AI-governance
De inrichting van bestuur, toezicht en verantwoording op het gebruik van kunstmatige intelligentie binnen een organisatie.
Governance Woordenboek · Risico, integriteit en aansprakelijkheid · juridische stand augustus 2026
De AI-verordening kent twee rollen die u uit elkaar moet houden. De aanbieder ontwikkelt een systeem en brengt het onder eigen naam op de markt. De gebruiksverantwoordelijke gebruikt een systeem onder eigen gezag in een professionele activiteit. Een zorgorganisatie die AI inkoopt is in de regel gebruiksverantwoordelijke, en dat is een aanzienlijk lichter regime.
Licht is niet leeg. Bij een hoog-risicosysteem moet de gebruiksverantwoordelijke het systeem gebruiken volgens de gebruiksaanwijzing en menselijk toezicht beleggen bij voldoende gekwalificeerde mensen. Daarnaast moet hij zorgen dat de invoergegevens relevant en representatief zijn, de werking monitoren, logbestanden ten minste zes maanden bewaren en ernstige incidenten melden aan de aanbieder en de toezichthouder.
Twee informatieplichten worden vaak gemist. Zet u een hoog-risicosysteem in op de werkvloer, dan moet u de medewerkers en hun vertegenwoordigers daarover vooraf informeren. En mensen op wie zo'n systeem wordt toegepast, moeten daarvan op de hoogte worden gesteld. Voor een zorgorganisatie betekent dat een gesprek met de ondernemingsraad en met de cliëntenraad, niet alleen met de leverancier.
De belangrijkste valkuil staat in artikel 25. Wie zijn eigen naam of merk op een systeem zet, het systeem substantieel wijzigt, of het beoogde doel zo verandert dat het in een andere risicocategorie valt, wordt zelf aanbieder. Een ziekenhuis dat een model hertraint op eigen patiëntgegevens, verschuift daarmee ongemerkt naar het zware regime.
Ook wel: AI-beleid, algoritmegovernance.
Op wie is dit van toepassing?
Rechtsvormen
- Gebruiksverantwoordelijke: het gewone regime voor een zorgorganisatie die AI inkoopt
- Aanbieder: veel zwaardere verplichtingen, inclusief conformiteitsbeoordeling
- Hertrainen of een eigen merk voeren maakt u aanbieder
Sectoren
Zorgbreed. De verplichtingen hangen aan de risicocategorie van het systeem, niet aan de sector.
Wat AI-governance betekent in de praktijk
Begin met een register, niet met beleid. Welke AI draait er, wie is de leverancier, wat is het beoogde doel, wie is intern eigenaar, en in welke risicocategorie valt het? Zonder dat overzicht is elk AI-beleid een tekst zonder toepassing. Het register hoort naast het risicoregister te liggen, niet in een aparte la.
Voor de raad van toezicht liggen er drie vragen. Waar in het primaire proces valt een besluit mede op basis van AI? Wie kan dat besluit terugdraaien, en weet die persoon dat? En wat gebeurt er als het systeem uitvalt? De inspectie heeft zorgaanbieders in 2025 al opgeroepen zorgvuldig om te gaan met generatieve AI; die oproep gaat over precies deze vragen.
De grondrechteneffectbeoordeling is niet altijd verplicht, maar wel bij bepaalde hoog-risicosystemen. Ga na of uw toepassing daaronder valt voordat u haar in gebruik neemt.
Verwante begrippen
In het woordenboek
- AI-verordening
- AVG in de zorg
- Cybersecurity-governance en NIS2
- Risicoregister
- Compliance
- Adviesrecht van de ondernemingsraad
Verder lezen op deze site
Bronnen
- Verordening (EU) 2024/1689, artikelen 4, 25, 26 en 27 en bijlage III.
- Verordening (EU) 2026/1744 van 8 juli 2026 tot wijziging van Verordening (EU) 2024/1689.
- Inspectie Gezondheidszorg en Jeugd, oproep over zorgvuldig gebruik van generatieve AI.
Wetteksten verwijzen naar de geconsolideerde versie op wetten.overheid.nl, geraadpleegd in augustus 2026.
Twijfelt u of dit bij u op orde is?
De governance-scan toetst statuten, reglementen en besluitvorming van uw organisatie aan wet, code en praktijk. U krijgt geen advies in algemene termen maar bevindingen op uw eigen documenten.