AI-wet- en regelgeving ontwikkelt sneller dan de meeste organisaties hun compliance-processen kunnen bijwerken. Voor elke nieuwe regel apart een nieuw proces optuigen, is een race die je verliest.
De EU AI Act treedt stap voor stap meer in werking, sectorregels volgen, en toezichthouders scherpen hun verwachtingen bij elke nieuwe generatie AI-modellen verder aan. Deze versnelling is niet tijdelijk. Zolang AI-modellen zelf in hoog tempo veranderen, verandert de regelgeving eromheen mee.
Voor platform bouwers in gereguleerde sectoren (legal, finance, verzekering en accountancy) betekent dit bijvoorbeeld dat compliance aandacht vraagt als centraal onderdeel van je productontwikkeling. Met de juiste kaders blijf je makkelijker in control in een snel bewegend landschap. Maar hoe zorg je als information & security afdeling dat je organisatie hier grip op houdt?
Compliance inrichten als kader
In onze industrie maken we een onderscheid te weinig: compliance als “politie van nee” versus compliance als kader dat juist ruimte geeft bij snelle veranderingen. Een team dat precies weet wat wel en niet mag, beweegt sneller dan een team dat bij elke beslissing moet informeren of iets is toegestaan.
Dat vraagt wel iets van de organisatie: heldere kaders vooraf, in plaats van losse goedkeuringen achteraf. Bij Blinqx laat ik dat principe ook in onze eigen platformarchitectuur terugkomen, zodat teams binnen een vastgestelde scope zelfstandig kunnen werken zonder voor elke stap een compliance-check aan te vragen.
Hoe bouw je een eigen control framework dat nieuwe AI-wetgeving makkelijk absorbeert?
De kern van mijn aanpak is simpel te formuleren;
Kijk eerst wat je al hebt, niet wat je allemaal moet
Breng in kaart welke controls je organisatie al hanteert, voordat je naar de buitenwereld kijkt. Pas daarna leg je die controls naast nieuwe AVG, DORA, de AI Act en andere regelgeving, en kijk je waar iets al gedekt is en waar een aanvulling nodig is. Zo voorkom je onnodige/ dubbele controls.
Koppel nieuwe regels met je bestaande framework
Zonder dat eigen raamwerk bouw je voor elke nieuwe wet een apart proces, terwijl vier of vijf van die processen in de praktijk nagenoeg hetzelfde afdekken. Met een eigen raamwerk vertaal je een nieuwe regel naar een update van een bestaande control, in plaats van naar een compleet nieuw traject.
Rapporteer in risico’s en trends in plaats van kwetsbaarheden of compliance-checklists
Voor gereguleerde sectoren, waar meerdere toezichthouders tegelijk eisen stellen, schrikt dit werk bestuurders soms af. Mijn punt is juist dat je door als CISO eerst zelf te definiëren wat je belangrijk vindt, grip houdt op een steeds groter wordende stapel externe eisen in plaats van erdoor overspoeld te worden. Rapporteer dat op een manier zodat een bestuurder zonder technische achtergrond de kern kan volgen.
Houd grip met ingecalculeerde risico’s.
Ik noem hier ook een randvoorwaarde die platform bouwers vaak vergeten: breng in kaart welke leveranciers of technologieën je dienstverlening zouden kunnen verstoren, en bepaal vooraf hoe lang je zonder een van hen zou kunnen draaien. Dat raakt aan hetzelfde vraagstuk als AI-compliance: grip houden op je eigen kwetsbaarheden voordat een externe partij die voor je blootlegt.
Waarom dit werkt dit in het AI tijdperk
De belangrijkste les is dat je AI-regelgeving niet kan bijbenen door reactief te blijven. Platform bouwers die telkens wachten tot een nieuwe wet compleet is voordat ze een proces bouwen, lopen structureel achter de feiten aan. Wie eerst een eigen controlraamwerk neerzet, hoeft bij een nieuwe wet alleen te bepalen waar die op aanhaakt.
Wil je hier dieper op ingaan? Ik sprak hierover in Tech TalQX, de podcast van Blinqx waarin we regelmatig met collega’s in gesprek gaan AI in gereguleerde sectoren.
Veelgestelde vragen
Omdat AI-modellen zelf sneller veranderen dan voorheen, en regelgeving daaromheen in hetzelfde tempo meebeweegt. De AI Act, sectorregels en toezichthouderseisen volgen elkaar sneller op dan organisaties hun interne processen kunnen bijwerken, waardoor reactief werken niet meer haalbaar is.
Een eigen controlraamwerk is een set controls die je zelf definieert op basis van wat je organisatie belangrijk vindt, los van externe regelgeving. Je koppelt vervolgens elke externe wet aan een bestaande control, in plaats van voor elke wet een nieuwe checklist te bouwen. Dat voorkomt dat je meerdere processen optuigt die in de praktijk hetzelfde afdekken.
Door te rapporteren in risico’s en trends in plaats van in technische details of aantallen kwetsbaarheden. Een bestuurder hoeft niet te weten hoe een control technisch werkt, maar wel welk risico voor de organisatie eraan verbonden is en of dat risico toe- of afneemt.
Het risico is dat je organisatie stilstaat zodra de volgende wet verschijnt. Compliance bij AI is een doorlopend proces, geen eenmalig traject dat je afrondt en daarna loslaat. Wie het als project ziet, loopt achter zodra de eerstvolgende wetswijziging verschijnt.
Een grotere rol dan de meeste platform bouwers beseffen. Als een technologie of leverancier waar je dienstverlening op leunt wegvalt of onder buitenlandse regelgeving komt te vallen, wil je vooraf weten hoe lang je zonder kan en wat je alternatief is. Dat hoort net zo goed bij compliance als het naleven van de AI Act zelf.
