Welke AI gebruikt jouw bedrijf?

AI is bij veel bedrijven ‘erin geslopen’. Het kwam mee met software, werd door een medewerker uitgeprobeerd of verscheen als nieuwe functie in een bestaand pakket. Daardoor gebruiken veel mkb-bedrijven inmiddels meer AI dan zij zelf mogelijk overzien. Heel logisch dat er dan niet gedacht wordt aan de wetgeving.
De AI Act helpt je eigenlijk stap voor stap om heel bewust om te gaan met AI binnen jouw bedrijf.

De wet kijkt niet alleen naar ontwikkelaars

De Europese AI Act is risicogericht. Een tekstassistent die helpt bij een eerste opzet vraagt om een andere beheersing dan software die sollicitanten rangschikt, kredietwaardigheid beoordeelt of beslissingen over mensen ondersteunt. Doel, context en mogelijk effect bepalen welke regels en maatregelen relevant zijn.

Ook bedrijven die bestaande AI-systemen onder hun eigen verantwoordelijkheid gebruiken, hebben een rol. In de wet heet dat de gebruiksverantwoordelijke. Voor veel mkb-bedrijven zal dit de meest voorkomende positie zijn. Wie zelf ontwikkelt, een systeem onder eigen naam aanbiedt of het doel of systeem wezenlijk verandert, kan zwaardere verplichtingen krijgen.

Welke gegevens leg jij vast?

Veel aandacht gaat naar nieuwe AI-projecten, terwijl het dagelijkse gebruik buiten beeld blijft. Medewerkers gebruiken een gratis teksttool, een CRM-systeem krijgt een voorspellende functie of een leverancier activeert automatisch een AI-assistent. Dit wordt ook wel schaduw-AI genoemd. Belangrijk is wel dat je moet weten welke gegevens worden ingevoerd, hoe uitkomsten worden gecontroleerd en wie verantwoordelijk is als iets misgaat.

Een eerste inventarisatie hoeft daarom niet ingewikkeld te zijn. Leg per toepassing vast welke tool wordt gebruikt, van welke leverancier die komt, met welk doel, door wie en met welke gegevens. Noteer ook wie eigenaar is, welke juridische rol de organisatie heeft, welke risicoklasse passend is en wanneer de toepassing voor het laatst is beoordeeld.

AI logboek registratie verandert niet het gedrag

Een AI-register geeft overzicht, maar het voorkomt niet dat vertrouwelijke informatie of klantgegevens in een tool belandt of dat een overtuigend klinkend antwoord zonder controle wordt overgenomen. Daarvoor zijn werkafspraken nodig. Medewerkers moeten weten welke toepassingen zijn toegestaan, welke gegevens zij mogen invoeren, waarop zij een uitkomst moeten controleren en wanneer zij hulp moeten vragen.

Menselijke controle is belangrijk. Degene die beoordeelt, moet voldoende kennis, tijd, informatie en bevoegdheid hebben om een AI-uitkomst goed te beoordelen.

De AI Act staat niet op zichzelf

Naast de AI Act heb je als ondernemer met nog meer wetgeving te maken zoals  AVG, arbeidsrecht, consumentenrecht, auteursrecht, informatiebeveiliging en sectorspecifieke regels. Een toepassing met een beperkt risico onder de AI Act kan nog steeds privacy- of beveiligingsvragen oproepen.

Naast een juridische classificatie adviseren wij jou ook te kijken naar data, contracten, werkprocessen, beslisruimte en de mensen die met het systeem werken.

Wat wij anders doen

Bij iedere AI implementatie doen wij een breed onderzoek. Daan kijkt naar processen, rollen, verantwoordelijkheden, capaciteit en uitvoerbaarheid. Esther kijkt naar het gedrag van mensen, de wetgeving waar jullie mee te maken hebben en de AI adoptie.
Wij brengen in kaart waar AI al wordt gebruikt, welke risico’s en kansen daarbij horen en wat nodig is om nieuwe werkwijzen door iedereen te laten omarmen.

Kun je vandaag laten zien welke AI-systemen jouw organisatie gebruikt, waarvoor ze worden ingezet, welke gegevens gebruikt worden en wie controleert of het gebruik verantwoord blijft? Als het antwoord nee is, dan is dit een goede eerste stap om te zetten.

Wij maakten een handig geheugensteuntje voor je. Heb je vragen? Bel ons gerust!