Van risico naar beheersing: een stappenplan voor je kantoor

1. Het uitgangspunt: je hebt het raamwerk al

De meeste stukken over AI-governance beginnen met een nieuw model, een nieuw beleidsdocument en een nieuwe rol. Dat is zelden nodig en het werkt zelden. Een accountants- of boekhoudkantoor beheerst al tientallen jaren precies de risico's die AI oproept: iemand doet iets wat hij niet mag, iets gaat de deur uit dat niet gecontroleerd is, of een bedrag komt op de verkeerde plek terecht. Daar is functiescheiding voor, vier ogen, prokuratiegrenzen en dossiervorming.

Wat er wél nieuw is: de AI is niet-deterministisch (dezelfde vraag kan een ander antwoord geven), hij kan door een derde worden aangestuurd zonder dat iemand het merkt (zie prompt injection), en hij werkt zo snel dat menselijke controle kwantitatief onhaalbaar wordt als je die niet bewust ontwerpt. Die drie eigenschappen bepalen de maatregelen hieronder.

2. Menselijke controle die echt controle is

Er zijn drie regimes, en de meeste kantoren denken dat ze het eerste hebben terwijl ze het tweede gebruiken.

• Mens in de lus. Zonder menselijke goedkeuring gebeurt de actie niet. De AI wacht.
• Mens op de lus. De AI handelt en de mens kan ingrijpen of terugdraaien. Toezicht tijdens of achteraf.
• Mens buiten de lus. Volledig zelfstandig, met periodieke steekproeven.

Waar de grens ligt

Het beslissingscriterium is niet "risico" — dat is te vaag — maar de combinatie van omkeerbaarheid, detecteerbaarheid en volume.

De paradox — en hoe je hem oplost

Menselijke goedkeuring is de sterkste maatregel én de zwakste, want hij hangt volledig af van menselijke aandacht. En die is aantoonbaar onbetrouwbaar (zie het METR-experiment in AI-risico's) én aanvalbaar: OWASP heeft een aparte dreiging voor "de mens in de lus overspoelen", en die treedt óók op zonder aanvaller. Volume alleen is genoeg.

3. Drempelbedragen: een concreet voorstel

Onderstaande tabel is een startpunt, niet een norm. Zet de bedragen op je eigen risicobereidheid. Wat wél overneembaar is, is de structuur: het gebruikt je bestaande interne beheersing en plaatst de AI daarin.

Naast drempels hoort hier het principe van zo weinig rechten als mogelijk: alleen-lezen als startpositie, aparte accounts per agent per taak, en de rechtenbeperking ingesteld in het onderliggende systeem in plaats van in de instructie aan de AI. Zie ook Te veel rechten.

4. De rangorde van beheersmaatregelen

Niet alle maatregelen zijn even hard. Deze rangorde is het nuttigste denkgereedschap op deze pagina, omdat de meeste organisaties precies onderaan beginnen — want dat is het makkelijkst.

Aan de invoerkant hoort hierbij: onbetrouwbare inhoud expliciet scheiden en markeren, geen ruwe gebruikersinvoer aan elkaar plakken in prompts, en bekende instructiewoorden uit eerdere berichten strippen. Aan de uitvoerkant: vaste uitvoerformaten die door code worden gevalideerd, verplichte bronvermelding, en veilige weergave in de interface.

5. Afscherming: sandbox, tools en uitgaand verkeer

Laat een AI die code uitvoert of bestanden bewerkt dat doen in een afgeschermde omgeving met beperkte rechten op het bestandssysteem, harde limieten op processortijd en geheugen, en beperkt netwerkverkeer. Voor een kantoor is dit meestal geen bouwproject maar een eis aan je leverancier. Vraag ernaar en laat het schriftelijk bevestigen.

Twee regels die je zelf in de hand hebt:

• Leg de toegestane tools en koppelingen vast en sta geen automatische ontdekking van nieuwe tools toe. In een wereld waarin AI-systemen tools van elkaar kunnen "vinden" en aanmelden, is dit de belangrijkste regel: een agent mag geen gereedschap kunnen vinden dat jij niet hebt goedgekeurd.
• Beperk uitgaand verkeer tot een lijst van toegestane bestemmingen, op dns- en http-niveau.

6. Wat je precies moet vastleggen

Dit is in de praktijk het grootste gat bij kantoren, en het is de reden waarom AI-incidenten vaak niet te reconstrueren zijn. Standaard applicatielogging legt vast dat er een aanroep was, niet waarom het model die deed.

Wél vastleggen

• Wie (een accountidentiteit, niet "een medewerker"), wanneer (met tijdzone), welke tool en welke modelversie.
• De redeneerstappen en het plan van de agent, en de uitkomsten van validatiestappen.
• Elke toolaanroep met parameters én resultaat.
• Elke menselijke goedkeuring met de beslissing: wie keurde wat goed, wanneer.
• Welke brondocumenten in de context zaten — het liefst met een hash, zodat je kunt aantonen dat de agent naar de juiste factuur keek.
• De volledige prompt zoals verzonden, inclusief systeeminstructie en opgehaalde fragmenten. Zonder dit kun je een injectie achteraf niet vinden.
• Bij een zoekende assistent: welke bronnen zijn aangeraakt. Dit is essentieel om te bepalen of iemand data uit een ander dossier heeft gezien.
• Fouten, toestandsveranderingen, configuratiewijzigingen (wie zette training uit, wie wijzigde de bewaartermijn) en toegangsverleningen.
• Een doorlopend spoornummer door alle stappen, zodat je een uitvoering kunt reconstrueren. En logs die niet te wijzigen zijn.

Juist níet loggen

Sessietokens, wachtwoorden, verbindingsstrings, encryptiesleutels, betaalkaartgegevens, en niet meer persoonsgegevens dan nodig. Log de beslissing en de verwijzing, niet standaard het hele persoonsdossier — dat botst met dataminimalisatie. Beperk toegang tot de logs zelf en zet een alarm op excessieve toegang.

7. Testen vóór ingebruikname, en blijven testen

Twee testsets. Ze kosten samen een paar dagen om te maken en daarna een uur per week.

De gouden set: 50 tot 200 echte gevallen

Neem gevallen uit je eigen praktijk waarvan je de juiste uitkomst kent: facturen met de bekende juiste boeking, btw-vragen met het bekende juiste antwoord, dossiers met de bekende juiste classificatie. Neem er bewust rare gevallen in op — creditnota's, valuta, gemengde btw-tarieven, verlegging, margeregeling, buitenlandse leveranciers.

De injectieset: 20 tot 30 vervelende gevallen

Facturen en mails met verborgen instructies in verschillende vormen: wit op wit, in een lettertje van één punt, in een afbeelding, in metadata, gesplitst over twee bijlagen, in het omschrijvingsveld van een bankmutatie, in Base64, in een andere taal. Elk geval moet twee dingen doen: de AI mag de instructie niet opvolgen, en het moet gedetecteerd worden.

Daarnaast, als je zelf iets bouwt: laat een onafhankelijke partij een keer proberen je agent te misleiden ("red teaming"), en behandel het model daarbij expliciet als een onbetrouwbare gebruiker om te testen of je grenzen echt grenzen zijn.

8. Als het misgaat: AI-incidentrespons

Schrijf hiervoor geen aparte procedure die niemand leest. Neem AI-incidenten op in je bestaande datalek- en incidentprocedure, met vijf extra scenario's en een eerste-uuractie per scenario.

Verder: zorg dat er een noodstop per AI-systeem is die toegang onmiddellijk intrekt, test die twee keer per jaar, en doe één keer per jaar een tafeloefening met een verzonnen AI-incident. Bedenk ook vooraf je klantcommunicatie: bij een AI-fout in een uitgeleverd advies is de vraag van de klant niet "was het de AI?" maar "wat nog meer?".

9. Vijf volwassenheidsniveaus, met een toets per stap

Dit model is een praktische synthese, geen officiële norm. De waarde zit in de toets aan het eind van elk niveau: zolang je die niet haalt, ga je niet verder.

Niveau 0 — Ongecontroleerd

Geen beleid, niemand weet welke tools er lopen, en gezien de 80% eigen-tools-meenemen bij het mkb loopt er meer dan je denkt. Hier staat het merendeel van de kantoren.

Uitweg (2 tot 4 weken, vrijwel geen budget): een amnestie-inventarisatie, één A4 met gebruiksregels, één goedgekeurde zakelijke tool met verwerkersovereenkomst, en de bekende consumenten-endpoints geblokkeerd.

Niveau 1 — Beheerst gebruik van gewone AI-tools

Goedgekeurde tools met verwerkersovereenkomst en trainingsverbod. Iedereen weet wat wel en niet mag. Verificatieplicht op normen en cijfers. De set bekende antwoorden is in gebruik. AI-vaardigheden op orde — dat is sinds februari 2025 ook wettelijk verplicht.

Toets voor doorgang: kun je in één overzicht opsommen welke AI-tools in gebruik zijn, wie ervoor verantwoordelijk is, en welke data erin gaat? Zo niet: blijf op niveau 1.

Niveau 2 — Alleen-lezen agenten

Agenten die lezen, zoeken, voorbereiden, signaleren en concepten maken. Geen enkele schrijfactie, geen extern kanaal, geen lerend geheugen. De drie-ingrediëntentest is per agent vastgelegd. Rechten staan in het onderliggende systeem. Volledige logging. Harde limieten. Gouden set en injectieset draaien.

Toets voor doorgang: heeft de injectieset drie maanden op rij 100% gehaald, én kun je van een willekeurige agentactie van vorige maand de volledige keten reconstrueren?

Niveau 3 — Schrijfbevoegde agenten met menselijke goedkeuring

Agenten mogen definitief boeken en handelen, maar elke moeilijk omkeerbare actie heeft menselijke goedkeuring met drempelbedragen. Alles wat naar buiten gaat is een concept. Acties zijn geclassificeerd op omkeerbaarheid, samengestelde acties zijn gesplitst, batchlimieten zitten in de tool. Ketens zijn kort met code op de knooppunten. Elke agent heeft een eigen identiteit en er is een kwartaalreview van rechten. De incidentprocedure is met een tafeloefening getest.

Toets voor doorgang: is de goedkeuringslast per persoon per dag onder de gestelde grens gebleven, en is er in zes maanden geen enkele niet-gedetecteerde onbedoelde actie geweest?

Niveau 4 — Selectief zelfstandig

Enkele nauw begrensde, hoogvolume, laagrisicotaken lopen zonder goedkeuring per geval, met steekproefcontrole en continue monitoring. Alleen voor taken waarvan de foutkans is gemeten en waarvan de fouten omkeerbaar en detecteerbaar zijn. Met alarm op afwijkende foutpercentages, automatische stops, en een formeel go/no-go-besluit per taak.

Waarschuwing: gegeven 30% zelfstandige taakvoltooiing in realistische omstandigheden is niveau 4 in 2026 alleen verdedigbaar voor zeer smalle taken met een gemeten foutpercentage. "Zelfstandig" is geen doel — het is de uitkomst van een meting.

10. De erkende raamwerken, en wat je er in de praktijk mee doet

Er zijn er drie die ertoe doen. Geen ervan is verplicht; alle drie zijn nuttig, maar op verschillende manieren.

NIST AI Risk Management Framework — gebruik dit als structuur voor je documentatie

Het Amerikaanse normalisatie-instituut publiceerde in januari 2023 een vrijwillig raamwerk met vier kernfuncties. In gewone taal zijn dat vier vragen:

ISO/IEC 42001 — de norm voor een AI-managementsysteem

Gepubliceerd in december 2023, de eerste norm voor een AI-managementsysteem. Belangrijk om te weten: de norm stelt eisen aan het managementsysteem, niet aan individuele AI-systemen. Een gecertificeerde leverancier kan dus een slecht model hebben, en het zegt niets over AVG-naleving of over de rechtmatigheid van trainingsdata.

Voor certificering moet je kunnen laten zien: AI-beleid, rollen en verantwoordelijkheden, een systeeminventaris, risicobeoordelingen per systeem, impactbeoordelingen, leveranciersbeheersing, opleidingsdossiers, interne audits, managementreview en incidentregistratie. Voor een kantoor van 30 tot 80 fte is dat een traject van negen tot achttien maanden en een investering in de orde van tienduizenden euro's plus interne inzet. Zinvol als je AI-diensten aan klanten verkoopt of als grote klanten het eisen; anders is "42001-conform werken zonder certificaat" de betere prijs-kwaliteitverhouding.

De OWASP-lijsten — je praktische checklists

• Top 10 for LLM Applications 2025 — de basislijst voor elke AI-toepassing.
• Agentic AI — Threats and Mitigations — zeventien dreigingen en zes mitigatieplaybooks, bruikbaar als afvinklijst bij het ontwerp van een agent.
• Securing Agentic Applications Guide — het meest concrete document dat er is, met implementeerbare technische maatregelen. Dit is het document dat je aan je leverancier of bouwer geeft.

Die laatste gids onderscheidt drie architectuurpatronen met oplopend risico: één model met een lineaire werkstroom, een hoofd-agent die taken uitdeelt aan subagenten, en een zwerm van gelijkwaardige agenten. Voor een boekhoudkantoor is het eerste patroon de juiste keuze — en de andere twee zijn dat de komende jaren niet.

En het verband met je eigen kwaliteitsstelsel

Bouw dit alles niet naast je kwaliteitssysteem, maar erin. Per 1 januari 2027 is de NVKM verplicht voor Nederlandse accountantskantoren, en die vraagt precies wat hier staat: kwaliteitsdoelstellingen, per kantoor de relevante risico's identificeren, maatregelen kiezen, en monitoren of die werken. AI-gebruik is zo'n risico. Meer daarover in Hoe de NBA met AI omgaat.

11. Bronnen