Jullie AI-policy staat in SharePoint. Dat is geen governance.

Wat er gebeurde

Een organisatie waar ik meekeek had alles “geregeld”. AI-beleid goedgekeurd door MT. Opgeslagen in de compliance-map. Training gepland “later dit jaar”. Tools? ChatGPT, Copilot, een paar agents, een vendor-tool in HR. Niemand had die stack op één lijst staan. De policy sprak over “verantwoord gebruik”. De praktijk was: iedereen doet wat werkt, tot er iets misgaat.

Het document was niet slecht. Het noemde privacy, menselijke controle, verboden use cases. Alleen: er was geen naam bij “wie beslist bij twijfel”. Geen ritme waarop iemand de inventaris bijwerkt. Geen uitzonderingsformulier dat korter is dan een projectplan. En geen logging die laat zien welke agent welke klantmail raakte.

Toen een medewerker klantdata in een gratis tool plakte “omdat de policy dat niet hard verbood voor die use case”, bleek het probleem niet de tool. Het probleem was dat niemand de policy kon toepassen zonder een jurist en drie weken wachten. Dus deden mensen het zelf. Dat herken ik uit shadow AI zonder afspraak: verbieden zonder pad werkt niet. Een PDF zonder pad ook niet.

Ik zie dit bij compacte teams én bij grotere organisaties. Niet omdat compliance lui is. Omdat “we hebben beleid” makkelijker te scoren is dan “we weten wat er draait en wie het bijstuurt”.

Als je AI-policy alleen in SharePoint leeft, heb je geen governance. Je hebt een afgevinkt document.

Waarom AI-governance nu relevant is

Tools en agents komen sneller binnen dan beleidscycli. Een kwartaal-review van een PDF houdt geen nieuwe connector of vendor-pilot bij. Ondertussen vragen klanten, auditors en insurers: wie is verantwoordelijk, wat mag er, wat loggen jullie?

NIST AI RMF zet GOVERN dwars door de hele cyclus. Niet als eenmalige policy-upload. Als rollen, inventaris van AI-systemen, periodieke review en procedures die je kunt uitvoeren. De playbook vraagt concreet om mechanisms to inventory AI systems en om duidelijke verantwoordelijkheden. Een SharePoint-PDF alleen voldoet daar niet aan.

Aan de EU-kant schuift de druk ook op. Deployers moeten voor relevante toepassingen aantoonbaar weten wat ze inzetten, met toezicht en waar nodig logging. Dat is geen reden om meteen een juridisch epos te schrijven. Wel een reden om AI-governance te behandelen als operationeel stelsel, niet als mapje “Policies”.

Vier plekken waar “policy = klaar” het hardst misgaat:

• Geen eigenaar. “Iedereen is verantwoordelijk” betekent: niemand stuurt bij als Copilot of een agent buiten scope groeit.
• Geen inventaris. Je kunt geen risico managen wat je niet op een lijst hebt. Shadow tools en pilots blijven onzichtbaar.
• Geen uitzonderingspad. Dan omzeilen mensen de regel, of stagneren ze. Beide zijn slechter dan een kort, gelogd “nee, tenzij”.
• Geen bewijs in runtime. Na een incident kun je alleen het PDF citeren. Niet wat de agent deed, wie goedkeurde, welke data eruit ging.

Dit raakt hetzelfde volwassenheidsprobleem als bij AI-agent rechten zonder least privilege of human-in-the-loop als knop: het label klinkt volwassen, het ontwerp niet. Governance zonder runtime is dezelfde categorie.

Wat je nu kunt doen: AI-governance die wél werkt

Geen nieuw GRC-platform als eis. Wel vijf gewoonten die van een SharePoint-PDF weer een stelsel maken.

1. Benoem één eigenaar met reviewritme. Naam, rol, mandaat. Maandelijks of per kwartaal: inventaris bijwerken, incidenten nalopen, policy-tekst alleen wijzigen als de praktijk dat vraagt.
2. Maak een AI-inventaris die kort genoeg is om te gebruiken. Tool of systeem, doel, data (ja/nee persoonsgegevens), eigenaar, risico-indicatie, status (pilot/productie). Copilot, ChatGPT, agents, HR-vendors, alles wat beslissingen of klantdata raakt.
3. Schrijf een uitzonderingspad van één pagina. Wie vraagt aan, wie beslist binnen hoeveel dagen, wat mag tijdelijk, wanneer stopt het. Zonder pad wordt elke policy een muur of een dode letter.
4. Koppel runtime-bewijs aan de policy. Logging van agent-acties, goedkeuringen, dataflows. Niet alles. Wel genoeg om na een week te kunnen zeggen wat er gebeurde. Zelfde denkrichting als least privilege: rechten én spoor.
5. Toets de policy aan wat mensen écht doen. Vraag drie collega’s: “Wat mag je morgen met klantmail in AI?” Als het antwoord afwijkt van de PDF, win de praktijk. Pas document of gedrag aan. Niet andersom negeren.

Wat “goed genoeg” vandaag al is

Je hoeft geen honderd pagina’s AI-beleid. Eén levende inventaris, één eigenaar, één uitzonderingsformulier, en bewijs voor de twee riskantste flows is al serieuze AI-governance. De PDF mag blijven. Als checklist naast het stelsel. Niet als vervanging ervan.

Wil je beleid laten aansluiten op deployer-denken zonder theater? De EU AI Act deployer quick scan of een kort gesprek via contact is een nuchter startpunt. Voor agents die je wél wilt laten werken binnen grenzen helpt vaak managed AI-agents meer dan nóg een policy-paragraaf.