Veel organisaties gebruiken AI-tools in hun beveiliging, maar weinig hebben vastgelegd wie verantwoordelijk is wanneer het misloopt.
AI komt meestal niet binnen via een beslissing van het management. Een medewerker plakt een tekst in ChatGPT, HR laat een tool cv’s samenvatten en een ontwikkelaar laat een assistent code schrijven. De whitepaper van Abnormal AI, gedeeld door JARVISS, noemt dat shadow AI. Daar begint AI-governance: het geheel van beleid, processen en verantwoordelijkheden dat ervoor zorgt dat AI-systemen verantwoord worden ontwikkeld en gebruikt.
Het onderzoek dat de whitepaper aanhaalt, is duidelijk. Slechts 32 procent van de organisaties gebruikt AI uitgebreid in hun securityprogramma’s, en bijna twee derde heeft helemaal geen AI-governancebeleid. Dat valt zwaar, want AI neemt steeds vaker beslissingen over dreigingsdetectie, toegangscontrole en incidentrespons.
Wie doet wat?
De whitepaper stelt de vraag of de CISO eigenaar moet zijn van AI-governance, of dat die verantwoordelijkheid bij een Chief AI Officer hoort. Het antwoord hangt af van de context. Wel is duidelijk dat AI-governance het domein van de security-leider raakt, ongeacht de formele rapporteringslijnen. Op executief niveau draagt de CISO de primaire verantwoordelijkheid voor AI-beveiligingsrisico’s. Security engineers en SOC-teams volgen het dagelijks op: ze bewaken de prestaties van modellen, valideren de outputs en melden afwijkingen die op modelveroudering of een aanval kunnen wijzen.
Om die taken goed te verdelen, adviseert de whitepaper een RACI-matrix. Daarin leg je vast wie verantwoordelijk, eindverantwoordelijk, geraadpleegd of geïnformeerd is. Regelgeving verschilt bovendien per regio, en de EU AI Act is al van kracht. Organisaties die wachten tot de regels helemaal vaststaan, moeten achteraf controles inbouwen in systemen die al in productie draaien. Daarom pleit de whitepaper voor een modulair kader dat zich kan aanpassen aan regionale eisen.
Wil je weten welke twaalf functies een volwaardig AI-governancekader moet dekken en hoe je de RACI-matrix concreet invult? Download de whitepaper “Defining AI Governance Responsibilities” via jarviss.be en bepaal nog deze week wie in je organisatie aanspreekbaar is voor AI.