Hoe AI-regelgeving de governance van bestuursraden verandert

Stel u eens voor dat er een brief van een toezichthouder binnenkomt. De brief is beleefd en vrij kort en vraagt hoe de bestuursraad toezicht houdt op het gebruik van AI door de onderneming bij de afhandeling van claims. Niemand raakt in paniek. De onderneming heeft een AI-beleid, IT heeft de claimtool via het gebruikelijke proces goedgekeurd, het risicoteam heeft de tool in het register opgenomen en de auditcommissie heeft deze vorig jaar twee keer besproken. Het probleem is dat dit alles op verschillende plaatsen staat, voor verschillende lezers is geschreven en dat de bedrijfssecretaris een flink deel van de volgende week zal besteden aan het samenvoegen ervan tot iets waar de bestuursraad achter kan staan. 

Kort gezegd is precies dat samenvoegwerk waar bestuursraden volgens de AI-regelgeving beter in moeten worden. 

Het onderwerp duikt ook op in jaarverslagen. Toen Arize AI de publicaties van Fortune 500-ondernemingen onderzocht, bleken volgens Fortune 281 ondernemingen AI als mogelijk risicofactor te noemen, tegenover 49 een jaar eerder. De redenen lopen uiteen. Mediabedrijven vrezen dat concurrenten AI gebruiken om een voorsprong te nemen. Andere bedrijven maken melding van onduidelijke regels met betrekking tot intellectueel eigendom, modellen die niet functioneren zoals men zou verwachten, datalekken of schade aan de reputatie door een toepassing die niet goed ontvangen wordt door het publiek. Een paar jaar geleden zou het merendeel hiervan bij de juridische afdeling zijn gebleven. Nu komt het op de bestuurstafel terecht. 

Wie de regels nauwkeurig leest, ziet dat ze iets beschrijven wat bestuursraden al kunnen: vaststellen wie verantwoordelijk is, zorgen dat iemand de kwestie zorgvuldig heeft beoordeeld en een vastlegging bijhouden die later nog steeds begrijpelijk is. Wie dit als een administratieve afvinkoefening behandelt, mist waar een toezichthouder of uiteindelijk een rechter naar zoekt. 

In dit artikel:

• Hoe AI-regulering de governance van raden van bestuur verandert
• Wat verantwoordingsplicht, menselijk toezicht en transparantie betekenen voor raden van bestuur
• Hoe u AI-governance verankert in agenda’s, voorbereiding, documentatie en besluitvorming

Het veranderende regelgevingslandschap rond AI 

U hoeft geen specialist in toezichtwetgeving te zijn om te zien dat de grote regelgevingsstelsels dezelfde kant op bewegen, ook al volgen ze heel verschillende routes. Zoals Mark Williams, Chief Revenue Officer bij Datasite Group, opmerkte in de Boardroom Confidential podcast: “Die AI-privacy- en databeleidsregels zullen gedwongen worden om vermogens te erkennen die vandaag nog onvoorstelbaar zijn.”

Europa loopt het verst voorop. De Europese AI-verordening trad in augustus 2024 in werking en wordt sindsdien stapsgewijs van toepassing. De verplichtingen rond AI-geletterdheid gingen in februari 2025 gelden, gevolgd door de regels voor AI-modellen voor algemene doeleinden in augustus van dat jaar. De verantwoordelijkheden die waarschijnlijk het meest van belang zijn voor bestuurders, namelijk die voor systemen met een hoog risico, beginnen vanaf augustus 2026. Een voorgesteld uitstel kan sommige daarvan echter naar 2027 verschuiven. Als u zo’n systeem aanbiedt of inzet, hebt u een risicobeheerproces, degelijke documentatie en ingebouwd menselijk toezicht nodig. Bij ernstige overtredingen kan de boete oplopen tot 35 miljoen euro of 7% van de wereldwijde omzet, afhankelijk van welk bedrag hoger is. Dat is het niveau van mededingingsrechtelijke boetes, en bestuursraden letten daar doorgaans goed op. 

Het Verenigd Koninkrijk heeft, althans op papier, de tegenovergestelde weg gekozen. Er is geen AI-wet. In plaats daarvan passen de ICO, de FCA, de CMA en andere toezichthouders binnen hun eigen werkterrein vijf beginselen uit overheidsrichtlijnen toe: veiligheid, transparantie, eerlijkheid, verantwoordingsplicht en betwistbaarheid. Dat ziet er heel anders uit dan de aanpak in Brussel. Onder de oppervlakte is de verwachting echter vrijwel hetzelfde: in duidelijke taal kunnen uitleggen hoe u AI gebruikt. 

Voor de meeste bestuursraden is die gedeelde richting belangrijker dan de details. Voor de details, welke systemen als hoog risico gelden en waar de grenzen van de regelgeving precies liggen, komen een sterke General Counsel en bedrijfssecretaris volledig tot hun recht. Bestuursraden vertrouwen hiervoor terecht op hen. De eigen taak van de bestuursraad is eenvoudiger te omschrijven, maar moeilijker uit te voeren. Het moet weten waar AI wordt gebruikt, wie het risico beheert en of iemand in staat is problemen vroegtijdig te signaleren. 

Wat regelgeving voor Bestuursraden betekent 

Toezichthouders komen steeds terug op verantwoordingsplicht, toezicht en transparantie. Met een voorbeeld wordt duidelijker wat ze bedoelen, dus laten we bij de claimtool blijven. 

Wie is verantwoordelijk als de tool legitieme claims begint af te wijzen? ‘De CIO’ volstaat niet, en ‘de business’ evenmin. Een bestuursraad moet de persoon kunnen noemen die in dit proces verantwoordelijk is voor die uitkomst. In een bijdrage voor het Harvard Law School Forum on Corporate Governance vatten Tara Giunta, partner procesrecht bij Paul Hastings, en Lex Suvanto van Edelman Smithfield de positie van de bestuursraad treffend samen als ‘Noses In, Fingers Out’: dicht genoeg bij de materie om te begrijpen waar het risico ligt, zonder de bedrijfsvoering over te nemen. Als er niemand bij naam kan worden genoemd, bereikt het beleid waarschijnlijk minder dan iedereen hoopt. 

Daarna komt het toezicht. Ergens in het claimproces moet iemand de bevoegdheid, de kennis en de tijd hebben om de aanbeveling van het model te beoordelen en deze terzijde te schuiven wanneer zij onjuist is. De meeste grote ondernemingen hebben precies zo iemand en nemen deze rol serieus. Wat verandert, is dat toezichthouders dit willen kunnen zien. De Europese AI-verordening verwacht dat mensen die toezicht houden op een systeem met een hoog risico begrijpen wat het wel en niet kan, en de output ervan kunnen negeren. De vraag voor de bestuursraad is dus of dat toezicht is gedefinieerd, vastgelegd en eenvoudig aantoonbaar is, in plaats van alleen te worden verondersteld. 

Transparantie begint dichter bij huis dan veel mensen verwachten. De claimtool heeft een degelijk goedkeuringsproces doorlopen. Dat geldt niet voor het bestuurslid dat om elf uur ’s avonds een bestuursdocument in een openbare chatbot plakt om snel een samenvatting te krijgen. Dit soort individueel, niet-officieel gebruik, meestal schaduw-AI genoemd, komt vaker voor dan de meeste leiders denken. McKinsey stelde vast dat leidinggevenden schatten dat 4% van de medewerkers generatieve AI gebruikte voor minstens 30% van hun dagelijkse werk, terwijl het werkelijke percentage 13% was. Afhankelijk van de voorwaarden kan een openbare tool ingevoerde informatie bewaren of voor training gebruiken. Skadden heeft bestuursleden er bovendien op gewezen dat AI-chats in een juridische procedure kunnen worden opgevraagd. Voordat een bestuursraad open kan zijn over zijn AI-gebruik, moet duidelijk zijn welke tools voor bestuursmateriaal zijn goedgekeurd. Het helpt enorm als de goedgekeurde optie ook de gemakkelijkste is. 

Regelgeving vertalen naar de bestuurspraktijk 

Hoe ziet dit er dan uit van de ene vergadering tot de volgende? De eenvoudigste ingang zijn de eigen routines van de bestuursraad: de agenda, de voorbereidende stukken, de vastlegging achteraf en ten slotte de plaats van AI in de beslissing zelf. 

Agenda’s 

Bij veel bestuursraden staat AI-governance nog maar af en toe op de agenda. Volgens McKinsey zegt een derde van de bestuursleden dat AI helemaal niet op hun bestuursagenda voorkomt. Toen Protiviti en BoardProspects 772 bestuursleden en leidinggevenden ondervroegen, gaf slechts 26% aan AI tijdens elke vergadering te bespreken. Waar het onderwerp zich wel aandient, wordt het vaak verborgen in een regelmatige compliance-update. Dat past bij de auditkalender, maar houdt nauwelijks gelijke tred met regels die voortdurend veranderen of met een onderneming die steeds nieuwe toepassingen voor AI vindt. 

Het helpt om het onderwerp vaker terug te laten komen en om het als vraag te formuleren. ‘Welke regelgevingswijziging rond AI heeft ons risicoprofiel dit kwartaal beïnvloed, en dekt onze governance deze nog steeds?’ vraagt bestuursleden om tot een oordeel te komen. ‘Update over AI-naleving’ vraagt hen vooral om te luisteren. Een vraag geeft mensen bovendien al vóór de vergadering iets om over na te denken. 

Dit betekent niet dat AI al het andere moet verdringen. Het onderwerp dient vaak voldoende besproken te worden om een nieuwe deadline of aangepaste verplichting te signaleren in het kwartaal waarin deze plaatsvindt. 

Voorbereiding 

Een bestuurslid kan weinig met een regelgevingsvraag die voor het eerst tijdens de vergadering wordt voorgelegd. Degene die intern verantwoordelijk is voor AI-governance moet updates vroegtijdig en via een beveiligd kanaal verspreiden, ongeacht of een deadline is verschoven of een systeem opnieuw is geclassificeerd. 

In deze fase valt er overigens veel te zeggen voor het gebruik van AI. Een regelgevingsnotitie van veertig pagina’s terugbrengen tot iets wat een bestuurslid in de trein kan lezen, is precies het soort taak waar AI goed in is. Het is ook een van de praktischere manieren waarop AI bestuursraden kan helpen informatieoverbelasting te voorkomen. De samenvatting is echter slechts een vertrekpunt. Bestuursleden willen de vergadering ingaan met een beeld van welke onderdelen scherpere vragen verdienen. Daarvoor is naast leestijd ook tijd om na te denken nodig. 

Documentatie 

Toezichthouders gaan er steeds vaker van uit dat niet alleen de conclusies van een bestuursraad, maar ook de redenering erachter later kan worden gereconstrueerd. Stel dat iemand achttien maanden later vraagt waarom een bestuursraad een door AI ondersteunde beslissing heeft goedgekeurd. ‘We hebben het besproken en waren het eens’ zal waarschijnlijk niet volstaan. Men wil weten wat is overwogen, wat ter discussie is gesteld en hoe een bestuursraad tot zijn antwoord is gekomen. 

Hetzelfde geldt wanneer de bestuursraad zijn AI-beleid wijzigt, een nieuwe toepassing goedkeurt of de verantwoordelijkheid voor een systeem van de ene leidinggevende naar de andere overdraagt. Die wijzigingen en de overwegingen erachter horen in de formele vastlegging. De meeste bestuurders hanteren hun notulen met grote zorg, waardoor dit zelden gaat om discipline. De lastigere factor is dat AI-governance verspreid is over verschillende commissies, beleidsstukken en systemen. Alles achteraf bijeenbrengen kost veel tijd, tenzij de infrastructuur dit op het moment zelf gemakkelijk maakt. 

Besluitvorming 

Wanneer een besluit klaar is voor stemming, is vrij eenvoudig te verwoorden wat toezichthouders verwachten: iemand heeft de risico’s en aannames zorgvuldig beoordeeld en iedereen weet wie dat was. 

De meeste bestuursraden doen dit zonder dat iemand erom vraagt. Toch is het de moeite waard om het vóór de stemming hardop te benoemen. Een volledige agenda en een overtuigende suggestie kunnen de verleiding creëren om snel verder te gaan, terwijl een duidelijk weergegeven controle achteraf veel eenvoudiger te verifiëren is. Door vooraf vast te leggen welke vragen bestuursraden aan AI moeten stellen vóór een strategische beslissing, krijgt die controle echte inhoud. 

Hoe Sherpany verantwoorde AI-governance ondersteunt 

Veel van wat hierboven is beschreven, hangt af van de infrastructuur van bestuurswerk: hoe informatie bestuursleden bereikt, hoe beslissingen worden vastgelegd en of die vastlegging standhoudt wanneer iemand haar later onderzoekt. 

De AI-vergadernotulen van Sherpany leggen zowel de discussie achter een beslissing als de beslissing zelf vast, inclusief de aannames die naar voren kwamen en de punten die ter discussie werden gesteld. Dat is precies het soort redenering dat toezichthouders steeds vaker verwachten terug te kunnen vinden. Documentbeheer bewaart AI-beleid, updates over regelgeving en eerdere governancebesluiten op één beveiligde plek die voor bestuurswerk is ontworpen. Wanneer een bestuurslid of auditor moet nagaan wat een bestuursraad op welk moment wist, hoeft niemand op zijn geheugen te vertrouwen. 

Geen van beide functies neemt beslissingen voor de bestuursraad en geen van beide vervangt het menselijk toezicht dat de regels vereisen. Ze maken wel de routinematige onderdelen eenvoudiger: stukken bereiken bestuursleden veilig en op tijd, en de vastlegging kan een of twee jaar later antwoord geven op de vraag van een toezichthouder of nieuw bestuurslid. Dezelfde gewoonten liggen ten grondslag aan het opbouwen van een AI-klaar bestuursraad.

Toezichthouders beschrijven eenvoudigweg goede governance 

Als de juridische details worden weggelaten, vraagt AI-regelgeving bestuursraden om zaken die zij al belangrijk vinden: toezicht door mensen die de kwestie begrijpen, verantwoordelijkheid die aan een naam kan worden gekoppeld en beslissingen die achteraf kunnen worden uitgelegd. Nieuw is hoe zichtbaar toezichthouders dit nu willen zien en hoe specifiek ze deze verwachtingen op AI toepassen. 

Een bestuursraad dat dit inbouwt in zijn agenda’s, voorbereiding, notulen en beslissingen, krijgt meer dan een antwoord op compliancevragen. Het krijgt een werkwijze die standhoudt, ongeacht of de brief van de toezichthouder ooit komt. Wie is verantwoordelijk, heeft iemand zorgvuldig gekeken en zou de redenering ook op papier overtuigen? Als de bestuursraad die vragen zonder haastig zoekwerk kan beantwoorden, volgt de naleving meestal vanzelf. 

Wilt u zien hoe Sherpany verantwoorde AI-governance ondersteunt bij agenda’s, voorbereiding, documentatie en besluitvorming? Boek dan een gratis demo en ontdek hoe Sherpany kan helpen.