Het antwoord op de vraag wie er verantwoordelijk is als AI zelfstandig beslissingen neemt, is niet langer een theoretische discussie. Een recent beveiligingsincident bij OpenAI heeft laten zien dat de dreigingsmodellen voor AI fundamenteel zijn veranderd, en dat geldt ook voor kleine bedrijven die AI-tools gebruiken. De kern: je kunt niet meer volstaan met het instellen van een tool, je moet nu ook vastleggen wie er verantwoordelijk is voor de uitkomsten en hoe je die controleert.

Wat er aan de hand is

Volgens een analyse van AIbusiness is het dreigingsmodel voor AI verschoven door een beveiligingsincident bij OpenAI. Het bedrijf, een van de grootste spelers in de AI-markt, kreeg te maken met een security-probleem dat de kwetsbaarheid van autonome AI-systemen blootlegde. Waar AI voorheen vooral werd gezien als een hulpmiddel dat mensen ondersteunt, worden systemen nu steeds zelfstandiger. Ze nemen beslissingen zonder dat een mens elke stap goedkeurt. Dat opent een nieuwe categorie risico’s: niet alleen de technologie zelf kan falen, maar ook de manier waarop het systeem beslissingen neemt kan onbedoelde gevolgen hebben.

De verschuiving is breder dan alleen OpenAI. Steeds meer bedrijven integreren AI in hun processen, van klantenservice tot voorraadbeheer. De vraag is niet langer of AI beslissingen neemt, maar hoe je als organisatie die beslissingen beheerst. Het incident bij OpenAI fungeert als een waarschuwing: als zelfs een toonaangevend bedrijf met enorme security-teams kwetsbaar is, dan is geen enkele organisatie die AI gebruikt immuun.

Wat dit betekent

Voor het mkb betekent dit dat de verantwoordelijkheid voor AI niet langer alleen bij de IT-afdeling ligt. Het gaat niet meer om de vraag of een model goed werkt, maar om wie er aansprakelijk is als het misgaat. Een autonoom systeem dat een klant afwijst, een prijs vaststelt of een leverancier betaalt, kan juridische en financiële gevolgen hebben. Zonder duidelijke afspraken over eigenaarschap en controle, wordt die verantwoordelijkheid diffuus. Niemand voelt zich verantwoordelijk, en dat is precies het risico.

De impact is het grootst voor bedrijven die AI al inzetten voor operationele taken. Een webshop die AI gebruikt voor prijsoptimalisatie, een administratiekantoor dat AI inzet voor contractanalyse, of een logistiek bedrijf dat AI gebruikt voor routeplanning: allemaal lopen ze hetzelfde risico. Het systeem neemt beslissingen, maar er is geen vastgelegd proces voor wat er gebeurt als die beslissing verkeerd uitpakt. Het incident bij OpenAI laat zien dat dit geen hypothetisch scenario is, maar een realiteit die zich nu al voordoet.

Hoe je dit kunt toepassen

Als je een webshop runt die AI gebruikt voor prijsstelling of klantsegmentatie, dan is het verstandig om nu al vast te leggen wie er verantwoordelijk is voor de uitkomsten. Overweeg om een vast aanspreekpunt aan te wijzen, bijvoorbeeld de eigenaar of de operationeel manager, die elke wijziging in het AI-systeem goedkeurt. Je zou kunnen beginnen met een simpel document waarin je noteert welke beslissingen de AI zelfstandig mag nemen en welke altijd menselijke goedkeuring vereisen. Een mogelijke aanpak is om wekelijks een steekproef te draaien van de beslissingen die het systeem heeft genomen, zodat je vroegtijdig afwijkingen signaleert.

Als je een team aanstuurt dat met AI-tools werkt, is het belangrijk om de verantwoordelijkheid niet impliciet te laten. Een optie is om in je teamafspraken vast te leggen dat elk AI-gebruik een eigenaar heeft: iemand die weet wat het systeem doet, waarom het dat doet, en wie er wordt geïnformeerd als het misgaat. Je zou kunnen overwegen om een korte checklist te maken die elk teamlid doorloopt voordat ze een AI-tool inzetten voor een klantgerichte taak. Vragen als: wat doet dit systeem precies, welke gegevens gebruikt het, en wat is de impact als het fout gaat? Die checklist hoeft niet uitgebreid te zijn, maar het dwingt wel tot bewustwording.

Als je in de zorg of een andere gereguleerde sector werkt, is het verstandig om de governance-stappen te documenteren. Overweeg om vast te leggen welke AI-beslissingen onder het medisch of juridisch oordeel van een professional vallen, en welke geautomatiseerd mogen verlopen. Je zou kunnen beginnen met een inventarisatie van alle AI-tools die je team gebruikt, en per tool noteren wat de risico’s zijn en wie er verantwoordelijk is. Een mogelijkheid is om dit te koppelen aan je bestaande kwaliteits- of veiligheidsprocedures, zodat het niet als een losstaand document blijft bestaan.

Als je een administratief of financieel proces automatiseert, is het raadzaam om controles in te bouwen die onafhankelijk van het AI-systeem werken. Een optie is om een tweede controlelaag in te stellen, bijvoorbeeld een maandelijkse review van alle automatisch gegenereerde betalingen of facturen. Je zou kunnen overwegen om een drempelwaarde in te stellen: boven een bepaald bedrag is altijd menselijke goedkeuring nodig, ongeacht wat het systeem adviseert. Zo creëer je een vangnet dat niet afhankelijk is van de kwaliteit van het AI-model zelf.

Bron: AIbusiness