AI-compliance: governance van AI-systemen en AI inzetten voor compliancewerk

AI-compliance heeft twee betekenissen: het doorlopende werk om ervoor te zorgen dat de AI-systemen die je organisatie bouwt of gebruikt voldoen aan toepasselijke wetten, normen en intern beleid, en het inzetten van AI voor routinematig compliancewerk in grote volumes.

Dit artikel behandelt beide betekenissen: de risico’s die AI-compliance aanpakt, de belangrijkste kaders, hoe je een complianceprogramma opzet, beheersmaatregelen voor AI-agents en waar AI compliance-teams helpt. Het sluit af met vragen die je moet stellen voordat je een compliancetool aanschaft.

Wat is AI-compliance?

AI-compliance verwijst naar twee dingen: ervoor zorgen dat AI-systemen voldoen aan de regels uit AI-regelgeving, en AI gebruiken om compliancewerk te doen.

In de eerste betekenis zorgt AI-compliance ervoor dat een AI-systeem gedurende de hele AI-levenscyclus, van trainingsdata tot prestaties en gebruik, de wetten, regelgeving, ethische normen en het interne beleid naleeft.

Zo verplicht Local Law 144 van New York City werkgevers die een geautomatiseerde tool voor arbeidsbeslissingen gebruiken om deze binnen een jaar na ingebruikname op bias te laten auditen, informatie over de audit openbaar te maken en werknemers of sollicitanten op de hoogte te stellen.

Werken aan AI-compliance met regelgeving is een doorlopend proces, omdat AI-toepassingen worden bijgewerkt, de data waarmee ze werken verandert en regelgeving zich ontwikkelt.

In de tweede betekenis gebruiken compliance-teams AI voor routinematig werk in grote volumes, zoals het monitoren van transacties, het beoordelen van documenten en het bijhouden van wijzigingen in regelgeving.

Sommige financiële instellingen gebruiken AI bijvoorbeeld om transacties te beoordelen en het aantal fout-positieven in waarschuwingen uit transactiemonitoring te verminderen, voordat analisten beslissen voor welke waarschuwingen een melding van verdachte activiteiten nodig is.

AI-compliance vs. AI-governance vs. AI-risicobeheer

De drie begrippen overlappen elkaar, maar bestrijken verschillende terreinen: governance stelt de regels op, risicobeheer brengt in kaart wat er mis kan gaan en compliance zorgt ervoor dat de regels worden nageleefd.

Waarom AI-compliance belangrijk is

AI-compliance beperkt je blootstelling aan boetes, beschermt de privacy van de mensen wier gegevens je AI verwerkt en stelt je organisatie in staat om bij een audit verantwoording af te leggen over het gebruik van AI-systemen.

• Boetes van toezichthouders: Onder de EU AI Act kan het gebruik van een verboden AI-praktijk, zoals het afleiden van de emoties van werknemers op het werk, tot € 35 miljoen of 7% van de wereldwijde jaaromzet kosten. Aanbieders en gebruiksverantwoordelijken kunnen bij overtredingen van de AI Act boetes krijgen tot € 15 miljoen of 3%.
• Gegevensbescherming: Een AI-systeem dat persoonsgegevens verwerkt, valt onder wetgeving voor gegevensbescherming, zoals de AVG in de EU. Dit geldt ook voor trainingsdata, prompts en output die persoonsgegevens bevatten.
• Auditgereedheid: Met registraties van welke AI-systemen je gebruikt, wie ze heeft goedgekeurd en hoe je ze monitort, kun je verantwoording afleggen aan toezichthouders, auditors en klanten.

De belangrijkste risico’s die AI-compliance aanpakt

AI-compliance pakt vijf belangrijke risico’s aan: algoritmische bias, gebrek aan uitlegbaarheid, hallucinaties in gereguleerde processen, gegevensprivacy en -lekken, en schaduw-AI.

Vergroten

Zo uiten de belangrijkste risico’s zich, met voorbeelden van beheersmaatregelen die ze onder controle houden:

• Algoritmische bias: Een model reproduceert patronen in zijn trainingsdata die bepaalde groepen benadelen. Een wervingstool kan kandidaten bijvoorbeeld lager rangschikken op basis van een indirecte indicator voor leeftijd of etniciteit, zoals het afstudeerjaar of de postcode. Bias-audits, die uitkomsten tussen demografische groepen vergelijken, helpen deze patronen op te sporen.
• Gebrek aan uitlegbaarheid: De organisatie kan niet laten zien hoe een model tot een beslissing is gekomen. Als een kredietverstrekker niet kan uitleggen waarom een model een lening heeft afgewezen, kan hij de uitkomst niet verdedigen. Organisaties voorkomen dit door de input en beslislogica van modellen te documenteren en te kiezen voor modellen met traceerbare output.
• Hallucinaties in gereguleerde processen: Een generatieve AI-tool beweert vol overtuiging iets wat niet klopt. Een advocaat kan een AI-tool bijvoorbeeld om jurisprudentie vragen die een argument onderbouwt en verwijzingen krijgen naar rechterlijke uitspraken die niet bestaan. Door voor elke output bronnen te eisen en een gekwalificeerd persoon die te laten controleren, worden zulke fouten opgespoord.
• Gegevensprivacy en -lekken: Vertrouwelijke informatie of klantgegevens komen terecht in een tool buiten de controle van de organisatie. Een medewerker kan bijvoorbeeld klantgegevens plakken in een openbare AI-tool die invoer bewaart om toekomstige modellen te trainen. Het risico neemt af als je alleen goedgekeurde tools gebruikt met contractuele beperkingen op training en het bewaren van gegevens.
• Schaduw-AI: Medewerkers gebruiken AI-tools die de organisatie niet heeft goedgekeurd of niet kan zien. In een enquête van Compliance Week uit 2026 meldde 42% van de deelnemers onbeheerd AI-gebruik door medewerkers. Mogelijke oplossingen zijn een lijst met goedgekeurde tools in combinatie met een snel goedkeuringsproces voor AI-tools, en webgateways.

Belangrijke kaders voor AI-compliance

AI-compliance steunt op bindende kaders voor AI-governance, zoals de EU AI Act, en vrijwillige kaders, zoals het NIST AI Risk Management Framework en ISO/IEC 42001, die organisaties helpen daaraan te voldoen.

EU AI Act

De EU AI Act (Verordening (EU) 2024/1689) hanteert een risicogebaseerde aanpak van AI-regelgeving: sommige praktijken zijn volledig verboden, voor systemen met een hoog risico gelden strikte beperkingen, terwijl voor andere alleen lichte transparantieregels gelden. De verordening is overal van toepassing op aanbieders en gebruiksverantwoordelijken “wanneer de output van het AI-systeem in de Unie wordt gebruikt”.

De verplichtingen onder de EU AI Act hangen af van de rol van een organisatie:

• Wie een AI-systeem met een hoog risico ontwikkelt of onder eigen naam op de markt brengt (aanbieders), moet een conformiteitsbeoordeling uitvoeren, de CE-markering aanbrengen, het systeem registreren, technische documentatie bijhouden en het systeem na de release monitoren.
• Wie een systeem gebruikt dat door iemand anders is gebouwd (gebruiksverantwoordelijken), moet de instructies van de aanbieder volgen, het toezicht toewijzen aan personen met “de nodige bekwaamheid, opleiding en autoriteit”, logs ten minste zes maanden bewaren en werknemers en anderen die door de beslissingen van het systeem worden geraakt, informeren.

Vergroten

De AI Act wordt gefaseerd ingevoerd. De regels voor verboden praktijken, AI-geletterdheid en AI voor algemene doeleinden gelden sinds 2025, terwijl de verplichtingen voor systemen met een hoog risico ingaan op 2 december 2027, en op 2 augustus 2028 voor AI die is ingebouwd in producten die onder EU-wetgeving voor productveiligheid vallen.

EN 18286:2026 over kwaliteitsmanagementsystemen is de eerste Europese norm die de AI Act ondersteunt. Aanbieders die deze norm volgen, worden geacht te voldoen aan de eis voor kwaliteitsmanagement uit de AI Act.

NIST AI Risk Management Framework

Het NIST AI RMF (Risk Management Framework), gepubliceerd in januari 2023, is een vrijwillig Amerikaans kader dat is opgebouwd rond vier functies: Govern, Map, Measure en Manage.

Het bijbehorende Generative AI Profile, uitgebracht in juli 2024, past het kader toe op risico’s van generatieve AI.

ISO/IEC 42001

ISO/IEC 42001 is de internationale norm voor managementsystemen voor AI en omvat het beleid, de rollen en de processen die de verantwoorde ontwikkeling en het verantwoorde gebruik van AI sturen. Certificering is vrijwillig en wordt verleend door onafhankelijke certificeringsinstellingen, niet door ISO zelf.

Een certificaat heeft betrekking op het managementsysteem van de organisatie, niet op een specifiek AI-product.

Amerikaanse en sectorale regels die op AI van toepassing zijn

De VS heeft geen overkoepelende federale AI-wet. Regels komen van steden, staten en bestaande wet- en regelgeving die op AI van toepassing is.

Zo reguleert SB26-189 van Colorado, dat op 1 januari 2027 in werking treedt, technologie voor geautomatiseerde besluitvorming, en zijn privacywetten zoals de California Consumer Privacy Act (CCPA) of HIPAA van toepassing zodra AI beschermde gegevens verwerkt.

Een AI-complianceprogramma opzetten

Het opzetten van een AI-complianceprogramma bestaat uit zes stappen: je AI-systemen inventariseren, ze op risico classificeren, beheersmaatregelen koppelen aan de toepasselijke regels, eigenaren toewijzen, elk systeem documenteren en het monitoren met registraties die een auditor kan controleren.

Vergroten

Elke stap hieronder eindigt met de registratie die de stap oplevert:

1. Inventariseer elk AI-systeem. Maak een lijst van de systemen die je organisatie bouwt, koopt of gebruikt, inclusief AI-functies in bestaande software en tools die medewerkers zonder goedkeuring in gebruik hebben genomen. Leg vast wat elk systeem doet, wie het gebruikt en met welke gegevens het werkt.
   Resultaat: Een AI-inventaris.
2. Classificeer elke use case op risico. Beoordeel elk systeem op de schade die het kan veroorzaken, met een indeling zoals de risiconiveaus van de EU AI Act. Een tool die premies voor levensverzekeringen vaststelt, valt onder de AI Act bijvoorbeeld onder hoog risico, terwijl een tool die interne vergaderingen samenvat dat niet doet.
   Resultaat: Een risicoregister.
3. Koppel beheersmaatregelen aan de toepasselijke regels. Maak een lijst van de wetten, normen en interne beleidsregels die op elk systeem van toepassing zijn, en van de beheersmaatregel die aan elke compliance-eis voldoet. Een gedocumenteerde menselijke beoordeling helpt bijvoorbeeld te voldoen aan de eisen voor menselijk toezicht op systemen met een hoog risico uit de EU AI Act en aan de oproep in het NIST AI RMF tot gedocumenteerde processen voor menselijk toezicht.
   Resultaat: Een overzicht van beheersmaatregelen.
4. Wijs eigenaren en momenten voor menselijk toezicht toe. Wijs voor elk systeem een eigenaar aan en bepaal waar een persoon de output beoordeelt. Juridische zaken en compliance zijn bijvoorbeeld eigenaar van de verplichtingen, security van de technische beheersmaatregelen en bedrijfseigenaren van hun use cases, terwijl één bestuurder eindverantwoordelijk is. Zorg ervoor dat mensen in de hele organisatie op de hoogte zijn en richt duidelijke communicatielijnen in.
   Resultaat: Benoemde eigenaren voor elk systeem.
5. Documenteer elk systeem. Leg voor elk systeem het doel, de trainingsdata, de tests en de bekende beperkingen vast in formats zoals modelkaarten en effectbeoordelingen. Aanbieders van systemen met een hoog risico moeten ook de technische documentatie uit bijlage IV van de EU AI Act opstellen.
   Resultaat: Een set systeemdocumentatie.
6. Monitor, log en bewaar bewijs. Ontwerp logs vanaf het begin als auditbewijs om te laten zien wat een systeem heeft gedaan en wie het heeft beoordeeld. De EU AI Act vereist dat systemen met een hoog risico gedurende hun hele levensduur automatisch gebeurtenissen registreren. Een audittrail moet het volgende vastleggen:
   • Het gebruikte model en de versie
   • Input en output, of een vastgestelde steekproef daarvan
   • Data voor training of fine-tuning
   • Momenten van menselijke beoordeling en de uitkomsten daarvan
   • Acties die een agent heeft uitgevoerd en de rechten die daarbij zijn gebruikt
   • Hoe lang elke registratie wordt bewaard

Resultaat: Monitoringregistraties en een audittrail.

Gespecialiseerde tools voor AI-compliance, zoals IBM watsonx.governance en OneTrust AI Governance, kunnen delen van dit programma overnemen, waaronder de AI-inventaris, risicobeoordelingen op basis van de EU AI Act en documentatie.

Hoe je AI-tools goedkeurt die medewerkers mogen gebruiken

Controleer vier dingen voordat je een AI-tool goedkeurt:

• Toegang tot gegevens: Welke bestanden, systemen en gekoppelde kennisbanken de tool kan lezen, en of die persoonsgegevens bevatten die de tool zou kunnen blootleggen.
• Training op invoer: Of de leverancier prompts, bestanden of output gebruikt om zijn modellen te trainen, en of je contract met de leverancier dat verbiedt.
• Bewaring: Hoe lang de leverancier prompts, bestanden en gespreksgeschiedenis bewaart, en of je die termijn kunt verkorten.
• Hosting en doorgiften: Waar de leverancier gegevens opslaat en verwerkt, inclusief doorgiften buiten je regio.

Compliancemaatregelen voor AI-agents

AI-agents hebben meer beheersmaatregelen nodig dan chattools, omdat ze zelf hun stappen bepalen en handelen via toegekende tools en rechten. Drie beheersmaatregelen houden ze onder controle:

• Toegang op basis van minimale rechten: Geef een agent alleen de tools en rechten die zijn taak vereist. Excessive Agency, waarbij een agent meer kan dan zijn taak vereist, is volgens de OWASP Top 10 for LLM Applications 2026 een van de grootste beveiligingsrisico’s.
• Een log van elke actie: Leg elke toolaanroep, de geraadpleegde gegevens en de gebruikte rechten vast, zodat je kunt nagaan wat een agent heeft gedaan en voor wie.
• Menselijke goedkeuring voor acties met grote impact: Laat een persoon stappen bevestigen die gegevens buiten de organisatie versturen, geld overmaken of niet ongedaan kunnen worden gemaakt.

Hoe AI wordt gebruikt in compliancewerk

Compliance- en risicobeheerteams gebruiken AI om beheersmaatregelen te monitoren, risico’s te beoordelen, wijzigingen in regelgeving bij te houden, documenten te beoordelen en waarschuwingen over financiële criminaliteit te prioriteren.

In een enquête van Compliance Week uit 2026 onder 193 leiders op het gebied van compliance, ethiek, risico en audit zei meer dan 83% AI te gebruiken, en bijna 40% zei dat hun bedrijf het heeft ingezet voor risicobeoordeling en monitoring.

Veelvoorkomende use cases van AI in compliance zijn onder meer:

• Continue compliancemonitoring en verzameling van bewijs: AI voert controles uit en verzamelt bewijs dat ze werken (bijv. achterstallige veiligheidsinspecties van apparatuur in een fabriek).
• Risicobeoordeling en prioritering: AI rangschikt bedrijfsonderdelen of derde partijen op risico (bijv. leveranciers met nieuwe sancties of blootstelling aan rechtszaken).
• Monitoring van wijzigingen in regelgeving: AI volgt publicaties van toezichthouders en vat wijzigingen samen (bijv. herziene richtlijnen tegen omkoping die de limiet voor geschenken in het onkostenbeleid verlagen).
• Beoordeling van documenten en beleid: AI vergelijkt contracten en beleid met de eisen (bijv. leverancierscontracten zonder auditrechtclausule).
• Screening op financiële criminaliteit: AI sorteert en prioriteert waarschuwingen uit transactiemonitoring en klantcontroles (bijv. naamovereenkomsten met sanctielijsten die een andere persoon blijken te betreffen).

AI die voor compliance wordt gebruikt, heeft dezelfde governance nodig als andere AI-systemen. In oktober 2026 stelde de Britse Financial Conduct Authority dat “bedrijven verantwoordelijk zijn voor AI-systemen die ze ontwikkelen, aanschaffen en inzetten – inclusief de output en uitkomsten daarvan”, en waarschuwde ze ervoor om van de menselijke beoordeling geen ‘afvinkoefening’ te maken.

In de praktijk kunnen AI-tools routinetaken uitvoeren, zoals het verzamelen van bewijs of het signaleren van wijzigingen in regelgeving, maar geen beslissingen nemen die juridische verantwoordelijkheid met zich meebrengen, zoals beslissen of verdachte activiteiten moeten worden gemeld of hoe beleid moet worden opgesteld.

Gegevensbeheer in Perplexity Enterprise

Perplexity Enterprise geeft beheerders controle over training op invoer, gegevenstoegang en bewaring:

• Geen training op je gegevens: Perplexity gebruikt zakelijke content nooit om zijn AI-modellen te trainen, en zijn overeenkomsten met externe modelaanbieders verbieden hen om erop te trainen.
• Toegangsbeheer: SSO, SCIM en rolgebaseerde machtigingen bepalen wie bestanden kan uploaden en antwoorden kan delen.
• Bewaring en auditlogs: Bestanden die aan sessies zijn bijgevoegd, worden na zeven dagen verwijderd. Organisaties met 50 of meer licenties, of ten minste één Enterprise Max-licentie, kunnen daarnaast de bewaartermijn van sessies instellen en auditlogs van gebruikersactiviteit ontvangen.
• Certificeringen: Perplexity is SOC 2 Type II-gecertificeerd, voldoet aan de AVG en staat werken met beschermde gezondheidsinformatie alleen toe onder een ondertekende Business Associate Agreement.

Wil je een toelichting op deze instellingen? Neem contact op met ons salesteam om een persoonlijke demo in te plannen.

Veelgestelde vragen

Wat is AI-compliance in de EU?

AI-compliance in de EU betekent dat je voldoet aan de verplichtingen uit de EU AI Act die gelden voor jouw rol (aanbieder of gebruiksverantwoordelijke) en voor de risicocategorie van elk systeem. De verplichtingen gaan gefaseerd in; die voor systemen met een hoog risico gelden vanaf 2 december 2027.

Wat is HIPAA-conforme AI?

HIPAA-conforme AI is een tool die wordt gebruikt binnen de HIPAA-waarborgen voor beschermde gezondheidsinformatie. Als de leverancier die informatie opslaat of verwerkt, vereist het Amerikaanse ministerie van Volksgezondheid en Sociale Diensten eerst een ondertekende Business Associate Agreement.

Is de EU AI Act van toepassing op Amerikaanse bedrijven?

Ja. De AI Act geldt voor Amerikaanse bedrijven die AI-systemen op de EU-markt brengen en voor bedrijven van wie de AI-output in de EU wordt gebruikt.

Kan AI compliance officers vervangen?

AI kan compliance officers niet vervangen. Organisaties zijn verantwoordelijk voor hun werk en AI-technologieën kunnen fouten maken, dus compliance officers moeten AI-output nog steeds kritisch beoordelen en goedkeuren.