Hoe houdt een RvC of RvT effectief toezicht op AI?

Effectief toezicht op AI begint niet bij techniek, maar bij bestuurlijke keuzes. Een Raad van Commissarissen (RvC) of Raad van Toezicht (RvT) hoeft geen afzonderlijke algoritmen te beoordelen. De raad moet wél kunnen vaststellen waar AI wordt gebruikt, welke belangen en risico’s ermee samenhangen, wie verantwoordelijk is en of de organisatie aantoonbaar in control is. Dat vraagt om een vaste plek voor AI op de toezichtagenda, een scherpe informatiepositie en voldoende kennis in de boardroom.

Waarom hoort AI nu op de toezichtagenda?

AI wordt steeds vaker onderdeel van reguliere bedrijfsvoering: in klantcontact, personeelsselectie, planning, financiële analyses, zorg- of onderwijsprocessen en besluitvorming. Daardoor raakt AI niet alleen digitalisering, maar ook strategie, kwaliteit, privacy, cyberveiligheid, reputatie, gelijke behandeling en de positie van medewerkers en cliënten.

De Europese AI-verordening werkt risicogestuurd. Sommige toepassingen zijn verboden, voor hoog-risicosystemen gelden zwaardere eisen en voor bepaalde interactieve of generatieve toepassingen gelden transparantieverplichtingen. Sinds 2 augustus 2026 is de handhaving van onderdelen van de verordening verder op gang gekomen en gelden nieuwe transparantieregels. Door de AI Omnibus van juli 2026 zijn enkele termijnen voor hoog-risicosystemen verschoven. De precieze juridische kwalificatie blijft daarom een vraag voor deskundigen, maar de bestuurlijke boodschap is helder: wachten tot alle details definitief zijn, is geen verantwoorde toezichtstrategie.

Wat is de rolverdeling tussen bestuur en toezicht?

Het bestuur is verantwoordelijk voor de inzet van AI, de interne beheersing en de naleving van wet- en regelgeving. De RvC of RvT ziet erop toe dat het bestuur de kansen en risico’s integraal afweegt en dat de toepassing past bij de strategie, waarden en maatschappelijke opdracht van de organisatie.

De raad blijft daarbij op hoofdlijnen. Hij stelt kaders, vraagt door op aannames, beoordeelt de kwaliteit van besluitvorming en volgt of afgesproken maatregelen werken. Zodra de raad zelf tools, leveranciers of modelparameters gaat kiezen, verschuift toezicht naar uitvoering. Dat maakt verantwoordelijkheden juist minder helder.

Welke acht vragen moet de raad stellen?

• Waar gebruiken we AI? Vraag om een actueel register van toepassingen, inclusief experimenten, ingekochte software en generatieve AI die medewerkers zelfstandig gebruiken. Zonder overzicht is risicobeheersing vooral een aanname.
• Welk doel dient iedere toepassing? Laat het bestuur expliciet maken welk probleem AI oplost, welke waarde wordt verwacht en welke alternatieven zijn overwogen. Technologie is geen strategie op zichzelf.
• Welke mensen kunnen geraakt worden? Kijk verder dan financiële schade. Denk aan medewerkers, kandidaten, cliënten, patiënten, leerlingen, klanten en andere stakeholders van wie kansen, toegang of behandeling door AI kunnen worden beïnvloed.
• Wie is eigenaar van het risico? Eigenaarschap hoort niet uitsluitend bij IT. Afhankelijk van de toepassing zijn ook HR, privacy, compliance, kwaliteit, informatiebeveiliging en de verantwoordelijke businessmanager aan zet. Eén bestuurder moet integraal aanspreekbaar zijn.
• Waar blijft betekenisvol menselijk oordeel? Leg vast welke beslissingen nooit volledig worden geautomatiseerd, wanneer een medewerker moet ingrijpen en hoe een betrokkene een uitkomst kan laten herbeoordelen.
• Hoe worden prestaties en neveneffecten gemeten? Vraag niet alleen of een systeem technisch werkt, maar ook of de uitkomsten betrouwbaar, uitlegbaar, veilig en eerlijk zijn. Meet incidenten, afwijkingen, klachten en verschillen tussen groepen.
• Wat weten we van leveranciers en data? Een externe oplossing verplaatst het risico niet. Vraag naar datagebruik, beveiliging, modelwijzigingen, auditrechten, continuïteit, intellectueel eigendom en de mogelijkheid om verantwoord te stoppen.
• Hoe leert de organisatie? AI verandert snel. Toezicht vraagt daarom om periodieke herbeoordeling, incidentlessen, AI-geletterdheid en een cultuur waarin medewerkers twijfel of ongewenste effecten vroeg durven melden.

Welke informatie heeft de raad minimaal nodig?

Een bruikbaar AI-dashboard hoeft niet technisch te zijn. Het moet de raad in staat stellen om patronen, afwijkingen en escalaties te herkennen. Neem minimaal op:

• Het aantal AI-toepassingen, uitgesplitst naar risicoklasse en organisatieonderdeel
• De eigenaar, het doel en de status per toepassing
• Uitgevoerde privacy-, security-, mensenrechten- en impactbeoordelingen
• Incidenten, klachten, menselijke correcties en tijdelijk stilgelegde toepassingen
• Resultaten van tests op betrouwbaarheid, bias, uitlegbaarheid en beveiliging
• Kritieke leveranciers en contractuele afhankelijkheden
• Opleidingsniveau en AI-geletterdheid van bestuur, management en medewerkers
• De voortgang van verbetermaatregelen en besluiten die escalatie naar de raad vereisen

Heeft iedere RvC of RvT een AI-specialist nodig?

Niet iedere raad heeft direct een afzonderlijke AI-specialist nodig. Wel moet de collectieve deskundigheid aansluiten bij de impact van AI op de organisatie. Een organisatie die AI gebruikt voor personeelsselectie, diagnostiek, kredietbeslissingen of onderwijsadvies heeft een ander risicoprofiel dan een organisatie die AI uitsluitend inzet voor tekstsuggesties.

De raad kan deskundigheid op drie manieren organiseren: een lid met relevante digitale en governancekennis benoemen, periodiek externe expertise inschakelen en de eigen scholing structureel organiseren. Belangrijk is dat expertise niet bij één persoon wordt geparkeerd. Alle leden moeten de kernvragen kunnen stellen en de antwoorden kunnen wegen.

Welke valkuilen verzwakken het toezicht op AI?

• AI behandelen als uitsluitend een IT- of complianceonderwerp
• Alleen kijken naar bekende, centraal ingekochte systemen en informeel gebruik negeren
• Vertrouwen op een leveranciersverklaring zonder eigen risicoafweging
• Een pilot toestaan zonder vooraf bepaalde stopcriteria en evaluatiemomenten
• Alle aandacht richten op juridische naleving en de maatschappelijke legitimiteit vergeten
• Rapportages ontvangen met veel techniek, maar zonder duidelijke besluiten, risico-eigenaren en trends

Hoe begint de raad morgen?

Begin met één gezamenlijke sessie waarin bestuur en toezicht de belangrijkste AI-toepassingen, ambities en risico’s in kaart brengen. Spreek vervolgens af welke toepassingen materieel zijn, welke informatie de raad periodiek ontvangt en wanneer escalatie nodig is. Verwerk deze afspraken in de toezichtvisie, het informatieprotocol en de jaarlijkse agenda. Zo wordt AI geen los innovatiedossier, maar onderdeel van goed bestuur.

Hoe Delfin kan bijdragen

Goed AI-toezicht vraagt om een raad die inhoudelijke nieuwsgierigheid combineert met onafhankelijke oordeelsvorming. Delfin ondersteunt organisaties bij de samenstelling en ontwikkeling van RvC’s en RvT’s. Daarbij staat niet alleen actuele expertise centraal, maar vooral de vraag welke perspectieven de raad nodig heeft voor de toekomstige opgave van de organisatie.

Wil je onderzoeken welke digitale, maatschappelijke of governancekennis in jouw raad ontbreekt? Een gerichte profielanalyse of zelfevaluatie maakt zichtbaar waar versterking nodig is.

Veelgestelde vragen

Moet de RvC of RvT iedere AI-toepassing goedkeuren?

Nee. De raad spreekt met het bestuur af welke toepassingen materieel zijn en daarom voorafgaande goedkeuring of intensiever toezicht vragen. Operationele toepassingen kunnen binnen vastgestelde kaders aan het bestuur worden gelaten.

Hoe vaak moet AI op de agenda staan?

Minimaal jaarlijks als onderdeel van strategie en risicobeheersing, en vaker wanneer AI een grote invloed heeft op primaire processen of mensen. Materiële incidenten, nieuwe hoog-risicotoepassingen en belangrijke leverancierswijzigingen horen tussentijds te worden gemeld.

Is voldoen aan de AI-verordening voldoende?

Nee. Juridische naleving is de ondergrens. De raad beoordeelt ook of het gebruik van AI past bij de waarden, kwaliteitseisen, maatschappelijke opdracht en risicobereidheid van de organisatie.