--- title: "Een AI-governancekader opbouwen | Pitch" description: "Waaruit een intern AI-governancekader bestaat, welke wettelijke plichten het moet dragen en hoe een middelgrote organisatie er een opbouwt dat bij haar gebruik…" url: https://www.pitch.law/nl/academy/building-an-ai-governance-framework --- [pitch](https://www.pitch.law/nl) [Academy](https://www.pitch.law/nl/academy) [Juridische aspecten van artificiële intelligentie](https://www.pitch.law/nl/academy/topics/legal-aspects-of-artificial-intelligence) # Een AI-governancekader opbouwen Waaruit een intern AI-governancekader bestaat, welke wettelijke plichten het moet dragen en hoe een middelgrote organisatie er een opbouwt dat bij haar gebruik van AI past. - Door Door Bart Lieben, Advocaat - Gepubliceerd 25 februari 2026 ## Het juridisch kader Geen enkele wet zegt "je moet een AI-governancekader hebben". Maar een aantal plichten uit Verordening (EU) 2024/1689 (de AI-verordening of AI Act) en uit de GDPR kun je alleen nakomen als je er een hebt. Zo'n kader is het geheel van beleid, rollen, registers en controles waarmee je per systeem kunt aantonen dat je weet welke AI je gebruikt, welk recht van toepassing is en wie verantwoordelijk is. ### Wat de wet vraagt en governance moet leveren - **AI-geletterdheid (artikel 4 AI Act).** Aanbieders en gebruiksverantwoordelijken (deployers) moeten maatregelen nemen zodat hun personeel voldoende AI-geletterd is, passend bij rol en context. De plicht geldt sinds 2 februari 2025. De Digital Omnibus on AI (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026) heeft de tekst van artikel 4 gewijzigd. Check de actuele tekst als je opleidingen opzet. - **Verboden praktijken (artikel 5).** Bepaalde toepassingen, zoals emotieherkenning op de werkplek of social scoring, zijn sinds 2 februari 2025 verboden. Governance moet voorkomen dat ze in je organisatie belanden. - **Hoogrisicosystemen.** Aanbieders moeten risicobeheer (artikel 9), datagovernance (artikel 10), documentatie (artikel 11), logging (artikel 12) en menselijk toezicht (artikel 14) op orde hebben. Deployers moeten het systeem gebruiken volgens de gebruiksaanwijzing, menselijk toezicht toewijzen aan bekwame mensen, de werking opvolgen, logs minstens zes maanden bewaren en werknemersvertegenwoordigers en getroffen werknemers informeren (artikel 26). De Omnibus heeft de toepassing van de hoogrisicoregels verschoven naar 2 december 2027 voor Bijlage III-systemen en naar 2 augustus 2028 voor systemen in gereguleerde producten (Bijlage I). Zie [de tijdlijn van de AI Act](https://www.pitch.law/nl/academy/ai-act-compliance-timeline). - **Transparantie (artikel 50).** Gebruikers moeten weten wanneer ze met een AI-systeem praten of AI-gegenereerde inhoud zien, in de gevallen die het artikel opsomt. - **GDPR.** Het verwerkingsregister (artikel 30), de gegevensbeschermingseffectbeoordeling (artikel 35), de regels over uitsluitend geautomatiseerde besluitvorming (artikel 22) en verwerkersovereenkomsten (artikel 28) gelden zodra AI persoonsgegevens verwerkt. Zie [de AI Act en de GDPR](https://www.pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap). ### Vijf bouwstenen 1. **Inventaris.** Een lijst van elk AI-systeem dat je gebruikt of ontwikkelt: doel, data, betrokken personen, leverancier en jouw rol als [aanbieder of deployer](https://www.pitch.law/nl/academy/provider-vs-deployer-ai-act). 2. **Classificatie en beoordeling.** Per systeem het [risiconiveau](https://www.pitch.law/nl/academy/ai-act-risk-classification-explained) onder de AI Act, of je een DPIA nodig hebt en, voor de deployers die artikel 27 viseert, een beoordeling van de gevolgen voor de grondrechten. 3. **Verantwoordelijkheid.** Een eigenaar per systeem, iemand die beslist over goedkeuren, wijzigen en stopzetten, en een escalatieroute. In kleinere organisaties kunnen die rollen bij dezelfde mensen liggen. 4. **Controles.** Een gebruiksbeleid voor werknemers, procedures voor menselijk toezicht, logging, incidentbeheer en opleiding. 5. **Leveranciersbeheer.** Due diligence vóór aankoop, [contractvoorwaarden](https://www.pitch.law/nl/academy/ai-clauses-in-vendor-contracts) en een periodieke herziening. ## In de praktijk Een Leuvens logistiek bedrijf met 300 werknemers gebruikt een AI-tool om sollicitanten te rangschikken, een chatbot op zijn website en een generatieve assistent waarmee werknemers teksten schrijven. Een AI-beleid heeft het niet. Het start met een inventaris en vindt elf tools, waarvan drie die niemand in de directie had goedgekeurd. De wervingstool valt onder Bijlage III en is hoog risico. Het bedrijf is deployer en moet zich voorbereiden op de verplichtingen vanaf de toepasselijke datum. Voor de chatbot is een melding nodig dat het om AI gaat. De generatieve assistent is oké voor algemene tekst, maar niet voor klantgegevens, en dat zegt het beleid. Het bedrijf benoemt een AI-verantwoordelijke in HR en een in IT, zet AI op de aankoopchecklist, doet een DPIA voor de wervingstool en plant opleidingen. Het hele kader bestaat uit een paar documenten en een register. Het staat in verhouding tot het bedrijf en je kunt het aan een toezichthouder laten zien. Een jaar later wil de klantendienst een nieuwe tool om gesprekken samen te vatten. Dankzij het kader loopt die aanvraag via een vaste route: de systeemeigenaar vult de inventaris aan, het risiconiveau wordt bepaald, de leverancier wordt getoetst aan de aankoopchecklist en de DPO beoordeelt of een DPIA nodig is. De beslissing en de motivering komen in het register, zodat je ze later kunt herhalen of verdedigen. ## Veelgestelde vragen ### Hebben we een kader nodig als we alleen tools zoals ChatGPT gebruiken? Je hebt minstens een beleid, een inventaris en opleiding nodig. De geletterdheidsplicht en de GDPR gelden ook bij beperkt gebruik. ### Wie moet de AI-governance beheren? Een senior persoon met gezag over juridisch, IT en HR, vaak met de DPO als steun. De AI Act schrijft geen specifieke functietitel voor. ### Hoe verschilt dit van GDPR-compliance? De GDPR gaat over persoonsgegevens. De AI Act gaat over AI-systemen, met of zonder persoonsgegevens. Ze delen instrumenten zoals registers en effectbeoordelingen, maar niet hetzelfde toepassingsgebied. ### Hoe vaak moeten we het bijwerken? Bij de invoering of wijziging van een systeem, bij wijzigingen in de regelgeving en op een vast moment om te herzien, bijvoorbeeld jaarlijks. ## Hoe dit samenhangt Met onze dienst [naleving van de AI-verordening](https://www.pitch.law/nl/solutions/ai-act-compliance) bouwen we dit kader samen met je op. [Ons AI Act-register en onze beoordelingen](https://www.pitch.law/nl/technologies/ai-act-governance-toolkit) houden inventaris, classificatie en beoordelingen bij, [onze nalevingsregisters](https://www.pitch.law/nl/technologies/privacy-register) bevatten de GDPR-registers en [onze DPIA-tool](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) helpt bij de effectbeoordelingen, waarna een jurist de resultaten nakijkt. ## In het kort - De vijf bouwstenen van een AI-governancekader - Hoe de AI-verordening en de GDPR het vormgeven - Rollen, inventaris, beoordelingen en leverancierscontrole - Een uitgewerkt voorbeeld voor een middelgroot bedrijf ## Hier helpen we mee - [Oplossingen](https://www.pitch.law/nl/solutions/ai-act-compliance) ### [AI Act-compliance](https://www.pitch.law/nl/solutions/ai-act-compliance) [We zoeken uit welke van jouw AI-systemen onder de Europese AI-verordening vallen, in welke rol, en wat je wanneer geregeld moet hebben.](https://www.pitch.law/nl/solutions/ai-act-compliance) ## Tech die we gebruiken - [Technologie](https://www.pitch.law/nl/technologies/ai-act-governance-toolkit) ### [AI Act-register en beoordelingen](https://www.pitch.law/nl/technologies/ai-act-governance-toolkit) [Eén register waarin je AI-systemen staan, geclassificeerd en per rol opgevolgd, met beoordelingen, incidenten en een AI Act-tijdlijn. Een advocaat kijkt alles na.](https://www.pitch.law/nl/technologies/ai-act-governance-toolkit) - [Technologie](https://www.pitch.law/nl/technologies/privacy-register) ### [Verwerkingsregister en compliance-registers](https://www.pitch.law/nl/technologies/privacy-register) [Eén registermotor voor je AVG-verwerkingsregister en voor de registers onder de AI-verordening, NIS2 en DORA, met artikelverwijzingen, bewijsstukken en goedkeuring door de advocaat of DPO.](https://www.pitch.law/nl/technologies/privacy-register) - [Technologie](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) ### [DPIA](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) [Begeleide gegevensbeschermingseffectbeoordelingen (DPIA's) als werkdossier dat jij en je advocaat samen invullen in het klantenportaal.](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) ## Meer over Juridische aspecten van artificiële intelligentie - ### [AI Act-tijdlijn: wat geldt wanneer](https://www.pitch.law/nl/academy/ai-act-compliance-timeline) [De toepassingsdata van de AI-verordening per oktober 2026, inclusief het in 2026 aangenomen uitstel van de hoogrisicoregels.](https://www.pitch.law/nl/academy/ai-act-compliance-timeline) - ### [AI Act en GDPR: waar de twee kaders elkaar raken](https://www.pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap) [Hoe de AI-verordening en de GDPR naast elkaar gelden voor hetzelfde AI-systeem: rollen, effectbeoordelingen, geautomatiseerde besluiten, transparantie, datakwaliteit en bijzondere categorieën.](https://www.pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap) - ### [Risicoclassificatie onder de AI-verordening](https://www.pitch.law/nl/academy/ai-act-risk-classification-explained) [Zo check je of een AI-systeem verboden is, hoogrisico, onder transparantieverplichtingen valt of vrij is van specifieke verplichtingen.](https://www.pitch.law/nl/academy/ai-act-risk-classification-explained) - ### [AI-clausules in leverancierscontracten](https://www.pitch.law/nl/academy/ai-clauses-in-vendor-contracts) [Welke clausules je mag verwachten en moet bespreken als je AI koopt of levert: verdeling onder de AI-verordening, datagebruik, eigendom van output, IP-vrijwaring, aansprakelijkheid en wijzigingsbeheer.](https://www.pitch.law/nl/academy/ai-clauses-in-vendor-contracts) - ### [AI in HR en recrutering](https://www.pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) [Welke AI-tools in recrutering en personeelsbeheer verboden of hoog risico zijn onder de AI-verordening, wat werkgevers moeten doen en wat het nationale arbeidsrecht en de GDPR toevoegen.](https://www.pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) - ### [AI en intellectuele eigendom: trainingsdata, auteursrecht en openbaarmaking](https://www.pitch.law/nl/academy/ai-intellectual-property-training-data-copyright-disclosure) [Hoe het Europese auteursrecht en de AI-verordening omgaan met trainingsdata, opt-outs van rechthebbenden, samenvattingen van trainingsinhoud en de bescherming van AI-output en uitvindingen.](https://www.pitch.law/nl/academy/ai-intellectual-property-training-data-copyright-disclosure) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://www.pitch.law/nl/schedule)