Nog geen vaste plek in de begroting

Vraag IT-beslissers naar hun begroting voor 2026, en AI-governance staat er bij bijna niemand tussen. Dat komt niet doordat het onderwerp niet belangrijk wordt gevonden, maar doordat het nog geen vaste plek heeft. Het raakt security, compliance en innovatie tegelijk, en valt daardoor precies tussen de bestaande begrotingsposten in.

Welke AI-tools worden er binnen je organisatie gebruikt?

Vaak is het antwoord een schatting. Dat komt niet door slordigheid. Er is meestal geen aanvraag ingediend, geen inkooptraject doorlopen en geen verwerkersovereenkomst getekend. Iemand opende een tab, maakte een account aan en ging aan het werk met de AI-tool.

Organisaties die dit voor het eerst in kaart brengen, verwachten vaak één tool aan te treffen. In de praktijk zijn het er meestal meer, verspreid over afdelingen die vaak niet van elkaar weten dat ze hetzelfde vraagstuk al op hun eigen manier hebben opgelost. Marketing gebruikt iets anders dan sales, finance heeft een eigen tool voor rapportages, HR gebruikt iets voor het verwerken van sollicitaties.

Dit gebeurt zelden met de intentie om regels te ontwijken. Medewerkers kiezen zelf een tool omdat die werkt en omdat er geen goed alternatief beschikbaar was. Een verbod op AI lost het probleem niet op. Dan verschuift het gebruik namelijk naar de gratis versie op de telefoon. Het zicht op AI-gebruik neemt dan af in plaats van toe.

Een nieuwe categorie zonder vaste plek

Dit patroon deed zich eerder voor rond de invoering van de AVG. Consultants, agencies en freelancers presenteerden zich als privacy-specialist voordat de norm goed uitgewerkt was. Sommigen leverden aantoonbare waarde, anderen verkochten vooral een gevoel van gerustheid.

Bij AI-governance speelt iets vergelijkbaars, maar dan in een hoger tempo. De categorie heeft nog geen vaste plek in het organogram, geen vaste begrotingsregel en geen algemeen geaccepteerde toetsingsnorm. Een organisatie die op zoek gaat naar een oplossing, betaalt daardoor voor iets dat nog niet bewezen hoeft te zijn.

In gesprekken met IT-managers, CISO's en privacy officers komt een vergelijkbare vraag steeds terug: hoeveel wordt er nu eigenlijk verbruikt, per gebruiker, en hoe meet je dat over verschillende modellen heen? Niemand betwist dat controle over data, kosten en gebruik nodig is, maar het antwoord op die vraag ontbreekt vaak.

Dat gebrek aan een vaste norm heeft ook een prijs. Na de AVG betaalden organisaties voor advies dat achteraf weinig voorstelde, simpelweg omdat er nog geen manier was om expertise te toetsen. Bij AI-governance ligt een vergelijkbaar risico op de loer: een adviestraject van een paar duizend euro, met een resultaat dat niet standhoudt zodra er wel een norm komt. Dat is niet per se een kwestie van kwade wil, eerder van het ontbreken van een toetsingskader.

Dat speelt ook mee bij de manier waarop AI-gebruik wordt afgerekend. De markt beweegt richting afrekenen per gebruik in plaats van bulklicenties. Wie het eigen verbruik nu niet in beeld heeft, kan straks moeilijker onderbouwen wat een redelijk budget is.

Wat er misgaat zonder overzicht

Zonder zicht op data, kosten en gebruik ontstaan doorgaans drie problemen.

Dat laatste punt is meestal waar de rekening zichtbaar wordt, niet waar het probleem ontstaat. Tegen de tijd dat er iets misgaat, zit het gebruik vaak al verankerd in het dagelijkse werk. Dat maakt bijsturen achteraf lastiger dan vooraf kaders neerzetten.

Wat AI-governance in de praktijk inhoudt

AI-governance is geen losse maatregel, maar het geheel van regels, processen en techniek waarmee een organisatie stuurt op hoe AI wordt gebruikt. In de praktijk valt dat uiteen in vier onderdelen, die elk een andere vraag beantwoorden.

Een oplossing die op drie van de vier onderdelen scoort, lost het vraagstuk niet volledig op. Blokkeren raakt gebruik, maar zegt niets over de kosten. Een vast contract met één leverancier raakt de kosten, maar zegt niets over wat er buiten die ene tool gebeurt. Pas de combinatie van alle vier geeft een organisatie het overzicht dat een begroting nodig heeft.

Waarom wachten meer kost dan nu beginnen

Er is nog geen incident geweest, de druk is nog niet voelbaar en er staan andere zaken bovenaan de begroting.

Dat klopt, tot het moment dat de situatie verandert. Tegen de tijd dat het gebruik zichtbaar wordt, zit het vaak al verankerd in het dagelijkse werk van tientallen mensen. Regels achteraf invoeren raakt dan processen die al draaien en gewoontes die al vastzitten, wat meestal meer wrijving oplevert dan vooraf kaders neerzetten terwijl het gebruik nog behapbaar is.

Er speelt ook een ander effect mee. Mensen die terughoudend zijn over AI, zijn dat vaak niet vanwege AI zelf, maar vanwege het ontbreken van grip erop. Een instrument waarmee zij weloverwogen ja kunnen zeggen, kan diezelfde mensen tot voorstander maken. Wachten kost dan niet alleen tijd, maar ook het draagvlak van de mensen die nodig zijn om dit goed te laten landen.

Vijf vragen om nu te stellen

Een incident is niet nodig om te weten waar een organisatie staat. Deze vijf vragen maken snel duidelijk of AI-governance al buiten het zicht van IT plaatsvindt.

Kun je op alle vijf een concreet antwoord geven, dan sta je er beter voor dan de meeste organisaties die wij spreken. Kun je dat niet, dan is dat geen reden voor paniek, maar wel een aanleiding om AI-governance dit jaar als investering op de begroting te zetten.

Staat AI-governance in jouw begroting voor 2027?