menu

Zonder dossier geen governance

22 juli, 2026

Van data governance naar audit ready AI

Deel 1 van een drieluik over AI-governance voor IT-auditors

Auteur: H. (Hein) van den Steenhoven

1. Introductie

Kernboodschap: Zonder een compleet, actueel en herleidbaar AI-dossier is effectieve governance, audit en toezicht op AI-toepassingen niet mogelijk.

Doel van dit artikel. Na het lezen van dit artikel weet de lezer welke onderdelen een audit ready AI-dossier bevat en hoe deze samenhangen, concludeert hij of zij dat record keeping het fundament is waarop alle verdere AI-governance rust, en kan de hij of zij bij een concrete AI-toepassing beoordelen of het dossier voldoende basis biedt voor audit en assurance.

Afbakening en doelgroep. Dit artikel richt zich op IT-auditors, IT-risk professionals en andere assurance-professionals die te maken krijgen met AI-toepassingen in hun auditpraktijk. Het artikel behandelt het fundament van AI-governance: registratie, datadocumentatie, logging en transparantie. De onderwerpen proportionaliteit, fairness en operationeel toezicht komen bewust in volgende delen van dit drieluik aan bod.

Leeswijzer: dit drieluik

Dit artikel is het eerste deel van een drieluik. Elk deel behandelt één fase in de levenscyclus van AI-governance, vertaald naar de auditpraktijk.

De volgorde is bewust gekozen. Zonder goed dossier is het later onmogelijk te bewijzen dat ontwerpkeuzes zorgvuldig waren. En zonder goed dossier wordt ook toezicht in productie zwak, omdat niet duidelijk is welke versie draaide, welke data is gebruikt en welke controles hadden moeten werken.

2. Probleemstelling: waarom record keeping het fundament is

AI-governance wordt vaak uitgelegd vanuit strategie, ethiek of wetgeving. Dat is logisch, maar voor IT-auditors begint het meestal ergens anders. Niet bij de vraag wat een organisatie wil met AI, maar bij de vraag: kunnen we aantonen wat er gebeurt, wie verantwoordelijk is en of de beheersing werkt?

In de praktijk blijkt dat veel organisaties wel beleid hebben – een visie, principes en misschien een verbod op verkeerd gebruik – maar dat het spoor van bewijs ontbreekt. Het ene team zegt dat een systeem alleen ondersteunt, terwijl een ander team denkt dat het systeem al bijna zelfstandig beslist. Men weet wel dát AI wordt gebruikt, maar niet precies waar, door wie en met welke risico’s. Dossiers liggen verspreid over mailboxen, teamsites, notebooks, tickets en leveranciersmappen. De kans op tegenstrijdige informatie groeit en het kost veel tijd om basale vragen te beantwoorden.

De centrale vraag van dit artikel luidt daarom: wat is een AI-dossier dat audit ready is, en welke onderdelen moet het bevatten?

Record keeping levert het spoor dat voor audit onmisbaar is. Het is niet hetzelfde als “meer administratie”. Het is het vastleggen van feiten, keuzes, versies, controles en uitkomsten op zo’n manier dat een ander het later kan volgen. Zonder dat spoor blijft governance hangen in losse verhalen.

Voor IT-auditors is dat een bekend probleem. Zodra dossiers verspreid liggen, neemt de auditlast toe en groeit de kans op tegenstrijdige informatie. Welk model draaide? Welke data hoorde daarbij? Was de uitleg aan klanten al aangepast? Was er menselijk toezicht? En was dat ook zichtbaar in de logs?

Daarom is record keeping de kern van AI-governance. Niet omdat documentatie op zichzelf het doel is, maar omdat goed vastgelegde informatie de voorwaarde is voor toetsing, sturing en herstel.

[SPAA25, STEE25/26]

3. Het AI-dossier: structuur en componenten

Een AI-dossier is het complete pakket aan informatie en bewijs over één AI-toepassing. Denk aan een chatbot, een triagemodel, een kredietmodel of een systeem dat automatisch teksten samenvat. In dat dossier staat niet alleen wat het systeem doet, maar ook waarom het wordt gebruikt, welke risico’s erbij horen, wie verantwoordelijk is en welk bewijs laat zien dat de organisatie in control is.

Met audit ready bedoelen we een dossier dat een auditor zonder extra aanvullende uitleg in staat stelt vast te stellen hoe het AI-systeem werkt, welke beheersmaatregelen gelden en of daarvan aantoonbaar bewijs beschikbaar is. Een audit ready dossier is dus geen stapel losse documenten, maar een logisch opgebouwd en actueel dossier waarin bewijs vindbaar, begrijpelijk en herleidbaar is.

Zo’n dossier rust op twee vaste onderdelen:

3.1 Het AI-register in detail

Het AI-register is meer dan een lijstje. Het is een managementinstrument dat laat zien waar AI wordt gebruikt, waarvoor het systeem dient, welke rol de organisatie heeft, welke risicoklasse geldt en welke bewijsstukken erbij horen. In de praktijk bevat een goed register onder meer de volgende velden:

3.2 Voorbeeld: registerregel voor een verzekeraar

Een concreet voorbeeld maakt het register tastbaar. Stel: een verzekeraar zet een AI-systeem in dat binnenkomende schademeldingen helpt ordenen. Het model geeft aan welke meldingen waarschijnlijk eenvoudig zijn, welke extra aandacht nodig hebben en welke dossiers snel door een medewerker moeten worden bekeken. De uiteindelijke beslissing over afwijzing of uitbetaling ligt niet bij het model, maar bij de medewerker. Juist daarom is het belangrijk dat ook menselijke tussenkomst, overrides en logging goed zijn vastgelegd.

3.3 De review-evidence-set

Naast het AI-register is er een tweede vast onderdeel: de review-evidence-set. Dit is de verzameling documenten en gegevens waarmee je laat zien dat de beheersing niet alleen bedacht is, maar ook werkt. Denk aan logextracten, screenshots van AI-meldingen, uitkomsten van controles, incidentrapporten, openstaande verbeteracties en besluiten uit reviews.

Het verschil is belangrijk: het register zegt wat er zou moeten zijn, de review-evidence-set laat zien of dat ook echt zo is. Voor een auditor maakt dat het mogelijk om niet alleen naar opzet en bestaan te kijken, maar ook naar werking.

3.4 Kernbegrippen voor IT-auditors

De onderstaande termen keren in het hele drieluik terug. Gedeelde taal is een voorwaarde voor effectieve audit. Zodra teams dezelfde woorden verschillend gebruiken, wordt audit moeilijker. Dan denkt de business bij “uitleg” aan een klanttekst, terwijl IT aan modeluitleg denkt en compliance aan wettelijke informatie. Goede AI-governance begint daarom ook met gedeelde taal.

3.5 De crosswalk: van wettelijke eis naar proces naar bewijs

Een goed AI-dossier bestaat niet alleen uit register en reviewset. Het bevat ook een crosswalk. Dat is een tabel die de brug slaat tussen wet, proces, bewijs en eigenaar. Dat klinkt technisch, maar is juist heel praktisch. Zonder crosswalk vertaalt elk team regels op zijn eigen manier. Dan ontstaat ruis, dubbel werk en onduidelijkheid. De crosswalk verbindt de wettelijke eis (wat) met het proces (hoe), het bewijs (waarmee) en de verantwoordelijke (wie).

De crosswalk maakt van regels geen dikke map, maar een navigatiekaart. Je kunt van eis naar proces, van proces naar bewijs en van bewijs naar eigenaar doorklikken. Daardoor wordt compliance geen abstract verhaal, maar een navolgbaar spoor.

3.6 Data governance – de datasheet

De volgende paragrafen verdiepen de vier inhoudelijke pijlers van het AI-dossier: data, model, logging en transparantie. Deze pijlers vullen het register en de review-evidence-set inhoudelijk. We beginnen bij de data, want een model is zo goed als de gegevens die erin gaan. Een model is zo goed als de data die erin gaat. In governance-termen betekent dat: de herkomst, kwaliteit en representativiteit van data moeten aantoonbaar zijn.

De datasheet beschrijft welke dataset is gebruikt, waar die vandaan komt, voor welk doel die is gekozen, hoe de data is gelabeld, hoe representativiteit is beoordeeld en hoe privacy, retentie en onderhoud zijn geregeld. Dat helpt niet alleen data scientists, maar ook auditors. Zij kunnen met een datasheet sneller zien of een organisatie haar data echt kent. Komt de data uit interne systemen? Zijn ze afkomstig van een leverancier? Uit open bronnen? Mag die data voor dit doel worden gebruikt? Zijn relevante groepen voldoende en evenwichtig vertegenwoordigd?

Datakwaliteit is bovendien geen momentopname. Een dataset die vorig jaar nog passend was, kan vandaag verouderd zijn. Voor audit betekent dit dat je niet alleen wilt weten of er ooit een check is gedaan, maar ook of er een ritme is voor herbeoordeling.

Auditvraag: Kent de organisatie haar data echt? Is de herkomst helder, mag de data voor dit doel worden gebruikt, zijn relevante groepen voldoende vertegenwoordigd en is er een ritme voor herbeoordeling?

3.7 Model governance – de model card

Naast de grondstofkaart van de data is er de machinekaart van het model: de model card. Die vergelijking helpt, omdat beide documenten iets anders laten zien. De datasheet laat zien waarmee het systeem is gevoed. De model card laat zien hoe het systeem die data verwerkt en welke uitkomsten je daarvan mag verwachten.

Een goede model card bevat naam en versie van het model, type algoritme, gebruikte trainings- en validatiedata, prestatiematen, fairness-analyse, uitlegmethode, versiebeheer, onderhoudsmomenten en een koppeling met incidenten en verbeteracties.

Voor audit is vooral de traceerbaarheid belangrijk. Veel bevindingen in AI-omgevingen lijken op elkaar: de modelversie is niet herleidbaar, een update is gedaan maar nergens staat wat veranderde, of de relatie tussen trainingsdata en productieversie is niet goed vastgelegd.

Auditvraag: Is de modelversie herleidbaar? Is vastgelegd wat er bij een update veranderde? Is de relatie tussen trainingsdata en productieversie traceerbaar?

3.8 Logging en retentie

Als er later een vraag komt over een AI-besluit, dan begint bijna alles bij logging. Welke input ging erin? Welke output kwam eruit? Welke modelversie draaide op dat moment? Greep een medewerker in? Was de AI-melding zichtbaar? Logging is daarom het geheugen van de organisatie. Zonder log kun je veel zaken niet reconstrueren.

Goede logging gaat verder dan technische foutmeldingen. In een AI-context wil je minimaal kunnen volgen: inputdata, output, modelversie, beslismomenten, overrides, fouten en incidenten, en toegangsgegevens.

Daar hoort retentie bij. Bewijs is alleen bruikbaar als het lang genoeg beschikbaar blijft. Een organisatie moet niet alleen weten wat zij logt, maar ook hoe lang zij dat bewaart, wie toegang heeft en wanneer gegevens veilig worden verwijderd of geanonimiseerd.

Auditvraag: Kan de organisatie een specifiek AI-besluit reconstrueren? Is het retentiebeleid vastgelegd en nageleefd?

3.9 Transparantie – de kanaal-matrix

Veel organisaties denken bij transparantie nog te snel aan één tekst op de website. Voor AI is dat niet genoeg. Gebruikers komen AI tegen in meerdere kanalen: een chatvenster, een app, een brief, een formulier, een dashboard of een automatisch gegenereerde samenvatting.

De kanaal-matrix legt per kanaal vast waar AI zichtbaar moet zijn, welke tekst wordt gebruikt, of een pictogram, voetnoot, metadata of watermerk nodig is, waar het bewijs ligt en wie eigenaar is. Daarmee wordt transparantie herhaalbaar en controleerbaar.

Voor audit is dit interessant, omdat dit een typische control is die op papier goed kan lijken, maar in de praktijk toch faalt. Op de website staat de melding wel, in de app niet. In het formulier is de tekst te technisch, in de brief ontbreekt de voetnoot. Een goede kanaal-matrix voorkomt dat. Per kanaal is er één standaardtekst in B1-niveau, zichtbaar vóór de interactie, met bewijs in de vorm van screenshots, templates of configuratiebestanden.

Auditvraag: Is de AI-melding in alle kanalen consistent, begrijpelijk (B1-niveau) en zichtbaar vóór de interactie? Is daar bewijs van?

[AFMD24, EDEL26, STEE25/26]

4. Governance als continu proces

Een dossier is pas sterk als het leeft. Dat is misschien wel het belangrijkste punt van dit artikel. AI-systemen staan niet stil. Data verandert. Modellen worden aangepast. Nieuwe kanalen komen erbij. Leveranciers doen updates. Dan helpt het niet om één keer per jaar een dossier op te schonen. Beheersing vraagt om vaste momenten waarop bewijs wordt bekeken, besproken en bijgewerkt.

Voorbereiding: wat moet minimaal op orde zijn voordat een AI-toepassing mag starten?
Oplevering: wanneer is iets echt gereed voor productie?
Review: wordt bewijs periodiek getoond, besproken en bijgewerkt?
Verbetering: zijn verbetermaatregelen na incidenten zichtbaar en opvolgbaar?

De kernvraag voor audit is niet alleen: bestaat het document? Maar ook: wordt het gebruikt, bijgewerkt en gekoppeld aan verandering?

[SPAA25, STEE25/26]

5. Conclusie

Dit artikel beantwoordt de vraag wat een audit ready AI-dossier is en welke onderdelen het moet bevatten. Het antwoord bestaat uit twee vaste componenten – het AI-register en de review-evidence-set – ondersteund door een crosswalk die wet, proces, bewijs en eigenaar verbindt. Inhoudelijk rust het dossier op vier pijlers: data governance (de datasheet), model governance (de model card), logging en retentie, en transparantie (de kanaal-matrix).

Het dossier is pas effectief als het niet alleen bestaat, maar ook leeft: als het wordt gebruikt, bijgewerkt en gekoppeld aan verandering. De beoordeling langs opzet, bestaan en werking helpt de IT-auditor om dat onderscheid scherp te maken.

Zonder dat fundament is geen goed gesprek mogelijk over fairness, proportionaliteit of menselijk toezicht. En zonder dat fundament is ook toezicht na livegang zwak, omdat monitoring, incidenten en verbetermaatregelen dan niet goed te volgen zijn.

Wat je niet kunt terugvinden, kun je niet besturen. En wat je niet kunt aantonen, kun je niet auditen.

[AFMD24, STEE25/26]

6. Implicaties voor IT-auditors

Wat betekent dit concreet voor de auditpraktijk? Voor de IT-auditor is het nuttig om het AI-dossier te beoordelen langs de bekende driedeling opzet, bestaan en werking.

Juist op het niveau van werking vallen organisaties vaak door de mand. Het instrument bestaat wel, maar leeft niet. De template is ingevuld, maar niet bijgewerkt. De logging is bedacht, maar niet volledig geactiveerd. Het register bestaat, maar mist pilots of kleine experimenten.

Rode vlaggen die erop wijzen dat een organisatie nog niet audit ready is:

Een AI-use-case staat niet in het register.
De herkomst van de data is onduidelijk.
De modelversie is niet herleidbaar.
De AI-melding verschilt per kanaal of ontbreekt.
De uitleg is te technisch voor de eindgebruiker.
Er is geen duidelijk retentiebeleid.
Bewijs ligt verspreid over mappen en teams.
Een open AI-tool is gebruikt zonder aantoonbare borging.

Dit zijn geen kleine administratieve fouten. Het zijn signalen dat de organisatie nog niet beschikt over het fundament dat nodig is voor verantwoorde inzet van AI.

In deel 2 van dit drieluik verschuift de focus naar ontwerp en besluitvorming: proportionaliteit, fairness en menselijk toezicht. Deel 3 behandelt de operatie: logging, monitoring, incidenten en bijsturing als onderdeel van blijvende beheersing.

Literatuur

[AFMD24] Autoriteit Financiële Markten & De Nederlandsche Bank. De impact van AI op de financiële sector en het toezicht. 2024.
[EDEL26] Edelman. 2026 Edelman Trust Barometer global report. Edelman, 2026.
[SPAA25] Spaans, E. Handboek Assurance. BoekenGilde, 2025.
[STEE25/26] Van den Steenhoven, H. Diverse publicaties. BoekenGilde, 2025 / 2026.

Disclaimer

Bij het schrijven van dit artikel is gebruikgemaakt van een AI-tool ter ondersteuning bij taal- en structuurverbetering. De inhoud is door de auteur handmatig gecontroleerd en definitief opgesteld. De eindverantwoordelijkheid voor de inhoud, juistheid en actualiteit van het artikel ligt bij de auteur.