Epiloog: Hoe AI je duurzame compliance-ecosysteem kan verzorgen en waar je moet oppassen

Compliance en vooroplopen in technologie: geen voor de hand liggende combinatie. Het vak is van nature risicomijdend en daardoor zelden de eerste die een nieuwe technologie omarmt. En tegelijk is er weinig werk dat zó goed bij AI past: kennisintensief, sterk analytisch en probleemoplossend, en vol repetitieve controle-, monitoring-, vastleggings- en rapportagetaken. Precies het soort werk waarin AI het meest kan betekenen. De vraag is dus niet óf AI het compliancevak raakt, maar hoe je het inzet zonder je eigen principes overboord te zetten.

En daar zit meteen de kern van deze epiloog: je hebt dezelfde compliancekennis en -skills nodig om de AI-toepassing zélf netjes in een raamwerk en governance te borgen. Compliance zet AI in om compliance te doen en brengt die AI vervolgens weer onder compliance. Bijna een AI-compliance-inceptie.

Dit is de epiloog van onze reeks over duurzame compliance. We legden het fundament (lees hier dit blog), hielden het raamwerk levend als een ecosysteem via de PDCA-cyclus (deel 1, deel 2 & deel 3), en kozen een basis om alles op te laten groeien (het GRC-tool-blog). In het slotdeel introduceerden we al de “robot-tuinman”: AI die het ecosysteem helpt onderhouden. Hieronder lopen we de kansen én de risico’s langs.

De robot-tuinman: onvermoeibaar, maar niet de baas

Een ecosysteem heeft onderhoud nodig: snoeien, water geven, ziektes vroeg opmerken. Dat werk is repetitief en nooit af, precies waar een onvermoeibare tuinman van waarde is. AI is die tuinman: hij verzet enorm veel werk, ziet patronen die jou ontgaan en werkt dag en nacht door. Maar hij bepaalt niet wélke tuin je wilt. Dat blijft aan jou. De visie, strategie, risicomethodologie en governance die je in de vorige delen hebt vastgelegd, vormen het ontwerp waarnaar de tuinman werkt. Zonder dat ontwerp snoeit hij lukraak.

Met dat voorbehoud: waar kan AI het verschil maken? We lopen de PDCA-cyclus langs.

Plan: sneller begrijpen wat er op je afkomt

Waar nu veelal wetteksten en contracten handmatig worden doorgespit om relevante eisen te identificeren, kan dat met AI (deels) geautomatiseerd worden. Denk aan:

• Automatische mapping. Het systeem leest nieuwe wetgeving (bijvoorbeeld de AI Act) en stelt voor aan welke bestaande risico’s en controls deze raakt, gebaseerd op je eigen raamwerk en sector.
• Risico-suggesties. Op basis van je risico-appetite en vergelijkbare organisaties suggereert het systeem welke risico’s prioriteit verdienen en waarom.
• Gap-detectie. Directe signalering waar je raamwerk gaten vertoont ten opzichte van nieuwe eisen.

De menselijke rol verschuift van data verzamelen naar valideren en beslissen. Het appetite-gesprek wordt rijker, niet vervangen. En je verschuift van periodiek inzicht naar een real-time beeld: geen risicoregister dat per kwartaal wordt bijgewerkt, maar een levend beeld van je dreigingslandschap. Werk daarbij met een rolling roadmap (eventueel agile) die je elk kwartaal herziet, met prioritering, capaciteitsplanning en ingebouwde trigger-events voor nieuwe wetgeving of incidenten. De toekomst ligt in continue monitoring in plaats van periodieke control-uitvoering.

Risico: AI vult gaten graag op met plausibel klinkende onzin. Een verkeerd gemapte eis of een verzonnen artikelnummer sluipt er zo in. Behandel de output als het concept van een junior, niet als eindoordeel: een mens valideert.

Do: capaciteit volgt risico, niet gewoonte

De uitdaging in de Do-fase is schaarste: je hebt nooit genoeg handen voor alle controls. AI helpt de uitvoering te optimaliseren ten opzichte van het risico:

• Risicogebaseerde inzet. Het systeem stelt voor wáár uitvoering en aandacht het hardst nodig zijn, zodat schaarse capaciteit naar de hoogste risico’s gaat en laag-risico werk een lagere frequentie krijgt. Of de business case voor risk-based resourcing.
• Repetitieve uitvoering automatiseren. Bewijs verzamelen, volledigheid checken en standaardcontroles uitvoeren, zodat de eerste lijn tijd overhoudt voor het werk dat wél oordeel vraagt.
• Uitvoering ondersteunen. Een controlhandleiding of ‘next best action’ per eigenaar (wat, waarom, hoe bewijs je het, wanneer) in begrijpelijke taal, dat verhoogt de adoptie en verlaagt de foutkans.

Risico: automatiseringsbias. Als “de AI het al gedaan heeft”, kijkt niemand meer kritisch mee. Dat zijn groene vinkjes 2.0, sneller geproduceerd, net zo misleidend.

Check: afwijkingen zien voordat ze escaleren

Traditionele monitoring is steekproefsgewijs en achteraf. Een AI-native aanpak verandert dat fundamenteel:

• Continue controle. In plaats van maandelijkse reviews van toegangsrechten signaleert het systeem real-time wanneer iemand rechten krijgt die niet passen bij zijn functie.
• Slimme alerts. Niet elke afwijking is urgent. Het systeem leert welke afwijkingen echt risicovol zijn, op basis van je historische data en risico-appetite.
• Voorspellende analyse. Op basis van patronen voorspelt het systeem waar controls waarschijnlijk gaan falen, vóórdat de auditor het vindt.

Concreet voorbeeld: een cookiebanner-checker die dagelijks alle domeinen scant, afwijkingen toetst aan je interne beleid, en alleen escaleert als de afwijking langer dan 48 uur bestaat. De tweede lijn krijgt een dashboard, niet een inbox vol alerts.

Risico: een model dat op verkeerde of onvolledige data draait, mist juist de subtiele signalen, of slaat vals alarm. "Garbage in, garbage out" geldt onverkort, en een voorspelling is geen bewijs.

Act: bijsturen op basis van betere informatie

De Act-fase is bij uitstek geschikt voor AI-ondersteuning:

• Automatische actie-suggesties. Op basis van de bevinding en vergelijkbare eerdere situaties stelt het systeem concrete herstelacties voor, inclusief geschatte doorlooptijd en benodigde resources.
• Impact-simulatie. Voordat je een actie implementeert, simuleert het systeem de impact op gerelateerde controls en risico’s via de many-to-many koppelingen.
• Lerende prioritering. Het systeem leert welke acties daadwerkelijk effect hadden en past de toekomstige prioritering daarop aan.

De menselijke rol blijft beslissen, maar de beslissing wordt beter geïnformeerd. Controls verschuiven zo van respons naar detectie en zelfs preventie.

Risico: lerende prioritering kan historische blinde vlekken juist bestendigen; wat vroeger niet gemeten werd, ziet het model ook niet. En een vlotte, overtuigend gebrachte actie-suggestie nodigt uit tot afvinken zonder eigen afweging.

AI onder dezelfde governance als de rest

Laat AI binnen je kaders werken, niet ernaast. Dezelfde visie, risicomethodologie en governance die je ecosysteem sturen, sturen ook de tuinman aan. En bewaak waar je (vertrouwelijke) risico- en auditinformatie naartoe gaat, dat was niet voor niets een afweging in het vorige deel: welk model gebruik je, waar draait het, en wie heeft toegang tot de data?

De tuinman staat zelf ook in de tuin. Een AI-toepassing is een compliance-object op zich. Denk aan de AI Act en aan ISO 42001 voor AI-managementsystemen: transparantie, logging, menselijk toezicht en het tegengaan van bias horen erbij. Wie AI inzet om compliance te versnellen, moet die AI zelf ook compliant houden. Dat is de inceptie waarmee we openden en meteen de reden waarom compliancekennis onmisbaar blijft.

Tot slot

AI is een krachtige tuinman voor je compliance-ecosysteem: hij versnelt het begrijpen van wetgeving, structureert normenkaders, verdeelt capaciteit naar risico, signaleert afwijkingen en maakt risico’s zichtbaar. Maar hij versnelt vooral een goed ingericht raamwerk. Hij repareert geen rammelend fundament. Het oordeel, de risicoafweging en de verantwoordelijkheid blijven bij mensen.

Daarmee is de cirkel rond: van los projectje naar een levend ecosysteem, met AI als de onvermoeibare verzorger die dat ecosysteem helpt groeien, zolang jij de tuinman blijft die bepaalt hoe de tuin eruitziet.

Benieuwd hoe AI past binnen jouw risico- en compliance-ecosysteem? Wij denken graag met je mee.