Veel organisaties zien kunstmatige intelligentie nog vooral als een technologische innovatie. Er worden enthousiast AI-tools aangeschaft, pilots gestart en trainingen georganiseerd, in de verwachting dat AI de organisatie vanzelf efficiënter maakt. De resultaten vallen vaak tegen. En dat is niet vreemd, want volgens Cybersecurity- en AI-specialist en docent van de cursussen ‘Introductie in AI voor publieke professionals’ en ‘AI-geletterdheid: prompten en privacy‘ slaan organisaties daarmee een belangrijke stap over. Dat vermindert de kansen om daadwerkelijk efficiënter te worden, maar brengt ook risico’s met zich mee. Hoe kan het beter? In gesprek met PONT | Governance geeft Van der Laan zijn expertvisie én nuttige tips.
Wil je binnen je organisatie voortvarend met AI aan de slag? Stel dan eerst duidelijke kaders vast voor het gebruik van AI, waarschuwt Barry van der Laan. In de praktijk gebeurt volgens hem vaak het tegenovergestelde: er wordt al volop geëxperimenteerd voordat is nagedacht over welke toepassingen wenselijk zijn, welke risico’s acceptabel zijn en wie verantwoordelijk is. Daardoor ontstaan verschillende losse initiatieven die nauwelijks op elkaar aansluiten, terwijl bestuurders juist vooraf duidelijke keuzes zouden moeten maken over de inzet van AI.
Hoewel veel aandacht uitgaat naar de mogelijkheden van generatieve AI, ziet Van der Laan een ander probleem sneller groeien: het zogenoemde shadow AI, waarbij medewerkers buiten het zicht van de organisatie eigen AI-tools gebruiken voor hun werk.”Het shadow-gebruik van AI is een megaprobleem in Nederland. We onderschatten dat.”
Hij ziet het regelmatig gebeuren, juist bij gemeenten. Een medewerker van de gemeente wil bijvoorbeeld een burger snel helpen door een ingewikkelde gemeentelijke brief over een persoonsgebonden budget naar het Turks te vertalen. De medewerker kopieert de brief inclusief persoonsgegevens in een privé-account van ChatGPT. De bedoeling is goed, maar privacygevoelige data liggen direct op straat.
Volgens Van der Laan beperkt het probleem zich niet tot privégebruik. Ook organisaties die denken het goed geregeld te hebben, maken soms risicovolle keuzes. Zo ziet hij gemeenten die één betaald ChatGPT-account delen met een hele afdeling. Als zich vervolgens een datalek voordoet, is niet eens meer te achterhalen wie welke gegevens heeft ingevoerd.
In sommige situaties is het risico volgens hem zo groot dat direct ingrijpen noodzakelijk is.
“Soms moet je gewoon zeggen: nu de stekker eruit, niet over vijf minuten.”
Een algeheel verbod op AI instellen heeft volgens Van der Laan evenmin zin. Als medewerkers AI niet via de officiële systemen mogen gebruiken, pakken ze alsnog hun eigen telefoon erbij om ChatGPT te raadplegen. “Een verbod zorgt er niet voor dat medewerkers stoppen met AI, maar dat zij het buiten de officiële systemen blijven gebruiken.” Juist daarom moeten organisaties zorgen voor duidelijke afspraken en veilige alternatieven. Niet door AI te verbieden, maar door medewerkers te laten zien hoe zij AI verantwoord kunnen gebruiken.
De verplichting om medewerkers AI-geletterd te maken geldt al sinds 2 februari 2025 op grond van de AI Act. Volgens Van der Laan wordt die verplichting nog te vaak ingevuld met oppervlakkige AI-trainingen. Medewerkers leren hoe zij een tekst laten schrijven of een recept genereren, waarna al snel de conclusie wordt getrokken dat zij AI-geletterd zijn. Volgens hem blijven daarmee juist de fundamentele vragen liggen. Wanneer mag je persoonsgegevens invoeren? Wie is verantwoordelijk als een AI-toepassing fouten maakt? Wanneer moet een mens ingrijpen? En hoe organiseer je dat binnen een organisatie?
Goed AI-beleid begint volgens Van der Laan met het beantwoorden van een aantal praktische vragen. Welke AI-toepassingen zijn toegestaan? Wie houdt toezicht op het gebruik? Hoe worden incidenten gemeld? En wat gebeurt er als iemand de afspraken niet naleeft? Pas als die vragen zijn beantwoord en de spelregels duidelijk zijn, heeft AI-geletterdheid volgens hem echt betekenis.
Volgens Van der Laan hoeven bestuurders geen AI-experts te worden. Wel moeten zij bepalen waarvoor AI wordt ingezet, welke risico’s acceptabel zijn en wie waarvoor verantwoordelijk is. Daarvoor moeten bestuurders, IT-specialisten, juristen, complianceprofessionals en privacydeskundigen volgens hem nauw samenwerken, ieder vanuit hun eigen expertise en verantwoordelijkheid.
Daarnaast moeten organisaties volgens hem vooraf nadenken over hoe zij omgaan met incidenten. Fouten zullen altijd blijven voorkomen. Belangrijker dan ieder risico proberen uit te sluiten, is dat vooraf duidelijk is wie in actie komt, welke stappen worden genomen en hoe de schade wordt beperkt wanneer AI onveilig wordt gebruikt of persoonsgegevens onbedoeld worden gedeeld.
Volgens Van der Laan speelt dezelfde discussie ook op Europees niveau. Europa probeert volgens hem een eigen koers te varen in de ontwikkeling en regulering van AI. Enerzijds wil de Europese Unie burgers en hun grondrechten beschermen, anderzijds wil zij voorkomen dat Europa technologisch te ver achterop raakt. “We willen geen China worden, we willen geen Amerika worden, maar we willen ook niet een te grote achterstand oplopen.”
Volgens Van der Laan draait de discussie over AI uiteindelijk niet alleen om technologie, maar ook om de vraag welke waarden Europa wil beschermen en hoe het tegelijkertijd concurrerend kan blijven.
Tegelijkertijd ziet Van der Laan ook bemoedigende ontwikkelingen, vooral bij gemeenten. Er wordt volop geëxperimenteerd en steeds meer organisaties denken na over de manier waarop AI verantwoord kan worden ingezet. Veel initiatieven blijven volgens hem echter nog beperkt tot afzonderlijke pilots binnen één afdeling of project, waardoor kennis en ervaringen versnipperd raken. De volgende stap is daarom om die initiatieven met elkaar te verbinden, zodat organisaties niet telkens opnieuw dezelfde lessen hoeven te leren.
Uiteindelijk komt Van der Laan steeds terug op dezelfde boodschap: organisaties hoeven volgens hem niet te wachten op nóg een nieuwe AI-tool. De eerste stap is om duidelijke spelregels vast te stellen. Want pas als die spelregels er zijn, kun je mensen erop aanspreken.
Wil je voldoen aan de AI-geletterdheidseisen uit de AI Act? Volg dan de cursus ‘Introductie in AI voor publieke professionals’.
Wil je AI-tools veilig en AVG-bewust inzetten? Volg dan de cursus ‘AI-geletterdheid: prompten en privacy’.
