Het AI-datagovernanceprobleem dat operationele leiders niet kunnen negeren
Vraag vijf mensen om "datagovernance" te definiëren en je krijgt vijf verschillende antwoorden. Tim Fisher, VP AI van DPM, is daar niet verbaasd over. "Ik weet niet of er echt een gevestigde definitie bestaat die elk bedrijf [gebruikt]," zegt hij. "Voor sommige mensen betekent het dat het juridische team hen vertelt wat ze wel en niet mogen doen, en in andere delen van de organisatie betekent het iets heel anders."
Voor dit artikel gebruiken we de betekenis die Fisher eraan geeft wanneer hij wordt gevraagd het precies te definiëren: de beleidsmatige en juridische laag van wie toegang heeft tot gegevens, onder welke toestemming en aan welke regels onderworpen — niet of de gegevens zelf accuraat zijn, actueel zijn of goed georganiseerd zijn. Die tweede vraag is reëel en betreft een andere discipline met andere oplossingen; we behandelen die afzonderlijk. Dit artikel gaat over de beleidsvraag en waarom die niet kan wachten.
Waar de term daadwerkelijk thuishoort: het raakvlak tussen juridische zaken en bedrijfsvoering
Wanneer Fisher de definitie nader afbakent, komt hij uit op een specifieke plek binnen een organogram. "Ik zie datagovernance vooral als een kwestie van beleid en principes," zegt hij — en in een groter bedrijf lokaliseert hij het precies: "Het soort overlap in het Venn-diagram tussen juridische zaken en data-activiteiten."
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Ik zie datagovernance vooral als een kwestie van beleid en principes. Het soort overlap in het Venn-diagram tussen juridische zaken en data-activiteiten.
Die overlap is niet abstract. Fisher wijst op een veel oudere, zeer concrete reden waarom bedrijven deze structuren überhaupt opzetten: effectenwetgeving. "In de VS stelt de Securities and Exchange Commission zeer strenge regels op voor wat wel en niet gezegd of gedeeld mag worden, om zeer voor de hand liggende redenen, met handel met voorkennis en dergelijke," zegt hij.
"Dat is dus een reden voor een bedrijf om datagovernance te hebben." Hij koppelt dit rechtstreeks aan de groeifase van een bedrijf — de overgang van privé naar beursgenoteerd is vaak het moment waarop governance niet langer optioneel is, omdat externe consultants worden ingeschakeld om specifiek de structuren op te bouwen die een beursgenoteerd bedrijf wettelijk moet hebben.
Dat is het punt waar je eerst bij stil moet staan: governance bestond al als harde wettelijke vereiste lang voordat AI zijn intrede deed. Wat is veranderd, is de snelheid en de reikwijdte van het risico — en juist daardoor wordt het urgent voor iedereen die vandaag de bedrijfsvoering aanstuurt.
Waarom AI dit urgenter maakt voor leiders van de bedrijfsvoering
Bedrijven hebben altijd gegevens gehad die ze niet onzorgvuldig mochten delen. Nieuw is hoe eenvoudig het nu is om die gegevens te delen zonder dat iemand daar bewust toe besluit. Fishers duidelijkste voorbeeld is een instelling waar de meeste medewerkers langs zijn gelopen zonder die op te merken: "Het kleine schakelaartje dat ze nog nooit hebben gezien, vijf lagen diep verborgen op de instellingenpagina, waarmee je OpenAI of Anthropic toegang geeft tot al die gegevens om hun algoritmen te trainen," zegt hij. Niemand hoeft van plan te zijn iets te lekken. De standaardinstelling hoeft alleen maar ongemoeid te blijven.
Dat is het mechanisme achter de meeste governancefouten in het AI-tijdperk: teams die bedrijfseigen of HR-informatie in LLM's "gooien" zonder te begrijpen waarvoor ze daadwerkelijk toestemming hebben gegeven, omdat niemand de beleidslaag heeft ingericht die dit had kunnen signaleren voordat het gebeurde. Fisher windt er geen doekjes om dat dit geen zeldzame misstap is — "we hebben allemaal wel eens horrorverhalen gehoord over broncode die bij de verkeerde mensen terechtkwam. Het kan gebeuren."
De spanning is structureel, niet het gevolg van een gebrek aan voorzichtigheid. "Je bevindt je op dat ongemakkelijke punt waarop je groeit," zegt Fisher. "Je voelt de behoefte aan bepaalde regels, maar je wilt je teams niet te veel in hun bewegingsvrijheid beperken." Elke leider van de bedrijfsvoering die AI-adoptie afweegt tegen beveiliging, bevindt zich precies in die kloof — en AI heeft de onderliggende juridische blootstelling niet veroorzaakt; het heeft alleen mogelijk gemaakt dat die per ongeluk, op grote schaal en via een instellingenmenu dat niemand heeft gelezen, wordt geactiveerd.
Je bevindt je op dat ongemakkelijke punt waarop je groeit. Je voelt de behoefte aan bepaalde regels, maar je wilt je teams niet te veel in hun bewegingsvrijheid beperken.
Waar leiders van de bedrijfsvoering daadwerkelijk kwetsbaar zijn
De belangrijkste aandachtsgebieden voor operationele leiders zijn:
- Persoonlijke gegevens van werknemers. Personeelsplannen, HR-dossiers en prestatiegegevens die in het contextvenster van een AI-tool kunnen belanden zonder dat iemand daar daadwerkelijk toestemming voor heeft gegeven.
- Financiële en openbaarmakingsgevoelige informatie. Materiële niet-openbare informatie, winstgegevens en alles wat zorgen over openbaarmaking door de SEC zou oproepen als het uitlekt of op het verkeerde moment bij de verkeerde persoon terechtkomt.
- Bedrijfseigen en IE-gevoelige informatie (waaronder broncode). Een puur toegangsbeheer- en vertrouwelijkheidsrisico — los van effectenregelgeving — maar hetzelfde onderliggende mechanisme als bij elke andere niet-gemonitorde standaardinstelling van AI.
- Gegevens over klantprojecten. Bedrijfseigen klantinformatie die zonder contractuele duidelijkheid of duidelijke toestemming door AI-tools wordt verwerkt, brengt dezelfde risico's met zich mee, zelfs als er nog geen specifiek datalek is vastgelegd.
De meeste bedrijven hebben hier helemaal niets van
Ondanks de grote belangen stelt Fisher onomwonden dat veel organisaties helemaal geen beleidslaag hebben. "Veel organisaties hebben helemaal geen gegevensbeheer," zegt hij.
Hij heeft dit van beide kanten zien gebeuren. Bij een groter, meer gevestigd bedrijf zag hij dat governance "gedurende een lange periode zeer serieus werd genomen", tot het punt waarop deze steeds behoudender werd — en steeds moeilijker terug te draaien. Kleinere, sneller groeiende bedrijven hebben het tegenovergestelde probleem: niet te veel voorzichtigheid, maar helemaal geen voorzichtigheid, bovenop de druk om snel te handelen.
De belangrijkste les voor uitvoeringsleiders
Je hoeft geen volledig governancekader op te bouwen om de eerste stap te zetten. Begin met iets kleins en concreets: ga een instellingenmenu controleren. Het voorbeeld van de schakelaar van Fisher is echt en eenvoudig te vinden — ontdek of de AI-tools van je organisatie standaard zijn ingesteld om je gegevens te gebruiken voor training, en wie daar goedkeuring voor heeft gegeven. Dat is een gesprek dat je deze week kunt voeren, geen project.
Toch is het de moeite waard om daarnaast rekening te houden met een echte spanning die Fisher benoemt: afscherming is niet automatisch de veilige keuze. "Zelfs in organisaties waar gegevens direct beschikbaar zijn, worden ze vaak nog steeds als bedrijfseigendom gezien, ook als dat niet nodig is," zegt hij — en alles standaard afsluiten kan een bedrijf stilletjes net zoveel kosten als alles volledig openlaten, alleen minder zichtbaar. "Je zult geen vooruitgang boeken bij het veranderen hiervan als je niet verandert wie in je organisatie toegang heeft tot je gegevens." Goede governance betekent niet alleen dat minder mensen gegevens aanraken — het betekent dat de juiste mensen doelbewust de juiste gegevens gebruiken.
Zelfs in organisaties waar gegevens direct beschikbaar zijn, worden ze vaak nog steeds als bedrijfseigendom gezien, ook als dat niet nodig is.
In de praktijk betekent dat een paar concrete stappen, geen beleidsmap:
- Begin nu met het gesprek, voordat een incident je daartoe dwingt. Vraag welke teams al AI-tools gebruiken en hoe — de meeste operationele leiders lopen hier simpelweg achter omdat niemand ernaar heeft gevraagd.
- Controleer organisatiebrede tools als eerste. Bevestig voor alle AI-platforms die bedrijfsbreed zijn goedgekeurd wat de standaardinstelling voor trainingsgegevens is en wie zicht heeft op wat erdoorheen stroomt.
- Negeer persoonlijk of onofficieel gebruik van tools niet. Het grotere risico is vaak de AI-tool die niemand heeft goedgekeurd — iemand die klantnotities in een persoonlijk ChatGPT-account plakt omdat de goedgekeurde tool trager is. Dit zichtbaar maken gaat niet om bestraffing, maar om weten waar je daadwerkelijke blootstelling ligt.
- Neem de toegangscontrole mee in hetzelfde gesprek, niet in een apart gesprek. Vraag tijdens het controleren van standaardinstellingen en het gebruik van AI-tools wie gegevens afschermt die niet hoeven te worden afgeschermd. De ene deur beter beveiligen terwijl je een andere wagenwijd open laat, is geen governance — het is schijnvertoning.
- Leer mensen gevoelige gegevens herkennen, in plaats van alleen regels te volgen. De meeste werknemers is nooit gevraagd na te denken over wat als gevoelig geldt — klantgegevens, HR-dossiers, financiële informatie — of wat er mis kan gaan als dit in een ongereguleerde tool terechtkomt. Een beleid waarin mensen wordt verteld wat ze niet mogen doen, is minder belangrijk dan dat mensen het risico vóór hen daadwerkelijk herkennen.
Hiervoor hoeven teams niet te vertragen om het goed te doen. Je moet weten waar je gegevens naartoe gaan, wie dat heeft besloten en of het antwoord nog steeds ja is.
Wil je meer inzichten zoals deze? Meld je aan voor een gratis DPM-account om van meer experts zoals deze te horen.
