Een AI-register bijhouden: wat zet je erin?
Een praktisch AI-register geeft overzicht over AI-toepassingen, leveranciers, data, risico’s en toezicht. Lees welke velden je vastlegt, wie het register beheert en hoe je het koppelt aan AVG, DPIA en AI-governance.
In een AI-register leg je per AI-toepassing vast wat het systeem doet, wie ervoor verantwoordelijk is, welke leverancier en welk model worden gebruikt, welke data erin gaan, welke risico’s zijn onderkend en hoe menselijk toezicht, logging en gebruikersinstructies zijn geregeld. Het register is daarmee de centrale inventaris van AI die binnen je organisatie wordt gebruikt.
Zo’n intern AI-register is niet voor iedere organisatie automatisch een algemene wettelijke verplichting. Het is vooral een praktisch governance-instrument. Het helpt wel om verschillende documentatie-, controle- en toezichtsplichten uit de verordening uitvoerbaar te maken. Welke verplichtingen precies gelden, hangt onder meer af van je rol, het soort AI-systeem en het gebruik ervan. Termijnen en details kunnen veranderen en moeten daarom vóór gebruik worden gecontroleerd in de actuele verordeningstekst. Een algemene uitleg van de context staat ook in AI Act voor het mkb.
Waarom is een AI-register nuttig?
De eerste functie van een AI-register is simpel: weten welke AI je daadwerkelijk gebruikt. Dat klinkt vanzelfsprekend, maar AI komt een organisatie vaak via meerdere routes binnen. Een centrale IT-afdeling kan officiële systemen inkopen, terwijl medewerkers daarnaast losse AI-diensten, browsertools, ingebouwde copilots of experimentele modellen gebruiken.
Juist die tweede categorie veroorzaakt schaduw-AI: toepassingen waarvan management, security of privacyverantwoordelijken niet weten dat ze bestaan. Zonder inventaris kun je moeilijk beoordelen welke gegevens worden gedeeld, welke contractvoorwaarden gelden of waar een AI-uitkomst invloed heeft op klanten, medewerkers of bedrijfsprocessen.
Een register ondersteunt daarnaast verantwoording. Als later de vraag ontstaat waarom een systeem wordt gebruikt, wie het heeft goedgekeurd of welke beheersmaatregelen zijn genomen, hoef je die informatie niet uit losse contracten, e-mails en projectdocumentatie te reconstrueren.
Welke velden zet je per AI-toepassing in het register?
Houd het register praktisch. Het hoeft geen juridisch dossier te worden, maar moet genoeg informatie bevatten om een toepassing te herkennen, te beoordelen en opnieuw te controleren. Per AI-toepassing kun je minimaal de volgende velden opnemen:
- Naam en doel: welke toepassing is dit en welk bedrijfsdoel ondersteunt zij?
- Eigenaar: welke persoon of functie is intern verantwoordelijk voor het gebruik en de periodieke beoordeling?
- Leverancier en model: welke leverancier, dienst, modelversie of technische oplossing wordt gebruikt?
- Gebruikte data: welke gegevens worden ingevoerd, geraadpleegd of gegenereerd, en zitten daar persoonsgegevens, vertrouwelijke informatie of bedrijfsgeheimen tussen?
- Risicocategorie-inschatting: hoe kwalificeert de organisatie het gebruik voorlopig vanuit de verordening en het eigen risicobeleid? Bij twijfel over mogelijke hoog-risicotoepassingen is de uitleg over hoog-risico-AI-systemen een nuttig vertrekpunt.
- Menselijk toezicht: wanneer controleert of beslist een mens en welke acties mag het systeem zelfstandig uitvoeren?
- Logging en controle: welke relevante invoer, uitvoer, beslissingen, fouten of systeemhandelingen worden vastgelegd?
- Datum van laatste beoordeling: wanneer is voor het laatst gecontroleerd of doel, model, risico’s en beheersmaatregelen nog kloppen?
- Instructies voor gebruikers: welke regels gelden voor medewerkers, bijvoorbeeld rond persoonsgegevens, vertrouwelijke data, verificatie van antwoorden en toegestane toepassingen?
Je kunt aanvullende velden opnemen voor contracten, datalocatie, beveiligingsmaatregelen, incidenten of gekoppelde systemen. Het belangrijkste is dat het register bruikbaar blijft. Een zeer uitgebreid register dat niemand actualiseert is minder waardevol dan een compacte inventaris die onderdeel is van normale werkprocessen.
Hoe start je ermee in een kleine organisatie?
Begin niet met regelgeving, maar met inventariseren. Vraag afdelingen en medewerkers welke AI-tools zij daadwerkelijk gebruiken. Denk niet alleen aan zelfstandige chatbots, maar ook aan AI-functies binnen CRM-software, kantoorsoftware, klantenservice, recruitment, marketing, documentanalyse en automatiseringsplatforms.
Maak vervolgens één lijst en wijs per toepassing een eigenaar aan. Laat die eigenaar de basisvelden invullen en bepalen of nader onderzoek nodig is. Niet iedere toepassing vereist dezelfde diepgang. Een hulpmiddel voor interne tekstsuggesties vraagt een andere beoordeling dan AI die invloed heeft op selectie, krediet, toegang tot diensten of andere beslissingen over personen.
Leg ook vast welke toepassingen niet zijn toegestaan. Daarmee wordt het register niet alleen een administratie van bestaande systemen, maar ook een praktisch instrument tegen ongecontroleerde schaduw-AI. Gebruikers moeten bovendien begrijpen waarom bepaalde grenzen bestaan. Dat sluit aan bij bredere aandacht voor AI-geletterdheid binnen organisaties.
Wie houdt het register bij en wanneer actualiseer je het?
Er moet één duidelijke proceseigenaar zijn. Dat kan bijvoorbeeld iemand uit IT, security, privacy, compliance of operations zijn. De inhoudelijke verantwoordelijkheid blijft echter bij de eigenaar van de afzonderlijke AI-toepassing. Een centrale beheerder kan onmogelijk zelfstandig beoordelen of het gebruik binnen iedere afdeling is veranderd.
Werk daarom met gedeelde verantwoordelijkheid: centraal wordt bepaald welke informatie verplicht is en hoe beoordelingen plaatsvinden; lokaal bevestigt de systeemeigenaar dat de informatie actueel is.
Actualiseer het register niet alleen op een vaste periodieke controle. Een wijziging van model, leverancier, doel, databron, gebruikersgroep of mate van autonomie kan aanleiding zijn voor een nieuwe beoordeling. Hetzelfde geldt wanneer een toepassing gekoppeld wordt aan andere systemen of wanneer nieuwe persoonsgegevens worden verwerkt.
Hoe verhoudt het AI-register zich tot het AVG-verwerkingsregister en een DPIA?
Een AI-register vervangt het AVG-verwerkingsregister niet. Het zijn verschillende administraties met een ander doel. Het AVG-verwerkingsregister kijkt naar verwerkingen van persoonsgegevens. Het AI-register kijkt primair naar AI-systemen en hun gebruik, ook wanneer daarbij geen persoonsgegevens worden verwerkt.
Er is wel veel overlap. Als een AI-toepassing persoonsgegevens verwerkt, kun je vanuit het AI-register verwijzen naar de betreffende verwerking in het AVG-register. Zo voorkom je dubbele documentatie en wordt duidelijk welke privacyprocessen bij het systeem horen.
Hetzelfde geldt voor een DPIA. Een AI-register is geen DPIA en een vermelding in het register bewijst niet dat privacyrisico’s voldoende zijn onderzocht. Als het gebruik van AI aanleiding geeft tot een DPIA, kun je vanuit het register verwijzen naar die beoordeling en de bijbehorende maatregelen. Meer over die afweging staat in Wat is een DPIA en wanneer heb je er een nodig voor AI?.
Welke fouten worden vaak gemaakt?
Een veelgemaakte fout is alleen officieel ingekochte AI-systemen registreren. Daarmee mis je juist de toepassingen die buiten het normale inkoop- en beveiligingsproces zijn ontstaan. Vraag daarom naar werkelijk gebruik, niet alleen naar goedgekeurde software.
Een tweede fout is het register behandelen als een eenmalige inventaris. AI-diensten veranderen. Leveranciers passen modellen, functies en voorwaarden aan en organisaties koppelen systemen later aan extra databronnen. Een registratie die niet meebeweegt kan een vals gevoel van controle geven.
Ook een globale omschrijving als “marketing gebruikt AI” is onvoldoende. Het register moet duidelijk maken welke toepassing wordt gebruikt, waarvoor, met welke data en onder wiens verantwoordelijkheid. Omgekeerd moet je voorkomen dat iedere kleine prompt of ieder individueel experiment een aparte bureaucratische registratie wordt. Registreer op het niveau waarop risico, eigenaarschap en controle zinvol kunnen worden beheerd.
Laat je juridisch toetsen
Een AI-register helpt je om AI-gebruik zichtbaar en beheersbaar te maken, maar bepaalt niet zelf welke juridische verplichtingen op jouw organisatie van toepassing zijn. Neuralex geeft geen juridisch advies. Gebruik het register als praktisch hulpmiddel, controleer relevante eisen in de actuele tekst van de verordening en laat een jurist beoordelen welke verplichtingen, documentatie en procedures voor jouw organisatie en toepassingen gelden.