Het werkt niet om alles als een even groot risico te behandelen of elke toepassing op basis van dezelfde regels te beoordelen. Voor juridische en financiële professionals wordt het daarom steeds belangrijker om risico’s niet alleen te herkennen, maar ze ook tegen elkaar af te wegen. Want niet alleen de technologie bepaalt hoe risicovol een situatie is: de context waarin je AI gebruikt, maakt het verschil.
AI komt dichter bij processen waar meer op het spel staat
AI duikt steeds vaker op in het dagelijkse kenniswerk. Het wordt bijvoorbeeld gebruikt om research te ondersteunen, informatie samen te vatten, documenten te analyseren of een compliancecheck voor te bereiden. Hoe meer dat gebeurt, hoe dichter AI komt bij processen waar kwaliteit, vertrouwelijkheid en verantwoordelijkheid zwaar doorwegen.
Daardoor verandert het werk. In de advocatuur neemt AI steeds meer herhalende taken over. In de accountancy verschuift de aandacht naar interpretatie en strategisch advies. Tegelijk weet een organisatie niet altijd precies hoe AI op de werkvloer wordt gebruikt. Medewerkers ontdekken vaak zelf nieuwe toepassingen en gebruiken AI weleens buiten de afgesproken kaders. ICT-jurist Arnoud Engelfriet spreekt in Mr. Online over een ‘legal AI black box’.
Ook keuzes rond AI zelf krijgen meer gewicht. De kosten van gespecialiseerde toepassingen lopen op, waardoor organisaties afhankelijker worden van externe leveranciers. Grote spelers investeren daarom in eigen AI-infrastructuur, om zo meer grip te krijgen op de technologie en het gebruik van data. Waar risk en compliance eerder vooral draaiden om de vraag of het gebruik van AI is toegestaan, is het nu ook belangrijk waar je AI gebruikt, waarvoor je de output inzet en welke risico's kunnen ontstaan.
Welke vragen bepalen het werkelijke risico?
Een algemene lijst met risico’s die AI met zich meebrengt, helpt maar beperkt als je beleid en richtlijnen voor een hele organisatie moet bepalen. Dezelfde tool kan in de ene workflow weinig risico opleveren en in een andere context veel strengere controle vereisen. De uitdaging is daarom om vooraf te bepalen welke toepassingen van AI binnen je organisatie extra aandacht en controle nodig hebben.
Vijf vragen die je helpen om dat onderscheid te maken:
1. In welke workflows wordt gevoelige informatie gebruikt?
Breng in kaart waar AI in aanraking komt met persoonsgegevens, cliëntdata, financiële informatie of vertrouwelijke dossiers. Daar spelen naast privacyregels ook beroepsgeheim en informatiebeveiliging mee. Hoe gevoeliger de informatie, hoe duidelijker de grenzen rond het gebruik ervan moeten zijn.
2. Waar moet AI-output professioneel kunnen worden onderbouwd?
Niet iedere toepassing vraagt om dezelfde mate van herleidbaarheid. Zodra AI-output wordt gebruikt voor advies, analyse of rapportering, moeten professionals kunnen nagaan waarop die informatie is gebaseerd. Dat betekent dat je moet bepalen waar betrouwbare en actuele bronnen, controleerbaarheid en professionele validatie noodzakelijk zijn.
3. In welke processen kan AI invloed hebben op advies of besluitvorming?
Een toepassing die informatie ordent, heeft een ander risicoprofiel dan AI die input levert voor juridisch advies of fiscale interpretatie. Breng daarom in kaart waar AI dichter bij professionele besluitvorming komt en bepaal waar menselijke beoordeling onderdeel van het proces moet blijven.
4. Welke kaders zijn nodig voor verschillende vormen van AI-gebruik?
Bestaande wetgeving en beroepsnormen vormen een basis, maar organisaties hebben ook eigen afspraken nodig. Welke toepassingen zijn toegestaan? Welke voorwaarden gelden voor gevoelige informatie of toepassingen? Zo vertaal je algemene principes naar werkbare richtlijnen voor verschillende teams en workflows.
5. Waar moet eindverantwoordelijkheid expliciet worden vastgelegd?
Wanneer AI een deel van het werk overneemt, moet duidelijk blijven wie verantwoordelijk is voor het resultaat. Bepaal daarom vooraf waar review nodig is, wie een toepassing of output van AI mag goedkeuren en bij wie de eindverantwoordelijkheid ligt. Zeker bij toepassingen met een grote impact mag dat geen impliciete afspraak zijn.
Niet elk risico vraagt dezelfde controle
Met deze vragen kun je binnen je organisatie verschillende toepassingen van AI indelen op risiconiveau en daar passende maatregelen en controles aan koppelen. Prioriteren wil niet zeggen dat je risico’s negeert. Je richt je aandacht op de scenario’s met de grootst mogelijke gevolgen.
- Bij laag risico, zoals bij brainstormen, algemene inspiratie of een eerste samenvatting van niet-vertrouwelijke informatie, zijn duidelijke afspraken en bewustzijn genoeg.
- Bij een gemiddeld risico, zoals bij research, documentanalyse, interne rapportage of het voorbereiden van een compliancecheck, is extra controle nodig. Je wilt bronnen kunnen controleren, verifiëren welke data worden gebruikt en de output professioneel beoordelen.
- Bij hoog risico ligt de lat nog hoger. Denk aan cliëntadvies, fiscale uitleg, juridische argumenten, compliancecontrole of input voor financiële beslissingen. Daar zijn duidelijke verantwoordelijkheden, controlepunten en een menselijke eindbeoordeling nodig.
Waar precies de grens ligt, verschilt van organisatie tot organisatie. Een goed risk- en compliancekader helpt je de controle af te stemmen op de situatie.
Verantwoord AI-gebruik begint bij de juiste prioriteiten
AI verandert risk en compliance niet fundamenteel, maar legt de risico’s wel scherper bloot. AI-output achteraf op juistheid controleren is niet meer genoeg. Je professionele oordeel bepaalt welke maatregelen en controles je vooraf inbouwt en of de toegenomen efficiëntie samengaat met betrouwbaarheid en verantwoordelijkheid.
Datzelfde uitgangspunt hanteert Wolters Kluwer bij de ontwikkeling van AI-toepassingen. Technologie gaat hand in hand met diepgaande domeinexpertise, geverifieerde vakinhoud en de principes van verantwoorde AI. Daarbij ligt de nadruk op betrouwbare en controleerbare output, bescherming van gevoelige gegevens en een veilige omgeving waarin gebruikersdata niet zomaar worden ingezet voor modeltraining. AI moet je werk ondersteunen, niet je oordeel vervangen. Controle, transparantie en verantwoordelijkheid zijn geen nevenzaken, maar worden vanaf het begin meegenomen in de ontwikkeling van AI.
Ook voor je eigen organisatie ligt daar de kern van verantwoord AI-gebruik. Het doel is niet om elk denkbaar risico vooraf uit te sluiten, maar om te bepalen welke risico’s prioriteit vragen en welke aanpak daarbij past. Zo worden risk en compliance geen rem op AI, maar het kader dat je helpt te bepalen waar AI verantwoord waarde kan opleveren.