ISACA-topman Erik Prusch is opvallend openhartig over de keerzijde van de AI-explosie: de meeste organisaties weten niet eens hoe ze hun AI zouden moeten uitschakelen als het misgaat. In een gesprek met ITdaily schetst hij een wereld waarin de risico’s sneller groeien dan de controles, en waarin overheden vooral toekijken.
ISACA is in de kern een professionele ledenorganisatie die certificeringen, frameworks en resources ontwikkelt voor professionals in IT-audit, cyberveiligheid, risicobeheer, governance en privacy. Over al die domeinen is AI de verbindende factor.
Volgens CEO Erik Prusch is net die groeiende invloed de reden waarom er nood is aan sterkere governance, toezicht en controles op een moment dat vrijwel iedereen op het gaspedaal staat.
Het is gevaarlijk
Er stroomt enorm veel kapitaal naar AI, en alle aandacht gaat naar productiviteit. Veel minder energie gaat naar de frameworks, naar de detectie en identificatie van risico onderweg. “In de VS is het zero bridled, het wordt bijna aangemoedigd, een free for all, zo ver als het geld reikt”, vat Prusch de Amerikaanse situatie samen. Er zijn nauwelijks grenzen, en dus testen we volgens hem op dit moment collectief waar de rand van die groei ligt.
Prusch verwijst naar partijen als Anthropic en de meest geavanceerde modellen die zij vandaag publiek beschikbaar stellen als illustratie van het tempo. “Elke nieuwe capaciteitssprong zet de vraag op scherp of er evenveel geld naar bescherming gaat als naar het najagen van rendement.
Zijn oordeel is ongewoon onomwonden voor een CEO. “Het is gevaarlijk”, herhaalt hij. “Ik ben enthousiast over de groei en over de kansen voor onze leden, maar ik ben bang dat we als landen onvoldoende controle hebben over wat er nu in die systemen wordt gestopt.”
De uitknop die niemand kent
Het meest concrete signaal van dat controleverlies komt uit ISACA’s eigen ledenonderzoek. Toen de organisatie vroeg hoeveel bedrijven klaarstaan om hun AI te kunnen uitzetten, bleek dat slechts 10 procent een gedocumenteerd en regelmatig getest proces had klaarstaan. Een cijfer dat Prusch ronduit gevaarlijk noemt.
Hij grijpt terug op de mainframe-tijd om het punt te maken. Toen er vroeger iets grondig misging, trok je simpelweg de stekker uit de muur. Niet bepaald de elegantste oplossing, geeft hij toe, maar het werkte.
Het volstaat niet langer te weten hoe diep AI in je eigen onderneming zit. Je moet ook alle uitlopers en alle verbindingen kennen die de organisatie binnenkomen
Erik Prusch, CEO ISACA
“Die noodrem is vandaag verdwenen. Het volstaat niet langer te weten hoe diep AI in je eigen onderneming zit. Je moet ook alle uitlopers en alle verbindingen kennen die de organisatie binnenkomen, en weten waar die precies aankomen. Een uit-knop is er niet, en evenmin een plan om het probleem te ontwarren als het zich voordoet.”
AI auditen blijft een uitdaging
Daarmee raakt Prusch aan wat misschien wel de kern is: organisaties hebben meer inzicht in en controle over AI-systemen nodig om risico’s effectief te beheersen. “Als je een AI-systeem niet aan een audit kunt onderwerpen en met vertrouwen kunt zeggen wat erin gaat, wat de modellen traint en wat eruit komt, dan stapelt het risico zich onvermijdelijk op. Een slecht beheerst risico remt op termijn net die groei waar iedereen zo happig op is.”
Daar zit meteen de pitch van de organisatie: controle is volgens Prusch geen rem, maar een voorwaarde voor groei. Hij wijst op de 55-jarige geschiedenis van ISACA, en op een principe dat hij uit zijn softwarejaren meeneemt. Dertig jaar geleden bouwde je beveiliging en auditpraktijken achteraf in, en dat vertraagde alles.
De les: je moet die controles in de code zelf bouwen. Het ongemakkelijke is dat code vandaag dagelijks en grotendeels ongecontroleerd wordt geschreven, door AI. “Net daarom moet de auditfunctie vroeg en vaak betrokken zijn bij AI-trajecten in plaats van achteraf op te dagen.”
Eén economie, vijftien standaarden
Prusch is een uitgesproken voorstander van het harmoniseren van standaarden, en zijn argument is de toeleverketen. Het maakt volgens hem weinig uit of een bedrijf in Europa gevestigd is wanneer de toeleveringsketen uit Azië komt, of omgekeerd. “Het is één wereldeconomie, en iedereen beïnvloedt elkaar. Vijftien verschillende standaarden helpt dan niemand. De winst zit in zo dicht mogelijk bij één raken.”
Wat hem daarbij opvalt, is de stilte van veel overheden. Volgens Prusch weten ze simpelweg nog niet wat ze moeten doen, en hopen sommigen stilletjes dat de makers van de grote taalmodellen het wel voor hen zullen oplossen. “De partij die de technologie ontwikkelt én eraan verdient, zal niet uit zichzelf alle remmen en grenzen inbouwen. Daarvoor zijn volgens hem onafhankelijke, non-profitorganisaties nodig die maar één drijfveer hebben.”
Vooruitkijken zonder noodrem
Het eerlijkste aan dit gesprek is dat Prusch geen oplossing claimt voor het uit-knop-probleem. “Ons antwoord is niet terugdraaien, want dat kan niet, maar ervoor gaan staan. We willen vooraan in de keten meekijken, auditeren waar het kan, en de professionals klaarstomen die de juiste vragen stellen. Het is preventie bij gebrek aan een noodrem.”
Wie tekent de lijn. En waar zit de knop voor als het misgaat?
Erik Prusch, CEO ISACA
Voor Europese organisaties blijft daarmee de ongemakkelijke vraag op tafel die Prusch zelf stelt: wie tekent de lijn, en waar zit de knop voor als het misgaat? Op dit moment, erkent hij, heeft niemand daar een antwoord op. Dat een organisatie met een commercieel belang bij meer regelgeving dat zo scherp benoemt, maakt de vraag niet minder dringend. Eerder integendeel.