Beleid voor risico’s van kunstmatige intelligentie klinkt vaak overtuigend totdat een team moet beslissen of een systeem klaar is voor echte mensen. Het Amerikaanse National Institute of Standards and Technology, NIST, ontwierp het vrijwillige AI Risk Management Framework, of AI RMF, om organisaties te helpen aandacht voor betrouwbaarheid op te nemen in het ontwerp, de ontwikkeling, het gebruik en de evaluatie van AI-systemen. De praktische kern is opgebouwd rond vier functies: Govern, Map, Measure en Manage.
Deze functies vormen geen eenmalige volgorde en zijn geen certificeringslabel. Het zijn onderling verbonden soorten werk. Governance geeft vorm aan ieder besluit; het in kaart brengen geeft metingen context; meten levert bewijs; en managen zet dat bewijs om in prioriteiten en acties.
Govern: maak verantwoordelijkheid zichtbaar
Govern is de basis. Een team heeft bij naam aangewezen verantwoordelijken, escalatieroutes, beleid, documentatievereisten en een manier nodig om de perspectieven van betrokkenen mee te nemen. Het moet weten wie een ingebruikname mag goedkeuren, wie deze kan stoppen, wie een incident onderzoekt en welk bewijs bewaard moet blijven.
Een bruikbare governance-registratie is specifiek. In plaats van te stellen dat “mensen de controle behouden”, wordt vastgelegd welk besluit een mens beoordeelt, over welke informatie die beoordelaar beschikt, hoeveel tijd beschikbaar is en wat er gebeurt wanneer het vertrouwen laag is. Governance omvat ook leveranciers: de aankoop van een model verplaatst de verantwoordelijkheid niet weg van de organisatie die het gebruikt.
Map: begrijp het systeem in zijn context
Map vraagt waarvoor het AI-systeem dient, waar het zal functioneren en wie de voordelen of nadelen ervan kan ondervinden. Hetzelfde model kan een heel ander risico meebrengen in een intern schrijfhulpmiddel, een selectieprocedure voor sollicitanten of een klinisch werkproces. Teams moeten het beoogde gebruik, voorzienbaar misbruik, betrokken groepen, afhankelijkheden, de herkomst van gegevens en de gevolgen van een storing beschrijven.
Een goede inventarisatie legt ook aannames vast. Wordt de invoertaal ondersteund? Weet een gebruiker dat de uitvoer door een machine is gegenereerd? Kan iemand een uitkomst aanvechten? Welke omgeving is tijdens het testen gebruikt en hoe verschilt de productieomgeving daarvan? Een expliciete aanname kan worden getoetst; een verborgen aanname wordt een verrassing.
Measure: verzamel bewijs dat de in kaart gebrachte vragen beantwoordt
Measure is breder dan het rapporteren van één nauwkeurigheidsscore. Afhankelijk van de context kan bewijs betrekking hebben op betrouwbaarheid bij veranderende invoer, prestaties voor subgroepen, privacy- en beveiligingstests, percentages schadelijke inhoud, kalibratie, toegankelijkheid, onderzoek naar menselijke factoren en waarnemingen na ingebruikname. De maatstaf moet aansluiten op het risico dat tijdens het in kaart brengen is beschreven.
Teams moeten drempelwaarden vastleggen voordat de resultaten bekend zijn, beperkingen documenteren en mislukte tests bewaren in plaats van alleen gunstige cijfers te selecteren. Sommige vormen van schade zijn moeilijk tot één maatstaf terug te brengen. Kwalitatieve beoordeling en feedback van betrokken mensen kunnen daarom kwantitatieve tests aanvullen. Meten vermindert onzekerheid; het neemt haar niet weg.
Manage: stel prioriteiten, reageer en blijf volgen
Manage vertaalt het risicobeeld naar besluiten. Een team kan een risico beperken, de toepassing inperken, menselijke beoordeling toevoegen, een voorlopende indicator bewaken, herstel naar een eerdere toestand voorbereiden of besluiten niet tot ingebruikname over te gaan. Prioriteiten moeten de waarschijnlijkheid, ernst en risicotolerantie van de organisatie weerspiegelen, niet alleen welke correctie het gemakkelijkst is.
Het managen gaat door na de lancering. Modellen, gegevens, gebruikersgedrag en externe omstandigheden kunnen veranderen. Een praktisch plan bevat daarom monitoring, incidentafhandeling, wijzigingsbeheer en een aanleiding voor herbeoordeling. Als een modelupdate het gedrag verandert, is een eerder testrapport historisch bewijs en geen automatische goedkeuring van de nieuwe versie.
Gebruik profielen om het kader plaatselijk toepasbaar te maken
NIST beschrijft profielen als toepassingen van de functies, categorieën en subcategorieën van het kader voor een bepaalde omgeving. Een huidig profiel kan beschrijven hoe een organisatie nu met een toepassing omgaat; een doelprofiel kan de gewenste toestand beschrijven. Het verschil tussen beide levert een concrete verbeterlijst op.
Deze afstemming is belangrijk omdat het Playbook geen controlelijst is die elke organisatie volledig moet volgen. NIST presenteert voorgestelde acties waaruit gebruikers kunnen kiezen op basis van hun toepassing, middelen en belangen. Elk voorstel overnemen zonder het aan een echt besluit te koppelen kan papierwerk opleveren zonder veiligere resultaten.
Een startpatroon voor een klein team
- Govern: benoem de verantwoordelijke, beoordelaar, stopbevoegdheid en locatie van het bewijs.
- Map: beschrijf het beoogde gebruik, betrokken mensen, voornaamste faalwijzen en aannames.
- Measure: kies tests en drempelwaarden die deze faalwijzen behandelen.
- Manage: bepaal wat vóór de lancering moet veranderen en wat later herstel of een nieuwe beoordeling activeert.
Doorloop de vier functies opnieuw wanneer de toepassing, het model, de gegevens of de operationele omgeving veranderen. De waarde zit niet in het aantal geproduceerde documenten. Het gaat erom of de organisatie kan uitleggen wat zij wist, wat zij heeft getest, wat zij heeft besloten en wie verantwoordelijk blijft.
Wat het kader wel en niet kan aantonen
Het gebruik van de AI RMF kan discipline en een gedeelde taal verbeteren, maar toont op zichzelf niet aan dat een systeem veilig, rechtmatig of geschikt is. NIST beschrijft het kader als vrijwillig en het bijbehorende Playbook als een flexibele bron. Wettelijke verplichtingen, sectorspecifieke regels en onafhankelijke assurance kunnen nog steeds gelden.
Een verantwoorde bewering blijft daarom bescheiden: de vier functies helpen teams betere vragen te stellen en principes te verbinden aan besluiten die door bewijs worden ondersteund. Ze bieden een structuur voor voortdurend risicomanagement, geen keurmerk dat het gesprek beëindigt.
Primaire bronnen
NIST AI Risk Management Framework en NIST AI RMF Playbook. Geraadpleegd op 11 september 2026.