Vertrouwen, ethiek en het vanaf het begin goed aanpakken
webinar: ISO 42001 in de praktijk: lessen uit een van de eerste ISO 42001-certificeringen ter wereld
