Fase 1: De Convenant Briefing

AI komt een organisatie zelden binnen via één herkenbaar besluit. Een afdeling start een experiment, medewerkers gebruiken een publieke schrijftool, een leverancier voegt een AI-functie toe aan bestaande software en een dienstverlener automatiseert delen van zijn werk zonder dat dit afzonderlijk met de opdrachtgever wordt besproken. Sommige toepassingen worden als AI gepresenteerd, andere blijven verscholen in zoekfuncties, selectiemodellen, beveiligingssoftware of kantoorapplicaties.

De kennis over deze toepassingen is doorgaans verdeeld. IT kent de technische omgeving, inkoop kent de contracten, privacy- en securityspecialisten kennen bepaalde gegevensstromen en risico’s, terwijl medewerkers weten hoe systemen in de praktijk worden gebruikt. Bestuurders kennen de strategische ambities, maar hebben niet altijd zicht op de dagelijkse toepassing of op de leveranciers en infrastructuur achter een systeem.

Daardoor kan een gesprek over het sociale contract met AI beginnen met deelnemers die ieder een andere werkelijkheid voor ogen hebben. Voor de één gaat AI over ondersteuning bij schrijven en analyseren. Voor een ander gaat het over de beoordeling van sollicitanten, medewerkers of klanten. Een derde ziet vooral de afhankelijkheid van een beperkt aantal mondiale technologiebedrijven. Wanneer deze beelden niet eerst bij elkaar worden gebracht, verandert een bestuurlijke dialoog gemakkelijk in een uitwisseling van algemene verwachtingen, zorgen en overtuigingen.

De Convenant Briefing vormt daarom de eerste fase van het convenantproces. Zij brengt de bestaande situatie, relevante ontwikkelingen en belangrijkste onzekerheden samen in één gedeeld beeld. De briefing stelt nog niet vast wat de organisatie verantwoord vindt. Zij maakt zichtbaar waarover de organisatie zich in de volgende fase moet uitspreken.

Dat onderscheid is bepalend. De briefing is geen voorontwerp van het convenant, geen goedkeuring van bestaande toepassingen en geen volledige audit van iedere AI-tool. Zij is een onderbouwde voorbereiding op de bestuurlijke en normatieve keuzes van de Convenant Dialoog.

Waarom een afzonderlijke briefing nodig is

De betekenis van een AI-systeem wordt niet uitsluitend bepaald door zijn technische eigenschappen. Dezelfde technologie kan in de ene context een relatief onschuldig hulpmiddel zijn en in een andere context ingrijpende gevolgen hebben.

Een taalmodel dat een openbare tekst samenvat, vervult een andere rol dan hetzelfde model wanneer het medische informatie ordent, sollicitatiebrieven beoordeelt of een medewerker adviseert over de toekenning van een voorziening. De technische basis kan vergelijkbaar zijn, maar het doel, de betrokken personen, de gegevens, de foutmarge en de mogelijkheid tot herstel verschillen wezenlijk.

Het NIST AI Risk Management Framework begint daarom met het in kaart brengen van de context. Het beoogde doel, de gebruikers, de toepasselijke normen, de omgeving waarin een systeem wordt gebruikt en de mogelijke gevolgen voor mensen, organisaties en samenleving moeten eerst worden begrepen. Pas daarna kan een zinvolle beoordeling van risico’s en beheersmaatregelen plaatsvinden. Het bijbehorende playbook is nadrukkelijk geen universele checklist die voor iedere toepassing volledig moet worden doorlopen. (NIST AI Resource Center)

Ook de OECD behandelt het identificeren van AI-risico’s als een brede verkenning van de activiteiten, producten, diensten en zakelijke relaties van een organisatie. Daarbij gaat het niet alleen om de systemen die de organisatie zelf ontwikkelt, maar ook om modellen, data, infrastructuur en diensten die door andere partijen in de AI-keten worden geleverd. (OECD)

De Convenant Briefing volgt dezelfde logica. Zij begint niet met de vraag of een afzonderlijke tool goed of slecht is, maar met de vraag welke plaats AI inmiddels in de organisatie inneemt. Waar wordt zij gebruikt? Welk probleem moet zij oplossen? Wie wordt erdoor geraakt? Wie bezit de onderliggende technologie en wie bepaalt de voorwaarden? Welke verantwoordelijkheden verschuiven? En welke informatie ontbreekt nog?

Het antwoord hoeft niet volledig te zijn om bruikbaar te zijn. Het moet betrouwbaar genoeg zijn om te voorkomen dat de organisatie in Fase 2 fundamentele keuzes maakt op basis van onjuiste aannames, uitzonderlijke voorbeelden of uitsluitend de documentatie van leveranciers.

De grens tussen briefing en dialoog

Een zuivere voorbereiding vraagt om onderscheid tussen feiten, verwachtingen, ervaringen en normatieve keuzes.

Een feit kan zijn dat een leverancier onder een bepaalde rechtspersoon contracteert, dat persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt of dat een systeem door medewerkers wordt gebruikt bij de voorbereiding van personeelsbesluiten.

Een verwachting kan zijn dat een toepassing de doorlooptijd met een bepaald percentage zal verkorten, dat medewerkers meer tijd krijgen voor complex werk of dat een leverancier zijn product gedurende de contractperiode blijft ondersteunen. Zulke verwachtingen kunnen onderbouwd zijn, maar zijn nog geen waargenomen resultaten.

Ervaringen en interpretaties vormen een derde categorie. Een manager kan een systeem ervaren als ondersteuning van vakmanschap, terwijl medewerkers hetzelfde systeem zien als een beperking van hun professionele ruimte. Beide ervaringen zijn relevante informatie. Zij zijn echter niet automatisch representatief voor de gehele organisatie.

Ten slotte zijn er normatieve keuzes. Hoeveel professionele autonomie moet behouden blijven? Welke afhankelijkheid van een buitenlandse leverancier is aanvaardbaar? Wanneer weegt een efficiencyvoordeel niet op tegen mogelijke uitsluiting? Welke toepassingen worden principieel niet gebruikt?

Die laatste vragen behoren tot de Convenant Dialoog. De briefing levert daarvoor de feiten, verwachtingen en ervaringen, maar neemt het antwoord niet over.

Een Amerikaans rechtsgebied is bijvoorbeeld een vaststelbaar onderdeel van de leverancierscontext. De vraag of de daaruit voortvloeiende juridische en strategische afhankelijkheid aanvaardbaar is, vraagt een bestuurlijke afweging. Dat een founder bijzondere stemrechten heeft, kan feitelijk worden onderzocht. Welke mate van geconcentreerde zeggenschap de organisatie verantwoord vindt bij een strategische leverancier, wordt in Fase 2 bepaald.

De briefing moet dit onderscheid in haar formuleringen bewaren. Zij schrijft niet dat een leverancier “onverantwoord” is wanneer informatie over zijn eigendomsstructuur ontbreekt. Zij stelt vast welke informatie ontbreekt, waarom die informatie relevant kan zijn en welke onzekerheid daardoor in de dialoog moet worden besproken.

Representatief in plaats van uitputtend

Een volledige inventarisatie van alle AI in een organisatie kan omvangrijk zijn. AI-functies worden voortdurend toegevoegd aan bestaande software, medewerkers starten nieuwe experimenten en leveranciers kunnen hun onderliggende modellen of infrastructuur wijzigen. Wanneer de dialoog pas mag beginnen nadat ieder systeem, contract en gegevensveld volledig is onderzocht, dreigt de voorbereiding zelf een langdurig programma te worden.

Dat is niet de bedoeling van Fase 1.

De Convenant Briefing moet een representatief beeld geven van het AI-landschap. Zij richt zich op toepassingen en afhankelijkheden die iets wezenlijks zichtbaar maken over de organisatie. Daarbij wordt gekeken naar de mogelijke gevolgen voor mensen, de betekenis voor de kernactiviteiten, het soort gegevens dat wordt gebruikt, de rol van AI in besluitvorming en de moeilijkheid om een systeem later weer te vervangen.

Een organisatie kan bijvoorbeeld een beperkt aantal contrasterende casussen onderzoeken: een generatieve kantoorassistent, een toepassing die professioneel advies ondersteunt, een systeem dat mensen classificeert of rangschikt en een platform dat diep in de technische infrastructuur wordt geïntegreerd. Samen kunnen zulke casussen meer inzicht geven in de fundamentele vragen dan een oppervlakkige lijst van tientallen vergelijkbare tools.

Deze risicogestuurde benadering sluit aan bij de OECD-richtlijnen, waarin brede identificatie wordt gevolgd door prioritering op basis van onder meer ernst en waarschijnlijkheid. Ook erkent de OECD dat niet iedere organisatie alle belanghebbenden bij ieder afzonderlijk systeem op dezelfde intensieve manier kan betrekken. De wijze en diepgang van onderzoek moeten aansluiten op de context en de mogelijke gevolgen. (OECD)

Representatief betekent niet vrijblijvend. De briefing moet juist de toepassingen opnemen die de grenzen van het toekomstige convenant kunnen beproeven. Een breed gebruikte schrijftool is relevant vanwege schaal en gegevensgebruik. Een kleinschalige HR-pilot kan relevant zijn vanwege de mogelijke gevolgen voor individuele medewerkers. Een cloudplatform kan relevant zijn omdat overstappen later moeilijk wordt, ook wanneer het op dat moment nog geen zichtbare beslissingen neemt.

Het criterium is niet hoeveel toepassingen zijn onderzocht, maar of de briefing de belangrijkste patronen, spanningen en afhankelijkheden zichtbaar maakt.

De zeven vragen van de Convenant Briefing

De briefing kan worden opgebouwd rond zeven onderzoeksvragen. Zij lopen vooruit op de onderwerpen van de Convenant Dialoog, zonder de normatieve antwoorden al vast te leggen.

1. Waarom wil de organisatie AI gebruiken en welk probleem denkt zij daarmee op te lossen?

De eerste vraag betreft de organisatorische aanleiding. Welke problemen, ambities en ontwikkelingen verklaren de belangstelling voor AI? Gaat het om personeelstekorten, administratieve belasting, kwaliteit van dienstverlening, commerciële druk, kostenbeheersing, kennisontwikkeling of de verwachting dat andere organisaties sneller zullen innoveren?

De briefing onderzoekt niet alleen de formeel uitgesproken doelstellingen. Zij kijkt ook naar de prikkels die rondom een toepassing bestaan. Een afdeling kan spreken over kwaliteitsverbetering, terwijl de begroting uitsluitend uitgaat van kostenbesparing. Een systeem kan als ondersteuning voor medewerkers worden gepresenteerd, terwijl de businesscase is gebaseerd op een afname van het aantal medewerkers. Zulke verschillen zijn geen bewijs van kwade intentie, maar zij zijn wel relevant voor de latere afweging.

Ook moet zichtbaar worden voor wie het veronderstelde probleem een probleem is. Een lange doorlooptijd kan belastend zijn voor klanten, maar ook vooral voor de interne planning. Een hoge administratieve last kan medewerkers hinderen, terwijl klanten juist waarde hechten aan de zorgvuldigheid die een deel van die administratie mogelijk maakt.

De briefing beschrijft daarnaast welke alternatieven zijn overwogen. Niet ieder organisatieprobleem vraagt om AI. Procesvereenvoudiging, betere informatievoorziening, andere software, aangepaste taakverdeling of extra personele capaciteit kunnen soms effectiever zijn. De vraag is in Fase 1 nog niet welk alternatief moet worden gekozen, maar wel of AI ten onrechte als vanzelfsprekend uitgangspunt is genomen.

Het resultaat is een beschrijving van de strategische context: het probleem dat men wil oplossen, de verwachte opbrengsten, de betrokken belangen en de aannames waarop deze verwachtingen rusten. In de Convenant Dialoog wordt vervolgens bepaald welke menselijke en maatschappelijke waarden bij deze ambities leidend moeten zijn.

2. Waar en hoe wordt AI daadwerkelijk gebruikt?

De tweede vraag brengt het werkelijke AI-gebruik in beeld. Daarbij is de toepassing belangrijker dan de productnaam.

Een systeem wordt daarom niet alleen geregistreerd als “generatieve AI” of “Microsoft Copilot”, maar beschreven aan de hand van zijn functie in het werkproces. Genereert het systeem ideeën of conceptteksten? Ordent het informatie? Voorspelt het gedrag? Rangschikt het personen? Signaleert het afwijkingen? Geeft het een aanbeveling? Neemt het zelfstandig een beslissing of voert het een handeling uit?

Daarnaast wordt onderzocht welke gegevens worden gebruikt, wie de toepassing bedient, wie de uitkomsten ontvangt en wie de gevolgen kan ondervinden. Ook de fase van gebruik is relevant: gaat het om een eerste verkenning, een pilot, een formeel ingevoerd systeem of een toepassing die inmiddels feitelijk onmisbaar is geworden?

De inventarisatie beperkt zich niet tot officieel ingekochte AI-producten. Relevante toepassingen kunnen zijn opgenomen in bestaande software, worden gebruikt door externe dienstverleners of via persoonlijke accounts door medewerkers zijn geïntroduceerd. Ook toepassingen die niet als AI worden verkocht, kunnen voorspellingen, classificaties of geautomatiseerde aanbevelingen bevatten.

De bedoeling is niet om iedere incidentele prompt van een medewerker te registreren. Het gaat om patronen van gebruik die betekenis hebben voor gegevens, werk, besluitvorming of afhankelijkheid.

De briefing moet bovendien laten zien hoe zeker het overzicht is. Wanneer alleen formele inkoopgegevens zijn onderzocht, is waarschijnlijk geen volledig beeld ontstaan van informeel gebruik. Wanneer een leverancier stelt dat een bestaande softwarefunctie geen AI bevat, moet duidelijk zijn of dit is geverifieerd of uitsluitend als leveranciersverklaring is overgenomen.

De uitkomst is een herkenbare landkaart van het huidige en voorgenomen AI-gebruik. Die landkaart maakt in Fase 2 een gesprek mogelijk over toepassingen die de organisatie wil stimuleren, alleen onder voorwaarden wil toestaan of geheel wil uitsluiten.

3. Hoe verandert AI het werk en de besluitvorming van mensen?

De derde vraag richt zich op de menselijke praktijk. Een formele procesbeschrijving kan vermelden dat een medewerker altijd verantwoordelijk blijft, maar zegt nog niet of die medewerker in de praktijk een zelfstandig oordeel kan vormen.

De briefing onderzoekt daarom wie een AI-systeem instrueert, wie de invoer selecteert, wie de uitkomst interpreteert en wie bevoegd is ervan af te wijken. Beschikt de verantwoordelijke persoon over voldoende tijd, kennis en informatie? Is het mogelijk om een uitkomst te corrigeren? Wordt afwijking gezien als professioneel handelen of als inefficiëntie? En is achteraf nog te reconstrueren hoe een beslissing tot stand kwam?

Ook de verdeling van werk verandert. AI kan routinetaken verminderen, maar nieuwe taken creëren op het gebied van controle, correctie, bronverificatie en herstel. Een toepassing kan medewerkers ondersteunen bij complexe analyses, maar ook leiden tot standaardisering of verlies van vaardigheden. Productiviteitswinst kan bij de organisatie terechtkomen, terwijl het extra controlewerk door medewerkers wordt gedragen.

De briefing moet deze gevolgen niet alleen uit managementrapportages afleiden. Medewerkers en hun vertegenwoordigers beschikken over informatie die in systeemdocumentatie doorgaans ontbreekt: hoe vaak een uitkomst moet worden hersteld, welke uitzonderingen niet in het systeem passen, wanneer tijdsdruk werkelijk menselijk toezicht verhindert en welke verantwoordelijkheden mensen wel formeel maar niet feitelijk kunnen dragen.

De OECD plaatst werknemers en andere betrokkenen nadrukkelijk in het onderzoek naar AI-gevolgen. Betekenisvolle betrokkenheid vraagt volgens de organisatie om tijdige, tweezijdige informatie-uitwisseling, zodat ervaringen kunnen worden meegewogen voordat belangrijke besluiten definitief zijn. (OECD)

Fase 1 bepaalt nog niet welke taken of beslissingen menselijk moeten blijven. Zij maakt zichtbaar waar verantwoordelijkheid, autonomie en zeggenschap nu al verschuiven. De principiële grens wordt in de Convenant Dialoog vastgesteld.

4. Wie ondervindt de gevolgen en wiens perspectief ontbreekt?

De directe gebruiker van een AI-systeem is niet noodzakelijk degene die het grootste voordeel of risico ervaart. Een recruiter bedient een selectietool, maar sollicitanten worden beoordeeld. Een medewerker gebruikt een schrijftool, maar een klant ontvangt de gegenereerde informatie. Een organisatie koopt een model in, terwijl gegevensverzameling, labeling of moderatie elders in de keten worden uitgevoerd.

De briefing brengt daarom de relevante belanghebbenden in kaart. Dat kunnen medewerkers, sollicitanten, klanten, burgers, patiënten, leerlingen, zelfstandigen, ketenpartners, makers, gegevensverstrekkers en lokale gemeenschappen zijn. Niet iedere groep hoeft bij ieder systeem rechtstreeks te worden geraadpleegd. Wel moet worden onderzocht wie betekenisvolle gevolgen kan ondervinden en wie in de bestaande besluitvorming nauwelijks zichtbaar is.

Vervolgens wordt gekeken naar de verdeling van voordelen, lasten en onzekerheden. Wie bespaart tijd? Wie moet extra controleren? Wie draagt de gevolgen van een fout? Wie kan bezwaar maken? Wie kan besluiten een systeem niet te gebruiken? Wie beschikt over voldoende informatie om te begrijpen dat AI een rol heeft gespeeld?

De briefing hoeft nog geen volledig impact assessment voor iedere toepassing uit te voeren. Zij moet wel signaleren waar mogelijk sprake is van ernstige, langdurige of moeilijk herstelbare gevolgen. Klachten, incidenten, gebruiksgegevens, interviews en ervaringen van betrokkenen kunnen daarbij naast technische prestaties worden gelegd.

Een gemiddelde nauwkeurigheid zegt bijvoorbeeld weinig over de verdeling van fouten. Een systeem kan gemiddeld goed functioneren en toch een beperkte groep structureel benadelen. Een efficiencyvoordeel kan aanzienlijk zijn, maar vooral ten goede komen aan de organisatie terwijl betrokken personen minder toegang tot menselijke ondersteuning krijgen.

De OECD wijst erop dat gevolgen zich in verschillende delen van de AI-keten kunnen voordoen, van dataverzameling en arbeidsomstandigheden tot monitoring van werknemers en geautomatiseerde publieke dienstverlening. Betrokkenheid van belanghebbenden is daarom niet alleen een communicatiemiddel, maar ook een bron voor het identificeren van gevolgen die intern gemakkelijk buiten beeld blijven. (OECD)

De briefing legt deze verdeling bloot. De Convenant Dialoog bepaalt vervolgens hoe de organisatie de verschillende belangen wil wegen.

5. Van wie is de technologie, onder welke jurisdicties opereert zij en welke afhankelijkheden ontstaan?

Een AI-tool is zelden één afgebakend product van één onderneming in één land. Achter de zichtbare interface kunnen een afzonderlijke modelaanbieder, cloudprovider, gegevensleverancier, integratiepartner en reeks onderaannemers schuilgaan. De partij die het contract ondertekent, hoeft niet de partij te zijn die het systeem feitelijk controleert of de belangrijkste technische keuzes maakt.

De herkomst van de technologie verdient daarom een zelfstandige plaats in de briefing.

Eigendom en zeggenschap

Eerst wordt vastgesteld met welke rechtspersoon de organisatie contracteert, tot welke groep deze onderneming behoort en waar de uiteindelijke zeggenschap ligt. Daarbij kan worden gekeken naar de moedermaatschappij, bestuurssamenstelling, uiteindelijke belanghebbenden, belangrijke aandeelhouders en bijzondere stemrechten.

De founder is relevant wanneer deze nog materiële invloed heeft op de koers van de onderneming. Die invloed kan voortkomen uit een bestuurspositie, vetorechten, bijzondere aandelenklassen of een structuur waarin een relatief beperkt economisch belang toch een groot deel van de stemmacht vertegenwoordigt.

Hetzelfde geldt voor aandeelhouders en financiers. Hun relevantie ligt niet in hun persoonlijke achtergrond, maar in hun mogelijke invloed op strategie, groei, verdienmodel, risicobereidheid en continuïteit. De OECD-principes voor ondernemingsbestuur benadrukken daarom het belang van inzicht in groepsstructuren, economisch eigendom, stemrechten en constructies waarmee partijen directe of indirecte controle kunnen uitoefenen. (OECD)

De briefing hoeft geen biografisch onderzoek naar iedere founder of investeerder te bevatten. Zij moet vaststellen wie feitelijk kan beslissen over onderwerpen die voor de organisatie relevant zijn: gegevensgebruik, productrichting, veiligheidsbeleid, beschikbaarheid en contractvoorwaarden.

Juridische en geografische herkomst

Het land van herkomst is relevant, maar vormt geen eenvoudig oordeel over betrouwbaarheid. Een Nederlandse leverancier kan afhankelijk zijn van Amerikaanse modellen en Aziatische infrastructuur. Een buitenlandse leverancier kan gegevens binnen Europa verwerken en sterke contractuele en technische waarborgen bieden.

De briefing onderscheidt daarom verschillende juridische aanknopingspunten: het land van oprichting, de plaats van feitelijke leiding, het recht dat op het contract van toepassing is, de locaties waar gegevens worden verwerkt, de jurisdictie van de model- en cloudleverancier en de rechtsgebieden waarin onderaannemers actief zijn.

Bij persoonsgegevens kunnen deze locaties directe juridische betekenis hebben. De AVG stelt specifieke voorwaarden aan doorgiften buiten de Europese Economische Ruimte en verlangt, afhankelijk van de situatie, passende waarborgen en effectieve mogelijkheden voor betrokkenen om hun rechten uit te oefenen. (Europees Gegevensbeschermingscomité)

De briefing hoeft in deze fase nog niet iedere internationale gegevensdoorgifte volledig juridisch te beoordelen. Zij moet wel zichtbaar maken waar gegevens terechtkomen, welke rechtsgebieden relevant zijn en waar onvoldoende informatie beschikbaar is.

Technische herkomst

Vervolgens wordt onderzocht welke technische partijen en componenten een toepassing mogelijk maken. Gebruikt de leverancier een eigen model of een model van een derde? Op welke cloudomgeving draait het systeem? Welke databronnen, plug-ins, zoekdiensten en beveiligingscomponenten zijn verbonden? Welke partijen kunnen gegevens ontvangen? Kan de leverancier het onderliggende model of de verwerkingslocatie wijzigen zonder voorafgaande toestemming?

Dit is niet alleen een privacyvraag. Een kwetsbaarheid, storing of beleidswijziging bij een onderliggende leverancier kan doorwerken in de gehele toepassing. ENISA behandelt AI-beveiliging daarom vanuit de volledige levenscyclus en toeleveringsketen, inclusief de betrokken technologieën, processen en partijen. (ENISA)

Economische herkomst en verdienmodel

Ook het verdienmodel behoort tot het herkomstbeeld. Wordt betaald per gebruiker, per hoeveelheid verwerkte data of per gegenereerde uitkomst? Kan ingevoerde informatie worden gebruikt voor productverbetering of training? Is de huidige prijs waarschijnlijk duurzaam of vooral bedoeld om snelle adoptie te bevorderen? Kan de leverancier voorwaarden of gebruikslimieten eenzijdig wijzigen?

Deze vragen maken zichtbaar welke commerciële prikkels achter een product bestaan. Zij bewijzen niet dat een leverancier onverantwoord zal handelen, maar helpen de organisatie te begrijpen welke belangen kunnen doorwerken in toekomstige keuzes.

Afhankelijkheid en vertrekbaarheid

Ten slotte wordt onderzocht welke afhankelijkheid ontstaat. Kan de organisatie haar gegevens, configuraties en opgebouwde kennis exporteren? Kan een ander model worden aangesloten? Zijn werkprocessen zodanig rond één leverancier gebouwd dat overstappen vrijwel onuitvoerbaar wordt? Bestaat er een terugvalmogelijkheid wanneer de dienst uitvalt of wordt beëindigd?

De Europese Data Act bevat regels die overstappen tussen aanbieders van dataverwerkingsdiensten en interoperabiliteit moeten vergemakkelijken. Het bestaan van zulke regels neemt de operationele afhankelijkheid echter niet automatisch weg. Technische integraties, kennisverlies en opnieuw inrichten van processen kunnen nog steeds aanzienlijke belemmeringen vormen. (Digitale Strategie Europa)

De diepgang van dit herkomstonderzoek moet proportioneel zijn. Een incidentele toepassing zonder vertrouwelijke gegevens vraagt niet dezelfde analyse als een systeem dat personeelsbesluiten ondersteunt of onderdeel wordt van de kerninfrastructuur. De briefing levert een eerste, risicogestuurd herkomstbeeld. Volledige due diligence per leverancier volgt later, aan de hand van de criteria en grenzen die de organisatie in het convenant vastlegt.

6. Wat is de bestaande juridische en bestuurlijke uitgangspositie?

De zesde vraag beschrijft welke afspraken de organisatie rond AI op dit moment heeft. Welke beleidsdocumenten bestaan al? Wie mag een toepassing aanschaffen of starten? Welke rol hebben bestuur, proceseigenaren, IT, inkoop, privacy, security, juridische zaken, HR en medezeggenschap? Waar kunnen medewerkers incidenten of twijfels melden? Wie kan een toepassing stilleggen?

De briefing kijkt niet alleen naar formele verantwoordelijkheden, maar ook naar hun praktische werking. Een goedkeuringsprocedure heeft weinig betekenis wanneer afdelingen deze eenvoudig kunnen omzeilen. Een AI-register biedt beperkt inzicht wanneer het niet wordt bijgewerkt. Een incidentprocedure functioneert niet wanneer medewerkers niet weten wat als AI-incident geldt.

Ook bestaande waarden, gedragscodes, klantbeloften en professionele standaarden worden onderzocht. Een organisatie kan al verplichtingen hebben ten aanzien van menselijke dienstverlening, non-discriminatie, vertrouwelijkheid of professionele onafhankelijkheid. De briefing maakt zichtbaar waar AI-gebruik deze bestaande afspraken ondersteunt, onder druk zet of eenvoudigweg nog niet door het beleid wordt behandeld.

De juridische context wordt op hoofdlijnen beschreven. Daarbij kan onder meer sprake zijn van privacyrecht, arbeidsrecht, consumentenrecht, intellectuele eigendom, cybersecurityregels, sectorale wetgeving en de Europese AI-verordening. Het doel is niet om in Fase 1 voor iedere toepassing een definitief juridisch oordeel te geven. Wel moet duidelijk zijn welke wettelijke rollen en verplichtingen waarschijnlijk relevant zijn en waar specialistisch onderzoek nodig is.

Een expliciete peildatum is daarbij noodzakelijk. De AI-verordening wordt gefaseerd van toepassing en delen van de praktische uitwerking, richtsnoeren en tijdlijn blijven in ontwikkeling. Een juridische briefing die niet vermeldt op welke datum zij is gebaseerd, kan daardoor snel een onjuist beeld geven. (Digitale Strategie Europa)

De uitkomst is een bestuurlijk en juridisch nulbeeld. De briefing stelt vast wat al bestaat, wat in de praktijk functioneert en waar verantwoordelijkheden of bevoegdheden onduidelijk zijn. In Fase 2 bepaalt de organisatie hoe zij transparantie, toezicht, tegenspraak, verantwoordelijkheid en herstel voortaan wil organiseren.

7. Welke wezenlijke keuzes liggen voor?

Het laatste onderdeel brengt de bevindingen uit de briefing samen in een beslisagenda voor de Convenant Dialoog.

Niet iedere constatering vraagt om een organisatiebreed beginsel. Een ontbrekende contractbijlage kan operationeel worden opgelost. Een verouderde toegangsinstelling kan door IT worden hersteld. De beslisagenda richt zich op kwesties die niet uitsluitend technisch, juridisch of administratief kunnen worden afgehandeld.

Dat zijn bijvoorbeeld situaties waarin:

• een toepassing aantoonbare efficiencyvoordelen biedt, maar professionele autonomie vermindert;
• de best presterende leverancier beperkt inzicht geeft in eigendom, modellen of gegevensverwerking;
• een systeem gemiddeld goed functioneert, maar voor een kleine groep mogelijk ernstige gevolgen heeft;
• menselijke controle formeel aanwezig is, maar door tijdsdruk nauwelijks betekenis heeft;
• medewerkers publieke AI-tools gebruiken omdat de organisatie geen werkbaar alternatief aanbiedt;
• een strategisch platform moeilijk vervangbaar wordt voordat de organisatie heeft bepaald welke afhankelijkheid zij aanvaardbaar vindt.

Iedere kwestie wordt zo neutraal mogelijk beschreven. De briefing vermeldt de beschikbare feiten, de belangrijkste aannames, de betrokken groepen, de ontbrekende informatie en de realistische handelingsmogelijkheden. Vervolgens wordt duidelijk gemaakt welk deel van de kwestie een bestuurlijke of normatieve keuze vraagt.

Een beslisvraag kan dan bijvoorbeeld luiden:

Een leverancier biedt de beste technische prestaties, maar geeft beperkt inzicht in de onderliggende modelketen en valt voor belangrijke onderdelen onder een andere jurisdictie. Welke mate van transparantie en afhankelijkheid vinden wij aanvaardbaar voor een toepassing in een kernproces?

Of:

AI verkort de gemiddelde behandeltijd, maar medewerkers geven aan dat uitzonderlijke gevallen minder ruimte krijgen voor professionele beoordeling. Welke beslissingen mogen door AI worden voorbereid en welke ruimte moet altijd voor menselijk oordeel behouden blijven?

De briefing beantwoordt deze vragen niet. Zij zorgt dat de deelnemers aan Fase 2 begrijpen waar de keuze over gaat en welke gevolgen aan verschillende antwoorden verbonden kunnen zijn.

Hoe de briefing wordt samengesteld

Een geloofwaardige briefing berust niet op één informatiebron. Leveranciersdocumentatie beschrijft meestal de bedoelde werking van een systeem. Zij zegt minder over informeel gebruik, ervaren gevolgen of de manier waarop mensen onder tijdsdruk met uitkomsten omgaan. Contracten beschrijven formele afspraken, maar geven niet altijd inzicht in de volledige technische keten. Interviews leveren praktijkkennis op, maar moeten worden getoetst op reikwijdte en representativiteit.

Daarom worden verschillende bronnen gecombineerd. Relevante informatie kan afkomstig zijn uit strategische stukken, beleidsdocumenten, inkoopgegevens, contracten, systeemarchitectuur, interviews, incidentmeldingen, klachten, evaluaties, technische documentatie en openbare bedrijfsinformatie. Ook medewerkers, medezeggenschap en mogelijk getroffen externe groepen leveren informatie die niet uit systemen of contracten kan worden afgeleid.

Waar mogelijk wordt een bevinding door meer dan één bron ondersteund. Een bewering van een leverancier dat gegevens uitsluitend in Europa worden verwerkt, kan worden vergeleken met contractuele afspraken, lijsten van subverwerkers en de technische inrichting. De verklaring van een afdeling dat medewerkers altijd zelfstandig beslissen, kan worden getoetst aan werkdruk, bevoegdheden en feitelijke processtappen.

Bij iedere belangrijke bevinding worden de bron, datum en mate van zekerheid vermeld. Daarbij kan onderscheid worden gemaakt tussen geverifieerde feiten, verklaringen van betrokken partijen, waargenomen ervaringen, onderbouwde verwachtingen en nog onbeantwoorde vragen.

Een leveranciersverklaring is bruikbare informatie, maar moet niet zonder meer als onafhankelijk vastgesteld feit worden gepresenteerd. Een ervaring van een medewerker is relevant bewijs over de werkpraktijk, maar bewijst niet automatisch dat iedere medewerker dezelfde ervaring heeft. Juist door de status van informatie zichtbaar te maken, voorkomt de briefing dat schijnzekerheid ontstaat.

Wie bij de briefing betrokken zijn

De briefing vraagt om een duidelijke bestuurlijke opdrachtgever. Zonder toegang tot contracten, technische informatie en medewerkers kan geen betrouwbaar beeld ontstaan. Tegelijkertijd moet het onderzoek voldoende onafhankelijk worden uitgevoerd om ook ongewenste bevindingen te kunnen opnemen.

Geen enkele discipline kan de briefing alleen opstellen. Technische kennis is nodig om modellen, data en infrastructuur te begrijpen. Inkoop en juridische zaken kennen de formele relaties met leveranciers. Privacy en security kunnen gegevensstromen en beveiligingsrisico’s beoordelen. HR, medezeggenschap en uitvoerende professionals maken zichtbaar wat systemen met werk en verantwoordelijkheden doen. Proceseigenaren kennen de operationele context. Externe betrokkenen kunnen gevolgen benoemen die intern niet worden waargenomen.

Leveranciers kunnen informatie aanleveren, maar behoren niet de conclusies over hun eigen technologie te bepalen. Juristen kunnen aangeven welke verplichtingen gelden, maar niet zelfstandig bepalen welke risico’s de organisatie maatschappelijk of professioneel aanvaardbaar vindt. Bestuurders bepalen in Fase 2 de uiteindelijke richting, maar moeten vooraf kunnen beschikken over informatie die buiten hun gebruikelijke rapportagelijnen valt.

Niet alle informatie hoeft publiek te worden gemaakt. Contractuele, beveiligings- of persoonsgegevens kunnen vertrouwelijkheid vereisen. De interne deelnemers aan de dialoog moeten echter wel toegang hebben tot de informatie die nodig is om de wezenlijke keuzes te begrijpen. Vertrouwelijkheid mag niet worden gebruikt om relevante afhankelijkheden of onzekerheden buiten de bestuurlijke afweging te houden.

Wat de Convenant Briefing oplevert

De opbrengst van Fase 1 moet compact genoeg zijn om daadwerkelijk als voorbereiding op de dialoog te functioneren. Een stapel technische rapporten zonder samenhang vormt geen briefing.

Het hoofdproduct is een narratief organisatiebeeld. Daarin worden de aanleiding voor AI-gebruik, de belangrijkste toepassingen, de gevolgen voor werk en betrokkenen, de leveranciers- en afhankelijkheidsstructuur en de bestaande bestuurlijke uitgangspositie in samenhang beschreven.

Onderliggende informatie kan worden opgenomen in bijlagen of werkdocumenten. Daarbij kan worden gedacht aan een globale kaart van het AI-landschap, een beperkt aantal uitgewerkte casussen, een overzicht van betrokken groepen, een eerste herkomst- en afhankelijkheidsanalyse en een lijst van ontbrekende informatie.

De briefing eindigt met een beslisagenda. Daarin worden de onderwerpen opgenomen waarover de organisatie in de Convenant Dialoog werkelijk positie moet kiezen. Feiten die nog kunnen worden aangevuld, blijven als onderzoeksvraag zichtbaar. Normatieve verschillen worden niet kunstmatig opgelost.

De briefing draagt bovendien een datum en versienummer. Zij is een momentopname, geen permanente waarheid over de organisatie. Nieuwe toepassingen, gewijzigde leveranciersstructuren en veranderende regelgeving kunnen later aanleiding geven om onderdelen te actualiseren. Het convenant zelf kan stabielere beginselen bevatten, maar de feitelijke ondergrond waarop het wordt toegepast zal blijven veranderen.

De overgang naar Fase 2

Voorafgaand aan de Convenant Dialoog krijgen de deelnemers gelegenheid om feitelijke onjuistheden te signaleren en ontbrekende informatie aan te vullen. Deze validatie is niet bedoeld om consensus te bereiken over de betekenis van alle bevindingen.

Een bestuurder en een medewerker kunnen dezelfde procesverandering anders beoordelen. Een technische afdeling kan een afhankelijkheid beheersbaar vinden, terwijl inkoop of juridische zaken daar anders naar kijken. Zulke verschillen hoeven in de briefing niet te worden gladgestreken. Wanneer zij voortkomen uit verschillende belangen, waarden of risicobeelden, behoren zij juist tot de inhoud van de dialoog.

De zeven onderzoeksvelden van de briefing leveren vervolgens de basis voor de zeven vragen van Fase 2. De strategische context voedt het gesprek over de waarden die de organisatie met AI wil dienen. De analyse van werk en besluitvorming maakt zichtbaar welke menselijke verantwoordelijkheid op het spel staat. Het toepassingenlandschap ondersteunt het gesprek over grenzen. De stakeholderanalyse toont voor wie waarde en nadeel ontstaan. Het herkomstonderzoek maakt afhankelijkheden en machtsverhoudingen bespreekbaar. Het beeld van toezicht en tegenspraak vormt de basis voor toezicht, tegenspraak en herstel. De beslisagenda helpt om deze keuzes uiteindelijk om te zetten in concrete, toetsbare beloften.

Fase 1 levert daarmee nog geen convenant op. Zij maakt zichtbaar wat de organisatie doet, verwacht, ondervindt en nog niet weet. Pas in Fase 2 bepaalt de organisatie welke waarden zij leidend maakt, welke verantwoordelijkheid zij behoudt, welke grenzen zij stelt en aan welke beloften zij zich wil verbinden.