Het grootste AI-risico? Denken dat er maar één soort is

Wie het AI-nieuws volgt, kan gemakkelijk de indruk krijgen dat het ene risico nog groter is dan het andere. AI-agents blijken tijdens veiligheidstests ineens toegang te kunnen krijgen tot echte systemen. Het NCSC waarschuwt voor gevoelige bedrijfsinformatie die via AI buiten de organisatie belandt. Ondertussen ontstaat discussie over politici die AI gebruiken voor Kamervragen en andere communicatie. En dan is er ook nog de AI Act, waarin sommige toepassingen formeel worden aangemerkt als hoogrisico-AI. Als bestuurder moet je daar maar kaas van zien te maken. Want hebben we het hier eigenlijk steeds over hetzelfde soort risico? Nee. En precies daar begint het probleem.

We gebruiken de term ‘hoog risico’ voor behoorlijk verschillende vragen. De ene keer gaat het om een juridische classificatie die bepaalt welke regels gelden. De andere keer om mogelijke schade voor mensen, technische onvoorspelbaarheid, informatiebeveiliging, reputatie, of strategische gevolgen voor de organisatie. Die perspectieven kunnen elkaar raken, maar zijn niet uitwisselbaar.

Een enkele rood-oranje-groen score voor ‘AI-risico’ klinkt dan overzichtelijk, maar kan belangrijke verschillen en nuance juist verbergen. Goed AI-bestuur begint daarom niet met de vraag hoe hoog het AI-risico is. Eerst moet duidelijk zijn: over welk(e) risico(‘s) hebben we het eigenlijk?

Hoogrisico-AI is geen algemene risicoscore

Neem de term die misschien in de juridische wereld rondom AI het bekendst geworden is: hoogrisico-AI onder de AI Act. Dat is in de eerste plaats een juridische classificatie. Daarbij kijk je niet simpelweg hoe gevaarlijk een toepassing in de praktijk voelt en hang je daar vervolgens een label aan. De AI Act bepaalt zelf wanneer een AI-systeem als hoogrisico-AI-systeem kwalificeert. Artikel 6 AI Act kent daarvoor grofweg twee routes:

• De eerste ziet op AI-systemen die zelf een gereguleerd product zijn of als veiligheidscomponent daarvan worden gebruikt, wanneer voor dat product op grond van bepaalde Europese productwetgeving een conformiteitsbeoordeling door een derde partij is vereist.
• De tweede route ziet op specifieke toepassingsgebieden uit Bijlage III, bijvoorbeeld binnen werving en selectie, onderwijs, kredietwaardigheid, toegang tot essentiële overheidsdiensten, en bepaalde toepassingen rond verkiezingen. Voor dergelijke AI-toepassingen bevat de wet nog wel een filtermechanisme voor minder risicovol AI-gebruik in zo’n toepassingsgebied, maar ook dat is vrij strak ingekaderd. De Europese Commissie heeft deze classificatieregels inmiddels verder uitgewerkt in ontwerprichtsnoeren met praktische voorbeelden.

N.B. Daarvóór moet overigens nog worden bekeken of een toepassing niet helemaal verboden is. Sommige AI-praktijken zijn op grond van artikel 5 AI Act namelijk geen hoogrisico-AI, maar simpelweg niet toegestaan omdat het Europees parlement dergelijke AI-praktijken té risicovol vindt. Denk aan bepaalde vormen van biometrische emotieherkenning op de werkplek en in onderwijsinstellingen of het onderbewust manipuleren van kwetsbare personen.

Het belangrijke punt is echter dit: de kwalificatie ‘hoogrisico-AI’ is geen algemene uitspraak over hoe groot het risico voor jouw organisatie is.

Een AI-toepassing kan forse financiële of reputatieschade veroorzaken en toch buiten artikel 6 vallen. Andersom kan een systeem juridisch als hoogrisico-AI (blijven) kwalificeren terwijl de concrete risico’s door goede inrichting en beheersmaatregelen behoorlijk zijn teruggebracht.

De classificatie vertelt je vooral welk juridisch regime van toepassing is en welke verplichtingen daarbij horen. Het levert geen totaalplaatje op over hoeveel zenuwen het systeem jouw bestuur wel of niet zou moeten bezorgen.

Een DPIA stelt een andere risicovraag

Dat verschil wordt duidelijk zodra je de AVG ernaast legt. Ook daar komen we ‘hoog risico’ tegen, maar met een andere betekenis. Op grond van artikel 35 AVG is een Data Protection Impact Assessment (DPIA) nodig wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van natuurlijke personen. Hier draait het dus juist om een beoordeling van de gevolgen van een concrete gegevensverwerking voor mensen.

Daarvoor bestaan Europese richtlijnen en situaties waarin de Autoriteit Persoonsgegevens een DPIA verplicht stelt, maar de beoordeling blijft breder dan een vooraf vastgestelde lijst. Ook buiten die situaties kan uit aard, omvang, context en doeleinden van een verwerking volgen dat een DPIA nodig is.

Dat levert een belangrijk onderscheid op. Een AI-systeem kan buiten het hoogrisico-regime van de AI Act vallen, maar door de verwerking van persoonsgegevens tóch een DPIA vereisen. Andersom betekent de kwalificatie als hoogrisico-AI-systeem niet automatisch dat iedere toepassing van zo’n systeem onder de AVG een hoog privacyrisico oplevert. Zeker in veel gevallen kan en zal dit wel overlappen, maar niet altijd.

Ook de vervolgvraag verschilt. Bij een DPIA breng je risico’s voor betrokkenen in kaart en bepaal je welke maatregelen nodig zijn om die risico’s te beperken. Blijft ondanks die maatregelen een hoog restrisico bestaan, dan is voorafgaande raadpleging van de privacytoezichthouder nodig voordat met de verwerking wordt begonnen. Twee juridische regimes dus, allebei met ‘hoog risico’ in de terminologie, maar niet met dezelfde toets. En daarmee zijn we er nog niet.

Juridische labels vertellen nog niet wat er feitelijk kan misgaan

Naast de vraag welke wetten van toepassing zijn, moet een organisatie natuurlijk ook weten wat er in de praktijk kan gebeuren.

Dat wordt belangrijker nu AI-systemen niet alleen tekst genereren, maar steeds vaker als agent handelingen kunnen uitvoeren. Een klassieke chatbot geeft vooral antwoord. Een agent kan daarnaast bijvoorbeeld bestanden openen, informatie opzoeken, code uitvoeren, berichten verzenden, accounts benaderen, of wijzigingen in systemen doorvoeren. Daarmee verandert het risicoprofiel fundamenteel.

Recente incidenten tijdens veiligheidsevaluaties bij onder meer OpenAI en Anthropic laten zien dat AI-agents onverwacht toegang kunnen krijgen tot systemen buiten de omgeving waarvoor zij waren bedoeld. De eenvoudige krantenkop is dan al snel dat ‘de AI ontsnapte’. Voor risicomanagement is een andere analyse nuttiger. De mogelijke schade ontstaat uit een combinatie van modelgedrag, technische omgeving, beschikbare hulpmiddelen, toegangsrechten, en de veiligheidsmaatregelen daaromheen.

Voor jouw organisatie is de vraag daarom niet alleen: Hoe krachtig is dit AI-systeem? Minstens zo relevant is de vraag: wat hebben wij dit systeem toegestaan te doen? Een AI-systeem dat uitsluitend een concepttekst mag opstellen, heeft een ander risicoprofiel dan een agent die zelfstandig e-mails kan verzenden, klantdossiers kan openen, betalingen kan initiëren, code kan uitvoeren, of gegevens kan verwijderen.

Dat lijkt misschien een technisch vraagstuk, maar is minstens zo goed een governancevraag. Welke bevoegdheden zijn noodzakelijk? Wanneer is menselijke goedkeuring nodig? Welke handelingen mogen nooit autonoom worden uitgevoerd? Hoe worden acties gelogd, gecontroleerd, en zo nodig teruggedraaid? Het bekende securitybeginsel van least privilege is daarmee ook voor AI-agents bijzonder relevant.

Ook het begrip ‘systeemrisico’ uit de AI Act laat zien dat risico weer iets anders kan betekenen. Dat begrip wordt gebruikt voor bepaalde zeer krachtige general-purpose AI-modellen waarvan risico’s op grote schaal door de AI-keten kunnen doorwerken. Voor aanbieders daarvan gelden aanvullende verplichtingen rond onder meer evaluatie, risicobeperking, incidenten, en cybersecurity. Het is opnieuw een ander begrip dan het ‘hoogrisico-AI-systeem’ uit artikel 6.

Welke informatie reist met jouw AI mee?

Vervolgens kan een toepassing technisch uitstekend functioneren en juridisch buiten het hoogrisico-regime van de AI Act vallen, maar toch volstrekt ongeschikt zijn voor bepaalde informatie.

Het NCSC waarschuwt bijvoorbeeld dat gevoelige informatie door het gebruik van generatieve AI door medewerkers op servers buiten de eigen organisatie terecht kan komen. Een categorisch verbod lost dat probleem niet noodzakelijk op: medewerkers kunnen uitwijken naar een privételefoon, laptop, of eigen account.

Hier verschuift de vraag opnieuw. Niet: is dit hoogrisico-AI? Maar bijvoorbeeld: waar belanden onze prompts en bestanden? Welke leverancier verwerkt ze? Zijn er andere partijen in de keten? Worden gegevens opgeslagen of voor andere doeleinden hergebruikt? Tot welke bronnen krijgt een AI-agent toegang? En welke informatie stuurt hij mogelijk weer door naar externe zoekmachines, API’s, of andere gekoppelde diensten? Het antwoord kan tegelijkertijd relevant zijn voor de AVG, contractuele geheimhouding, bescherming van bedrijfsgeheimen, cybersecurity, leveranciersmanagement, en interne informatieclassificatie.

Dat laat precies zien waarom een enkele AI Act check nooit je volledige risicobeoordeling kan vervangen. De juridische classificatie is belangrijk, maar vertelt niet automatisch of jouw concrete inrichting verantwoord is.

De context verandert het risico

Sommige risico’s ontstaan bovendien niet doordat de technologie verandert, maar doordat de context waarin je dezelfde technologie gebruikt verandert.

Dat zie je bijvoorbeeld terug in recente discussies over AI-gebruik door politici. AI gebruiken om een interne tekst leesbaarder te maken roept weinig aandacht op. AI laten meeschrijven aan Kamervragen, campagne-uitingen, of een boodschap die nadrukkelijk als persoonlijk wordt gepresenteerd, kan heel anders worden ontvangen.

Technisch hoeft het verschil niet groot te zijn. Maatschappelijk zijn de verwachtingen rondom authenticiteit, betrokkenheid, en verantwoordelijkheid heel anders. Daarmee ontstaat reputatierisico dat je niet kunt aflezen aan de technische eigenschappen van het AI-systeem. De relevante vraag wordt dan niet alleen: mag dit?, maar ook: wat verwacht onze doelgroep hier redelijkerwijs van ons?

Soms grijpt het recht daar alsnog op in. Zo kent de AI Act specifieke regels voor bepaalde AI die bedoeld is om verkiezingen of stemgedrag te beïnvloeden: dat kan dan toch weer hoogrisico-AI zijn onder de AI Act. (e.e.a. hierover is verder uitgewerkt in de ontwerprichtsnoeren over hoogrisico-AI). Ook kunnen de sinds 2 augustus 2026 geldende transparantieverplichtingen uit artikel 50 AI Act bij bepaalde AI-gegenereerde of gemanipuleerde inhoud relevant zijn, in het bijzonder bij publieke boodschappen van algemeen belang.

Maar juridisch toegestaan betekent nog steeds niet automatisch maatschappelijk passend. Compliance en reputatie zijn niet hetzelfde.

Ook niets doen is een risico

Met al die aandachtspunten kan de verleiding ontstaan om AI voorlopig maar zoveel mogelijk buiten de deur te houden. Alleen bestaat ook daar geen risicoloze route.
Organisaties die bruikbare AI-toepassingen structureel weren, kunnen productiviteit, snelheid, innovatievermogen, en ervaring met de technologie mislopen. Terwijl anderen leren welke toepassingen wel en niet werken, bouw je zelf weinig kennis op.
Een streng verbod kan bovendien schaduwgebruik versterken. Het NCSC wijst erop dat medewerkers generatieve AI bij een verbod mogelijk alsnog via eigen apparaten gebruiken. Dan vindt het gebruik juist plaats buiten de goedgekeurde omgeving, zonder contractuele waarborgen, technische beveiliging, logging, of intern toezicht.

Dat maakt achterblijven natuurlijk niet automatisch ernstiger dan bijvoorbeeld discriminatie, een groot datalek, of aantasting van grondrechten. Dat zijn verschillende soorten gevolgen die zich niet zinvol in één getal laten samenpersen. Maar niet gebruiken is óók een keuze met mogelijke gevolgen.

Wie alleen de risico’s van invoering beoordeelt, vergelijkt een concrete AI-toepassing ongemerkt met een denkbeeldige situatie waarin niets doen kosteloos en risicoloos is.

Wat moet er dan wél op de bestuurstafel?

Goed AI-bestuur vraagt daarom niet om één universele AI-risicoscore, maar om verschillende vragen die je bewust naast elkaar legt:

• Welke waarde willen we realiseren? Welk probleem lossen we op en welke opbrengst verwachten we?
• Welke juridische regimes zijn relevant? Denk aan de AI Act (incl. transparantieverplichtingen), een DPIA, een FRIA, sectorspecifieke regels, contracten, en andere relevante wetgeving.
• Welke mensen kunnen gevolgen ondervinden? Denk aan klanten, medewerkers, burgers, andere betrokkenen, en publieke belangen.
• Welke gegevens en vertrouwelijke informatie worden gebruikt? Breng ook leveranciers, tussenpartijen, opslag, doorgifte, en mogelijk hergebruik in kaart.
• Wat kan het systeem daadwerkelijk doen? Maak onderscheid tussen adviseren, lezen, verzenden, publiceren, beslissen, betalen, aanpassen, en verwijderen.
• Hoeveel autonomie krijgt het systeem? Bepaal waar menselijke controle nodig is en waar harde technische grenzen nodig zijn.
• Wat gebeurt er als we het systeem niet gebruiken? Neem ook schaduwgebruik, gemiste waarde, verouderde processen, en gemist organisatorisch leervermogen mee.
• Wie is verantwoordelijk? Leg eigenaarschap, logging, monitoring, incidentroutes, evaluatiemomenten, en concrete stopcriteria vast.

Het doel is niet om al deze vragen uiteindelijk alsnog te reduceren tot één cijfer. Juist het verschil tussen de antwoorden geeft het bestuur de informatie die nodig is om een bewuste afgewogen keuze te maken.

Het grootste risico bestaat niet

Welk AI-risico het grootst is, hangt af van de toepassing, de betrokkenen, de informatie die je gebruikt, de bevoegdheden van het systeem, en de rol van jouw organisatie. Eén universeel antwoord zou vooral schijnzekerheid opleveren.

Goed AI-bestuur betekent daarom niet dat ieder risico verdwijnt, maar dat je begrijpt welke soorten risico je neemt, welke waarde daartegenover staat, en waar je grenzen liggen. Als je mij dus vraagt wat het grootste AI-risico is, is mijn antwoord denken dat er maar één soort is, en dat je daarmee klaar bent.

Twijfel je welke beoordelingen jouw AI-toepassing nodig heeft of hoe je de verschillende juridische, technische, en organisatorische perspectieven samenbrengt? Onze Certified AI Compliance Officers (CAICO^®) denken graag met je mee.

Ook start binnenkort een nieuwe editie van onze CAICO^®-opleiding. Bekijk de programmapagina voor inhoud en data.