AI-governance die niet verlamt

Waarom je dit nergens anders vindt

De meeste governance-content verkoopt maximale maatregelen, want dat is veiliger voor wie het schrijft. Het gevolg is verlamming: alles wordt behandeld als hoog risico en er gaat niets live. Dit werkblad doet het omgekeerde en is daarmee aanvechtbaar — het wijst de lichtste set aan die je aan een auditor of een security officer kunt uitleggen. Geschreven vanuit een ISO 27001-gecertificeerde werkwijze, dus de ondergrens is niet vrijblijvend.

Wat erin zit

• 1Vier vragen die een toepassing classificeren, met een beslisboom naar drie categorieën
• 2Per categorie de volledige maatregelenset: wat je vastlegt, wie tekent, wat je logt, en wat je expliciet níet doet
• 3Waar de eisen vandaan komen die je al hebt: de AVG, je klantcontracten en je eigen beveiligingsafspraken — en wat leveranciers erbij verkopen
• 4Een register van zes kolommen dat bruikbaar blijft in plaats van een archief te worden
• 5Waar dit ophoudt en een jurist begint, expliciet benoemd

Voor wie

• Technisch en digitaal verantwoordelijken die AI live willen krijgen zonder governance te omzeilen
• Organisaties met een security officer die meekijkt
• Teams waar elke toepassing standaard als hoog risico wordt behandeld

Niet voor wie een juridisch oordeel zoekt. Dit is een operationele en technische indeling.