Een AI-register opzetten: zo houd je overzicht

Vraag in een willekeurig mkb-bedrijf welke AI er wordt gebruikt, en je krijgt zelden een volledig antwoord. De ene collega gebruikt ChatGPT voor offertes, je boekhoudpakket leest facturen uit en in je CRM zit sinds de laatste update een AI-assistent. Een AI-register brengt dat in één overzicht samen. Het is de eerste stap om AI verantwoord te gebruiken.

Wat is een AI-register?

Een AI-register is een lijst van alle AI-toepassingen in je bedrijf, met per toepassing de belangrijkste gegevens: wat het doet, wie het gebruikt, welke gegevens erin gaan en wie verantwoordelijk is. Het hoeft geen ingewikkeld systeem te zijn. Voor de meeste bedrijven is een gedeelde spreadsheet een prima begin.

Het register gaat over alle AI, niet alleen over wat je zelf hebt laten bouwen. Dus ook de AI-functies in software die je al hebt, en de losse tools die collega's zelf gebruiken.

Is een AI-register verplicht?

De AI Act schrijft voor de meeste mkb-bedrijven geen register in deze vorm voor. Toch kom je er moeilijk omheen. De regels die voor jou gelden, hangen af van het risiconiveau van elke toepassing. En de plicht voor AI-geletterdheid vraagt dat je weet wie met welke AI werkt. Zonder overzicht weet je dus niet wat je moet regelen.

Let op het verschil met de Europese databank uit de AI Act. Aanbieders van AI met hoog risico moeten hun systeem daar registreren. Dat is iets anders dan je eigen AI-register, dat je vooral voor jezelf bijhoudt.

Wat leg je per toepassing vast?

Houd het praktisch. Deze gegevens geven je genoeg overzicht om keuzes te maken:

• Naam en leverancier. Welke tool of welk systeem het is, en van wie.
• Doel en proces. Waarvoor je het gebruikt, bijvoorbeeld facturen uitlezen of klantvragen sorteren.
• Gebruikers. Welke afdeling of rol ermee werkt.
• Gegevens. Welke gegevens erin gaan, en of daar persoonsgegevens of vertrouwelijke informatie bij zitten.
• Risiconiveau. Minimaal, beperkt, hoog of verboden, volgens de indeling van de AI Act.
• Controle door een mens. Wie de uitkomst controleert, en wanneer.
• Afspraken met de leverancier. Bijvoorbeeld een verwerkersovereenkomst en waar de gegevens staan.
• Eigenaar en datum. Wie het bijhoudt en wanneer het voor het laatst is bekeken.

Zo zet je het op in vijf stappen

1. Vraag het je team. Welke AI-tools gebruiken ze, waarvoor en met welke gegevens? Een korte rondvraag levert vaak meer op dan je verwacht.
2. Loop je software na. Kijk bij je belangrijkste pakketten welke AI-functies erin zitten en of die aan staan.
3. Zet alles in één overzicht. Gebruik de gegevens hierboven als kolommen. Begin met wat je weet en vul de rest later aan.
4. Bepaal per toepassing het risico. De meeste toepassingen vallen laag uit. Zit er iets tussen dat over mensen beslist, zoals werving of kredietbeoordeling, dan heb je meer te regelen.
5. Wijs een eigenaar aan en plan een controle. Iemand houdt het register bij en kijkt het op vaste momenten na, bijvoorbeeld elk halfjaar.

Hoe het aansluit op de AVG

Veel bedrijven houden voor de AVG al een register van verwerkingen bij. Gebruikt een AI-toepassing persoonsgegevens, dan hoort die verwerking daar ook in. Je kunt de twee registers naast elkaar houden en naar elkaar laten verwijzen. In het artikel over AI en de AVG lees je wanneer je klantgegevens in AI mag gebruiken.

Een register werkt alleen als je het bijhoudt

Een register dat één keer is ingevuld, is na een paar maanden verouderd. Spreek daarom af dat een nieuwe tool pas in gebruik gaat als hij in het register staat. Zo blijft het overzicht vanzelf actueel, en zie je ook welke tools niet meer nodig zijn.

Hulp nodig?

Met de Governancescan brengen we je AI-gebruik in kaart, bepalen we per toepassing het risico en toetsen we het aan de AI Act en de AVG. Je krijgt een ingevuld overzicht en concreet advies over wat je moet regelen. Dit artikel geeft een algemeen beeld en is geen juridisch advies.

Veelgestelde vragen