AI of wordt het ai ai
Er komt bij elke technologische verschuiving een moment waarop experimenteren overgaat in blootstelling. Dat moment hebben we nu bereikt met artificiële intelligentie.
Binnen onze divisies is AI geen stille proefopstelling meer in een laboratorium. Het is ingebed in productiviteitstools, klantplatformen, analyse-engines, cybersecuritydetectiesystemen, operationele automatisering en zelfs in besluitvormingsondersteuning. Het schrijft, adviseert, voorspelt, classificeert en handelt steeds vaker autonoom. En met elke implementatie vergroot het onze operationele aanvalsvector.
Vanuit het perspectief van een CISO is dit niet enkel een verhaal van innovatie. Het is een verhaal van controle.
AI heeft een uitzonderlijk potentieel. Het kan onze weerbaarheid versterken, onze detectiecapaciteiten aanscherpen, ontwikkelcycli versnellen en operationele efficiëntie ontgrendelen. Maar het introduceert ook een nieuwe laag van systemisch risico — één die zich niet gedraagt zoals traditioneel IT-risico. AI-systemen kunnen onvoorspelbare output genereren, datakwetsbaarheden op schaal versterken, bias verankeren, sterk afhankelijk zijn van ondoorzichtige externe modellen en opereren op manieren die verantwoordelijkheden doen vervagen.
Elk AI-systeem dat binnen onze organisatie wordt ingezet, moet gekend, gedocumenteerd en geclassificeerd zijn. Als we niet weten waar AI is ingebed, kunnen we het niet beschermen. En als we het niet kunnen beschermen, kunnen we de onderneming niet verdedigen.
Aankoopdiscipline wordt een eerstelijnscontrole. Geen enkel AI-ondersteund systeem mag een divisie binnenkomen zonder een gestructureerde beoordeling van de beveiligingspositie, compliance-status, traceerbaarheidsmechanismen en leveranciersgovernance. AI-risico van derden verschilt niet van cyberrisico van derden — behalve dat de operationele impact sneller en minder voorspelbaar kan zijn.
Datagovernance wordt nog kritischer. AI-systemen verwerken data op schaal, en wat ze opnemen bepaalt wat ze produceren. Gevoelige informatie, intellectuele eigendom en gereguleerde datasets mogen niet terechtkomen in ongecontroleerde omgevingen. Divisies moeten begrijpen dat gebruiksvriendelijke tools ongemerkt complianceblootstellingen kunnen creëren.
Menselijk toezicht moet behouden blijven. Automatisering is aantrekkelijk omdat ze frictie vermindert. Maar frictie beschermt ons soms. AI-systemen die kritieke processen beïnvloeden, moeten duidelijke verantwoordelijkheden, escalatiepaden en overridemechanismen hebben. Geen enkel algoritme mag opereren buiten het bereik van verantwoordelijke autoriteit.
Ook incidentvoorbereiding moet evolueren. We moeten niet alleen traditionele cyberaanvallen anticiperen, maar ook prompt injection, modelmanipulatie, datavervuiling en AI-gedreven fraude. Dit zijn geen theoretische oefeningen meer; het zijn opkomende operationele realiteiten. Onze weerbaarheidsplanning moet dit weerspiegelen.
De samenwerking tussen CISO en COO wordt hier essentieel. Ik kan het risicokader ontwerpen, regelgevende ontwikkelingen interpreteren en monitoring en assurance waarborgen. Maar governance zonder operationele uitvoering is een lege structuur. Het zijn de divisies — onder leiding van de COO — die beleid omzetten in discipline.
Dit gaat niet over het vertragen van innovatie. Integendeel, gecontroleerde AI-adoptie versnelt duurzame innovatie. Wanneer divisies binnen een duidelijke governancestructuur opereren, wordt experimenteren veiliger. Wanneer leveranciers grondig worden beoordeeld, verloopt integratie vlotter. Wanneer verantwoordelijkheid duidelijk is vastgelegd, groeit het vertrouwen. Vertrouwen wordt een concurrentieel voordeel.
In de huidige Europese regulatoire context — met de AI Act en NIS2 die governanceverwachtingen vormgeven — draagt dit een expliciete verantwoordelijkheid op bestuursniveau. AI-risico is niet langer theoretisch, en zeker niet optioneel.
De kracht die we vandaag hebben, ligt echter in duidelijkheid.
Voor het eerst opereren we binnen een kader waarin AI-governance gestructureerd, gedefinieerd en afdwingbaar is. Dit is geen beperking, maar een kans. De Europese AI-governancearchitectuur creëert voorspelbaarheid. Ze stelt risicoclassificaties, toezichtmechanismen, complianceverwachtingen en handhavingsbevoegdheden vast. In combinatie met de NIS2-vereisten inzake cybersecuritygovernance, incidentbeheer, supplychaincontrole en bestuurlijke verantwoordelijkheid, biedt dit ons iets wat we lang nodig hadden: alignment.
AI-governance wordt een verlengstuk van cybersecuritygovernance. En cybersecuritygovernance, wanneer correct ingebed, wordt operationele veerkracht.
Daar komen de COO en de operationele divisies in beeld.
AI-risico manifesteert zich niet in beleidsdocumenten. Het materialiseert zich in aankoopbeslissingen, systeemintegraties, leverancierscontracten, automatiseringsscripts, workflowherontwerpen en klantgerichte toepassingen. Het zit in het enthousiasme van een afdeling die een generatieve AI-assistent implementeert zonder de datablootstelling volledig te begrijpen. Het zit in een afhankelijkheid in de supplychain van een generiek AI-model waarvan trainingsdata, transparantie of weerbaarheidsprofiel onduidelijk zijn. Het zit in automatiseringslogica die menselijke controle omzeilt omdat het “meestal werkt”.
Operationele snelheid is waardevol. Ongecontroleerde operationele snelheid is gevaarlijk.
Mijn boodschap aan de COO is eenvoudig: AI moet binnen elke divisie worden behandeld als kritieke infrastructuur. Niet omdat we het vrezen, maar omdat we de kracht ervan respecteren.
Zelfs voor businessunits of dochterondernemingen die formeel niet als NIS2-entiteiten zijn geclassificeerd, is de richting duidelijk. Klanten, partners, verzekeraars en toezichthouders verwachten steeds vaker aantoonbare controle over digitale en AI-risico’s. Organisaties die vandaag AI-governance institutionaliseren, zullen morgen vertrouwen genieten.
Als CISO zie ik AI niet als een onbeheersbare kracht. Ik zie het als een strategische hefboom — één die onze cybersecuritypositie kan versterken, onze operationele efficiëntie kan verhogen en onze geloofwaardigheid kan ondersteunen. Maar alleen als wij de regie nemen.
AI mag niet iets zijn dat de organisatie overkomt. Het moet iets zijn dat de organisatie bestuurt.
Want vandaag is AI verweven met cybersecurity. En cybersecurity is verweven met bedrijfscontinuïteit.
De echte vraag is niet of we AI zullen gebruiken. Dat zullen we.
Dus: houd AI scherp in het vizier. De vraag is of wij het zullen beheersen — of dat wij ongecontroleerde complexiteit ons risicoprofiel laten bepalen. Vanuit mijn positie is controle geen keuze. Het is leiderschap.
Bestuurlijke boodschap – bezint nu ge begonnen zijt…
Vanuit mijn rol als CISO is mijn boodschap aan het directiecomité helder — en tegelijk fundamenteel.
AI-risico is beheersbaar.
Onbeheerde AI is existentieel.
We bevinden ons niet langer in een fase van experimenteren zonder richting. Vandaag beschikken we over iets wat enkele jaren geleden nog ontbrak: duidelijkheid. Op Europees niveau is er een uitgewerkt governancekader. De regelgeving is gestructureerd en op elkaar afgestemd. Verantwoordelijkheden zijn expliciet gedefinieerd. En er bestaan concrete en praktische paden naar compliance.
Dat is geen beperking van ondernemerschap. Dat is een versterking ervan.
Vanaf vandaag kunnen we AI integreren binnen een voorspelbare juridische en governance-architectuur. Dat geeft ons controle. En controle is geen rem op innovatie — het is de voorwaarde voor duurzame innovatie.
Organisaties die vandaag AI-governance institutionaliseren, creëren morgen een strategisch voordeel. Zij vermijden systemische risico’s voordat die zich manifesteren. Zij beperken aansprakelijkheid doordat verantwoordelijkheden helder zijn vastgelegd. Zij versnellen innovatie omdat experimenteren plaatsvindt binnen veilige kaders. En zij versterken hun operationele veerkracht, omdat toezicht en monitoring structureel zijn ingebed.
AI mag geen spontane toevoeging zijn aan onze technologie-stack. Het moet worden beheerst, gedocumenteerd, gemonitord en continu geëvalueerd — net zoals we dat al jaren doen met cybersecurity.
Want uiteindelijk is AI geen losstaand fenomeen meer. Het is verweven met onze digitale infrastructuur, onze besluitvorming en onze bedrijfscontinuïteit. En wat verweven is met de kern van de organisatie, hoort onder bestuurlijke controle.
Hieronder vindt u een beknopte selectie van belangrijke links van het European AI Office en gerelateerde pagina’s. Deze bronnen helpen uw organisatie bij het uitvoeren van een correcte AI-risicobeoordeling, inclusief essentiële governance-, regulatoire en praktische richtlijnen.
Core AI Office & Governance Resources
🔗 1. European AI Office (main page)
Official EU policy page describing the role of the AI Office, its tasks, structure, and connection to AI risk governance.
👉 https://digital-strategy.ec.europa.eu/en/policies/ai-office
Strategic Context & Policy Framework
2. AI Act (Regulatory framework for AI)
Central legal framework defining risk categories for AI systems and compliance obligations for deployers and providers.
👉 https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
🔗 3. European Approach to Artificial Intelligence
EU policy explaining risk-based AI structure and high-level principles which are essential for risk assessment models.
👉 https://digital-strategy.ec.europa.eu/en/policies/european-approach-artificial-intelligence
🔗 4. Apply AI Strategy
EU strategy focusing on adoption, risk awareness, and uptake of AI in business — helpful for internal risk prioritisation.
👉 https://digital-strategy.ec.europa.eu/en/policies/apply-ai
🔗 5. AI Continent Action Plan
High-level EU strategic plan shaping innovation investments that also identifies risk areas and sector priorities.
👉 Accessible via the AI Office page under “AI Continent action plan”
Practical Tools & Participation
🔗 6. AI Act Service Desk (Single Information Platform)
Official EU helpdesk with tools like the AI Act Explorer and Compliance Checker — critical for carrying out accurate risk assessments and compliance queries.
👉 https://ai-act-service-desk.ec.europa.eu/en
🔗 7. AI Pact
Voluntary initiative encouraging companies to map AI systems, establish governance, and work toward best practices in accountability.
👉 https://digital-strategy.ec.europa.eu/en/policies/ai-pact
🔗 8. European Artificial Intelligence Board (AI Board)
EU body coordinating national regulators and ensuring consistent implementation — useful for compliance benchmarks and guidance.
👉 https://digital-strategy.ec.europa.eu/en/policies/ai-board
Helpful Supplementary Resource
🔗 9. Artificial Intelligence Act (text + explorer)
Direct access to the Official AI Act text (Regulation 2024/1689) — indispensable for detailed risk classification and compliance requirements.
👉 https://artificialintelligenceact.eu/the-act/
These links together help you:
- Understand the EU governance framework for trustworthy and safe AI.
- Ground your risk assessment in actual regulatory obligations and enforcement oversight.
- Access practical compliance tools (Service Desk, AI Pact) for operational risk evaluation.
- Align risk models with both policy strategy and legal risk categories.
“Artificial Intelligence without human guidance is like a cruise ship drifting across the open sea — powerful, magnificent, and full of potential — yet without a captain or crew, it is directionless, vulnerable, and one storm away from disaster. Only when humanity takes the helm does technology become a journey instead of a gamble.”
