Artikel 4 wordt gehandhaafd, en wat dat praktisch betekent

De AI-verordening vraagt van organisaties dat medewerkers die met AI-systemen werken, weten waar ze mee werken. Geen diploma, geen register bij een instantie, geen jaarlijkse toets. Wel: een redelijke inspanning die past bij wat je gebruikt en waarvoor.

In de maanden daarna is er een hele industrie omheen gebouwd. Een e-learning van twee uur, een toets van tien vragen, een PDF met een handtekening eronder. Dat is niet verkeerd, maar het beantwoordt de vraag niet die een toezichthouder, een accountant of een boze klant echt stelt.

Die vraag is niet "heeft je team een cursus gedaan". Die vraag is "wat hebben jullie precies gedaan, en waarmee".

Het verschil tussen kennis en bewijs

Een certificaat toont aan dat iemand op een dinsdag in maart een uur heeft opgelet. Het zegt niets over de klachtmail die een collega in juni door een gratis chatvenster heeft gehaald, met naam en dossiernummer erin.

Wat je nodig hebt is een spoor. Niet van de inhoud, want die hoef je niet te bewaren en wil je waarschijnlijk ook niet bewaren, maar van de handeling: er is een taak uitgevoerd, door deze persoon, op dit moment, volgens de werkwijze die toen gold, via deze route, en er is gecontroleerd wat er wegging.

Drie dingen die je nu al kunt doen

Los van welk gereedschap je kiest, dit zijn de stappen die altijd nuttig zijn:

• Inventariseer wat er in gebruik is. Niet wat er is ingekocht, maar wat mensen daadwerkelijk openen. Dat verschilt bijna altijd, en het verschil is precies je risico.
• Leg vast wat er niet mag. Eén A4 met welke gegevens nooit in een prompt horen en welke uitspraken je nooit doet. Dat is waardevoller dan een cursus, want het is van jullie.
• Zorg dat het spoor vanzelf ontstaat. Alles wat je achteraf handmatig moet bijhouden, wordt na drie weken niet meer bijgehouden. Dat is geen luiheid maar een natuurwet.

Waarom wij het zo gebouwd hebben

Bij ons is de vastlegging geen aparte handeling maar een bijproduct. Een medewerker vult een taak in, ziet in de controlestap wat er weggaat, krijgt een resultaat en tekent af. Die vier stappen leveren vanzelf een regel in het register op. Niemand hoeft iets te loggen, en dus wordt er niets vergeten.

Wat er níét in het register staat is net zo belangrijk: geen klantnamen, geen ingevulde vragen, geen gegenereerde tekst. Dat hebben we niet nodig om te laten zien dat er zorgvuldig gewerkt is, dus bewaren we het niet. Het is meteen het beste antwoord op de eerste vraag van elke IT-manager.

En nee, dit maakt je niet vanzelf compliant

Dat zou een prettige zin zijn om te verkopen en hij zou niet kloppen. Voldoen aan de verordening doe jij, niet je software. Wat software kan doen is ervoor zorgen dat je het kunt laten zien, dat je afspraken vastliggen en dat je medewerkers niet per ongeluk iets doen wat niet de bedoeling was. Dat is genoeg werk voor één product.