AI veilig gebruiken in jouw organisatie

Doelgroep

Dit artikel is voor de CISO, CIO of bestuurder die shadow-AI wil terugdringen, wil voldoen aan de Cbw, AVG en AI Act en bestuurlijke risico’s wil verkleinen.

Definitie

AI-governance is het effectief beheersen van het gebruik van kunstmatige intelligentie (AI) in je organisatie. Het omvat beleid, rollen en processen rondom de inzet en het gebruik van AI. Met AI-governance kun je risico’s rondom AI beheersen en voldoen aan relevante wet- en regelgeving.

Wat kan er misgaan?

AI brengt diverse risico’s met zich mee. Denk bijvoorbeeld aan cyberaanvallen die met behulp van AI je organisatie  proberen binnen te dringen. Maar ook het gebruik van AI binnen jouw organisatie kent risico’s. In dit artikel gaan we verder in deze risico’s, zoals:

• Vertrouwelijke informatie lekt naar een AI-provider. Het kan gebeuren dat een medewerker in zijn sessie met AI bedrijfsgeheimen of persoonsgegevens in een vraag meestuurt. Deze worden bij de AI-provider opgeslagen of meegenomen in de training van toekomstige AI-modellen. Deze informatie kan op deze manier via de antwoorden van het AI-model uitlekken naar andere partijen.
• Ondoorzichtige besluitvorming door niet-uitlegbare algoritmes. Als een processtap door AI zelfstandig wordt genomen dan is de basis waarop die AI conclusies trekt niet altijd controleerbaar. Als een AI (algoritme) bijvoorbeeld uit grote hoeveelheden data mogelijke fraudeurs moet ontdekken, en het stempel fraudeur direct toepast zonder uit te leggen waar dat op gebaseerd is.
• Onjuiste besluitvorming op basis van hallucinerende AI. Bijvoorbeeld wanneer een medewerker de hulp inroept van een chatbot om een investeringskeuze te maken Adviezen overnemen die nergens op gebaseerd zijn betekent een groot risico. 
• AI-agents die buiten hun bewegingsruimte treden. Een AI-agent is een vorm van AI die zelfstandig taken kan uitvoeren. Als een AI-agent wordt gevraagd een bepaald resultaat te bereiken, kan die agent mogelijkheden zien die duidelijk in strijd zijn met de regels, maar dit niet beseft. Bijvoorbeeld wanneer een AI-agent de opdracht krijgt een marketingactiviteit op te zetten, en dan zelfstandig besluit persoonsgegevens in bedrijfssystemen op te zoeken en te gebruiken wanneer dat volgens het privacybeleid niet mag.

Wanneer je organisatie geen AI-governance uitvoert kunnen medewerkers zelf besluiten AI in te gaan zetten. Hierbij hebben zij niet altijd zicht op de risico’s en nemen zij mogelijk niet de juiste maatregelen. Met goede, centrale governance kun je dit probleem voor zijn. De volgende stappen helpen je op weg dit in jouw organisatie toe te passen.

In vijf stappen naar grip op AI

Stap 1 - Breng je behoefte in kaart

Grip begint bij overzicht. Voordat je beleid maakt, moet je weten waar je organisatie behoefte aan heeft, en of er al AI gebruikt wordt.

Ga met zo veel mogelijk organisatie-onderdelen in gesprek over de volgende onderwerpen:

• Welke AI-tools gebruiken medewerkers, ook buiten de officiële IT-omgeving?
• Welke systemen die je al afneemt (boekhouding, HR, CRM) bevatten AI-functionaliteit?
• Welke bedrijfsgegevens worden daarin verwerkt?
• Welke behoefte bestaat om taken door AI te laten uitvoeren?
• Welke werkzaamheden voeren we handmatig uit die zich lenen voor AI?

Misschien heeft je organisatie in het verleden het gebruik van AI al sterk beperkt of geheel verboden. In dat geval is het moeilijker om eerlijke antwoorden te krijgen op je vragen over huidig AI-gebruik. Gebruik dan een anonieme enquête, of maak bij de gesprekken duidelijk dat je niet (meer) de handhaver van een verbod bent, maar juist op zoek gaat naar de kansen en mogelijkheden.

Stap 2 - Beoordeel de risico's

Niet alle AI-toepassingen brengen hetzelfde risico mee. Beoordeel per toepassing drie dimensies:

• Vertrouwelijkheid: welke gegevens worden verwerkt, hoe zijn die gegevens geclassificeerd en voldoe je aan alle wetgeving, zoals de AVG?
• Betrouwbaarheid: in hoeverre zijn de uitkomsten correct, wordt het onderbouwd, is het controleerbaar en zo ja, wie controleert het?
• Afhankelijkheid: wat zijn de gevolgen voor je bedrijfsproces als de AI-dienst uitvalt of onjuist functioneert?

Maak op basis hiervan een korte risico-inventarisatie. Plot de risico’s in een matrix tegenover hoe bedrijfskritisch je het bedrijfsproces beoordeelt. Prioriteer je aanpak op basis van deze risicomatrix.

Stap 3 - Leg verantwoordelijkheden vast

Risico's zonder eigenaar worden niet beheerst. Wijs de juiste rollen toe aan de juiste mensen. Dit hoeven geen nieuwe functies te zijn. Bepaal wie beslist over nieuwe AI-tools en zorg dat het management betrokken is. AI-governance is geen IT-feestje: beslissingen over welke risico's worden geaccepteerd, liggen bij de directie.

Beleg:

• wie het AI-dossier coördineert
• wie het overzicht houdt over alle AI-toepassingen in je organisatie
• wie het beleid op AI-governance maakt en actualiseert op basis van de risico’s
• bij wie mensen moeten zijn als ze een nieuwe AI-toepassing willen gebruiken
• wie bij de inkoop van AI-tools het beleid bewaakt
• wie de maatregelen voor veilig AI-gebruik toepast

Stap 4 – Tref maatregelen die passen bij jouw risico-inschatting

Met overzicht in de mogelijke risico’s en belegd eigenaarschap kun je aan de slag. Kies welke maatregelen passen bij jouw organisatie en situatie.

Denk aan maatregelen langs de volgende assen:

• Organisatorisch: beperk bijvoorbeeld welke data gebruikt mag worden als input; neem steekproeven van  de uitvoer, en neem in bedrijfsprocessen op welke beslissingen wel, en welke niet genomen mogen worden op basis van de uitvoer
• Contractueel: maak bijvoorbeeld afspraken met de leverancier over het niet bewaren van prompts of invoerdata, en over het niet hertrainen van AI-modellen op basis daarvan
• Technisch:  Laat bijvoorbeeld een lokale kopie van een AI-model draaien en pas daarin alle waarborgen toe die je nodig vindt.
• Menselijk: Train bijvoorbeeld gebruikers over hoe ze om moeten gaan AI, wat de risico’s van het gebruik zijn en hoe betrouwbaar de resultaten zijn.

Laat de zwaarte van de maatregelen afhangen van je organisatiebelang: tref waar de risico’s in je matrix het grootst zijn de zwaarste maatregelen. Stel daarvoor duidelijke voorwaarden of drempels op zodat je dezelfde maatregelen consequent toepast op gelijksoortige toepassingen.

Stap 5 - Beoordeel jaarlijks je AI-governance beleid

AI ontwikkelt zich snel. Eenmalig actie ondernemen is een goed begin, maar structurele grip vereist een doorlopend proces. Zorg dat dit beleid actueel blijft, bijvoorbeeld door een ‘AI-check’ aan je jaarlijkse risicoanalyse te koppelen.

Blijf als organisatie open en ontvankelijk, zorg dat medewerkers je weten te vinden als ze een nieuwe tool willen gebruiken. Hierdoor behoud je zicht en grip. Bouw kennis op in je organisatie door een kleine werkgroep samen te stellen waarin medewerkers nieuwe tools binnen veilige kaders kunnen uitproberen.

Leer van AI-gerelateerde beveiligingsincidenten. Neem deze lessen mee als input voor het herzien van je beleid en het aanscherpen van maatregelen.

Conclusie: begin vandaag

De grootste fout die je kunt maken is wachten tot er iets misgaat. Start vandaag nog met het in kaart brengen van wat er binnen jouw organisatie speelt op het gebied van AI, en welke mogelijke risico’s daarmee gepaard gaan. Leg verantwoordelijkheden vast en bepaal welke beheersmaatregelen passen bij die risico’s. Tref vervolgens de juiste maatregelen en zorg dat je deze cyclus jaarlijks doorloopt.