AI implementeren zonder eigen IT-afdeling

Een MKB-bedrijf kan AI implementeren zonder eigen developers of IT-afdeling, maar niet zonder intern eigenaarschap. Een externe partner kan architectuur, integraties, beveiliging, bouw en technisch beheer uitvoeren. Intern blijven minimaal een business owner, een procesexpert en een beslissingsbevoegde nodig. De organisatie moet zelf kunnen beoordelen of de workflow operationeel klopt, welke risico's acceptabel zijn en wie verantwoordelijk is na livegang.

In het kort

• Je hebt niet per se een intern developmentteam nodig.
• Je hebt wel een proceseigenaar en inhoudelijke experts nodig.
• Besteed techniek uit, niet de verantwoordelijkheid voor bedrijfsbeslissingen.
• Leg rechten, documentatie, beheer en exit vooraf vast.
• Begin met één afgebakende workflow.
• Zorg dat de oplossing overdraagbaar blijft.

Welke interne rollen zijn minimaal nodig?

Business owner

De business owner:

• bepaalt het bedrijfsdoel;
• keurt scope en budget goed;
• beslist over prioriteiten;
• bewaakt waarde;
• accepteert of stopt de pilot.

Dit kan een directeur, operations manager, finance manager of afdelingshoofd zijn.

Procesexpert

De procesexpert:

• kent de dagelijkse uitzonderingen;
• levert voorbeelden;
• controleert output;
• beschrijft beslisregels;
• test de workflow;
• helpt medewerkers.

Een leverancier kan het proces niet alleen uit documentatie leren. De mensen die het werk uitvoeren zijn noodzakelijk.

Technisch aanspreekpunt

Zonder eigen IT-afdeling kan dit een externe MSP, applicatiebeheerder of implementatiepartner zijn.

Verantwoordelijkheden:

• accounts;
• rechten;
• integraties;
• omgevingen;
• secrets;
• storingen;
• logging;
• wijzigingen.

Privacy- en securityverantwoordelijkheid

Afhankelijk van omvang en toepassing kan dit intern, extern of gedeeld worden georganiseerd. De verantwoordelijkheid moet wel expliciet zijn.

Wat kan een externe partner overnemen?

• procesworkshops begeleiden;
• solution design;
• technische haalbaarheid;
• integraties;
• bouw;
• testinrichting;
• securitymaatregelen;
• deployment;
• monitoring;
• documentatie;
• training;
• support.

Wat een externe partner niet zelfstandig kan bepalen:

• of een klantantwoord inhoudelijk correct is;
• welke uitzonderingen acceptabel zijn;
• welke financiële bevoegdheden gelden;
• welke risico's de organisatie accepteert;
• hoe medewerkersrollen veranderen;
• of de businesscase voldoende is.

Een beheersbaar organisatiemodel

Intern

• business owner;
• procesexpert;
• beslisser voor risico en budget;
• gebruikers voor testen.

Extern

• solution architect;
• integratiespecialist;
• AI-engineer;
• securityspecialist;
• support en beheer.

Gezamenlijk

• scope;
• acceptatiecriteria;
• testset;
• incidentprocedure;
• wijzigingsbesluiten;
• evaluatie;
• opschaling.

Stappenplan

1. Kies een proces met duidelijke eigenaar

Start niet met een bedrijfsbrede AI-strategie wanneer er weinig interne capaciteit is. Kies één proces met duidelijke input, output en proceseigenaar.

Gebruik welke bedrijfsprocessen zijn geschikt voor AI?.

2. Beschrijf systemen en leveranciers

Maak een overzicht:

Systeem	Doel	Eigenaar	Leverancier	Toegang	Integratiemogelijkheid
Microsoft 365	mail en documenten	office manager	Microsoft	tenant	Graph/connectors
CRM	klantgegevens	sales manager	leverancier	gebruikersrollen	API
Exact	finance	finance manager	Exact	administratie	productafhankelijk
Fileshare	documenten	operations	cloudleverancier	groepen	productafhankelijk

Zonder IT-afdeling is het extra belangrijk dat toegang en leverancierscontacten gedocumenteerd zijn.

3. Bepaal de sourcingstrategie

Mogelijkheden:

Eén implementatiepartner

Voordeel:

• één aanspreekpunt;
• minder overdracht;
• integrale verantwoordelijkheid.

Risico:

• afhankelijkheid;
• minder marktvergelijking;
• exit moet goed geregeld zijn.

Implementatiepartner plus bestaande MSP

Voordeel:

• bestaande infrastructuurkennis;
• duidelijke scheiding tussen reguliere IT en AI-oplossing.

Risico:

• verantwoordelijkheden kunnen tussen partijen vallen.

Meerdere specialisten

Voordeel:

• diepe expertise.

Risico:

• meer coördinatie;
• hogere interne belasting.

Kies een model dat bij de interne capaciteit past.

4. Leg toegang en rechten vast

Gebruik minimale rechten.

Documenteer:

• wie tenantbeheer doet;
• wie app-registraties beheert;
• wie API-credentials beheert;
• welke mailboxen en mappen toegankelijk zijn;
• welke systemen alleen gelezen worden;
• welke systemen bijgewerkt mogen worden;
• wie accounts kan intrekken;
• wat gebeurt bij einde contract.

5. Start met een beperkte pilot

Voorbeeldscope:

• één gedeelde mailbox;
• drie categorieën;
• alleen classificatie en samenvatting;
• geen automatisch verzenden;
• één proceseigenaar;
• wekelijkse evaluatie;
• looptijd van vier tot acht weken.

6. Regel beheer voor livegang

Bepaal:

• wie meldingen ontvangt;
• reactietijden;
• wie wijzigingen goedkeurt;
• wie kosten controleert;
• wie gebruikers toevoegt;
• hoe incidenten worden geregistreerd;
• welke leverancier verantwoordelijk is;
• hoe vaak kwaliteit wordt geëvalueerd.

7. Train medewerkers

AI-geletterdheid is niet alleen tooltraining.

Medewerkers moeten begrijpen:

• wat de workflow doet;
• wat zij niet doet;
• hoe fouten ontstaan;
• wanneer controle nodig is;
• hoe gevoelige gegevens worden behandeld;
• hoe zij een incident melden;
• hoe zij output corrigeren.

De Autoriteit Persoonsgegevens publiceert informatie over AI-geletterdheid.

RACI-template

Gebruik dit als linkbaar hulpmiddel.

Legenda:

• R: uitvoerend verantwoordelijk;
• A: eindverantwoordelijk;
• C: geraadpleegd;
• I: geïnformeerd.

Activiteit	Directie/business owner	Procesexpert	Externe AI-partner	MSP/applicatiebeheer	Privacy/security
Use case kiezen	A	C	C	I	C
Nulmeting	A	R	C	I	I
Solution design	C	C	R	C	C
Rechten inrichten	I	I	C	R	C
Testset maken	I	R	C	I	C
Bouwen	I	C	R	C	I
Acceptatietest	A	R	C	I	C
Livegang	A	C	R	R	C
Monitoring	I	C	R	R	I
Inhoudelijke kwaliteit	A	R	C	I	I
Incidenten	A	C	R	R	R/C
Wijzigingen	A	C	R	C	C
Exit/overdracht	A	I	R	R	I

Pas de matrix aan op de organisatie. Zorg dat iedere activiteit precies één eindverantwoordelijke heeft.

Contractuele aandachtspunten

Leg vast:

• scope;
• verantwoordelijkheden;
• toegang;
• gegevensverwerking;
• onderaannemers;
• eigendom;
• repositories en configuratie;
• documentatie;
• support;
• reactietijden;
• wijzigingen;
• exit;
• export;
• verwijdering van toegang;
• incidentmelding;
• kosten;
• licenties.

Gebruik de leveranciersscorecard bij selectie.

Vendor lock-in voorkomen

Vraag om:

• architectuurdocument;
• exporteerbare configuratie;
• broncode of passende licentie;
• overzicht van externe diensten;
• datamodel;
• prompts en regels;
• testset en acceptatiecriteria;
• beheerhandleiding;
• lijst met secrets en waar deze worden beheerd;
• overdrachtsprocedure.

Volledige onafhankelijkheid is niet altijd mogelijk of nodig. Zorg wel dat overstappen praktisch en contractueel mogelijk blijft.

Security zonder eigen IT-team

Maak security niet impliciet onderdeel van "de leverancier regelt het".

Controleer:

• minimale rechten;
• multifactorauthenticatie;
• gescheiden test en productie;
• veilig secretbeheer;
• logging;
• incidentprocedure;
• periodieke rechtenreview;
• leveranciersbeheer;
• back-up en herstel;
• updatebeleid;
• dataclassificatie.

Laat bij gevoelige of bedrijfskritische toepassingen een onafhankelijke review uitvoeren.

Illustratief voorbeeld

Een groothandel zonder eigen IT-afdeling wil ordermails sneller verwerken.

Interne rollen:

• operations manager als business owner;
• ordermedewerker als procesexpert;
• directeur als beslisser voor budget en risico.

Externe rollen:

• MSP voor Microsoft 365 en accounts;
• AI-partner voor workflow en integratie.

Eerste scope:

• één mailbox;
• classificatie;
• ordervelden extraheren;
• onbekende artikelcodes signaleren;
• conceptorder;
• menselijke goedkeuring.

De organisatie hoeft geen developers aan te nemen, maar levert wel testcases, beslisregels en wekelijkse feedback.

Kosten

Zonder eigen IT-afdeling kunnen externe beheer- en supportkosten hoger zijn. Daar staat tegenover dat geen volledig intern team nodig is.

Begroot:

• analyse;
• implementatie;
• MSP-inzet;
• licenties;
• securityreview;
• training;
• support;
• onderhoud;
• interne procesuren.

Lees het kostenmodel voor AI-implementatie.

Checklist

• Business owner benoemd.
• Procesexpert beschikbaar.
• Technisch aanspreekpunt benoemd.
• Leveranciers en systemen geïnventariseerd.
• Rechteneigenaar bekend.
• Eén pilotscope gekozen.
• RACI vastgesteld.
• Testdata beschikbaar.
• Privacy en security beoordeeld.
• Beheercontract geregeld.
• Documentatie-eisen vastgelegd.
• Exitprocedure vastgelegd.
• Medewerkers getraind.
• Maandelijkse evaluatie gepland.

Veelgestelde vragen

Heb je een CTO nodig?

Niet voor iedere eerste workflow. Er moet wel iemand zijn die technische keuzes onafhankelijk genoeg kan beoordelen, intern of extern.

Kan de implementatiepartner alles beheren?

Technisch mogelijk, maar houd intern controle over accounts, leverancierscontracten, data en besluiten. Voorkom dat alleen de leverancier toegang heeft.

Wie controleert de inhoud?

De proceseigenaar en gebruikers. Een technische leverancier kan niet zelfstandig bepalen of branche- of bedrijfsspecifieke output inhoudelijk klopt.

Wat als de bestaande IT-leverancier geen AI-kennis heeft?

Laat de MSP infrastructuur en toegang beheren en werk met een AI-specialist voor de workflow. Leg de grens tussen verantwoordelijkheden vast.

Hoe groot moet het interne team zijn?

Voor een beperkte pilot kunnen een business owner, procesexpert en beslisser voldoende zijn, aangevuld met externe techniek.

Bronnen en verder lezen

• Autoriteit Persoonsgegevens: AI-geletterdheid
• Microsoft Cloud Adoption Framework
• NIST AI Risk Management Framework
• Europese Commissie: AI Act

Gerelateerde artikelen

• AI implementeren in het MKB
• AI-implementatiepartner kiezen
• Wat kost AI implementatie?
• E-mailverwerking automatiseren met Outlook

Volgende stap

Heb je geen intern IT-team, maar wel een duidelijk operationeel probleem? Bespreek proces, systemen, rollen en een beheersbare eerste scope via de AI Opportunity Audit.