De EU AI Act duwt AI-governance de operatie in

De Europese Commissie heeft verduidelijkt hoe aanbieders van general-purpose AI-modellen aan de AI Act moeten voldoen. In haar guidance staat dat de verplichtingen voor aanbieders van GPAI-modellen sinds 2 augustus 2025 van toepassing zijn, en dat de handhavingsbevoegdheden van de Commissie vanaf 2 augustus 2026 ingaan, inclusief boetes.

De Commissie en de AI Board bevestigen ook dat de General-Purpose AI Code of Practice een geschikt vrijwillig instrument is waarmee GPAI-aanbieders compliance kunnen aantonen. Simpel gezegd: AI-governance is geen abstract beleidsgesprek meer. Het wordt uitvoerbaar werk.

Waarom dit ook relevant is als je geen modelbouwer bent

De meeste bedrijven trainen geen frontier models. Ze gebruiken AI in klantenservice, documentverwerking, sales operations, compliance, finance, engineering of interne kennisprocessen. Daarmee verdwijnt governance niet. De plek waar governance moet landen verandert.

Zolang AI vooral een chatbot naast het werk is, lijkt governance op inkoopbeleid en gebruiksregels. Zodra AI dossiers leest, e-mails samenvat, besluiten voorbereidt, tickets verrijkt of acties richting bedrijfssystemen klaarzet, wordt governance operationele architectuur.

Het zwakke patroon: beleid zonder runtime-control

De bekende fout: een organisatie schrijft een AI-policy, keurt een paar tools goed, draait pilots en denkt dat er grip is. Die grip is er dan nog niet. Beleid vertelt niet welke bron is gebruikt, welke gebruiker toegang had, welk model de taak uitvoerde, of een mens het resultaat heeft goedgekeurd, of hoe je achteraf het beslisspoor reconstrueert.

Dat gat moeten bedrijven dichten voordat AI kan opschalen. Governance moet zichtbaar worden in het systeem zelf: identiteit, permissies, bronafbakening, modelkeuze, evaluatie, audit trails, escalatiepaden en duidelijke grenzen tussen wat AI mag voorbereiden en wat AI zelfstandig mag uitvoeren.

Het praktische operating model

Voor Laava is dit het nuttige frame: bedrijven hebben een AI operating layer nodig. Geen slidedeck. Geen losse assistent. Een operating layer verbindt data, methodes, tools, governance, kanalen en agents zodat AI in de business kan meewerken zonder controle te verliezen.

Dat begint met nuchtere vragen:

• Welke databronnen mag een AI-workflow gebruiken, en onder welke permissies?
• Welke taken zijn laag-risico genoeg voor automatisering, en waar blijft menselijke goedkeuring nodig?
• Welke modellen zijn toegestaan voor welke dataklassen en kostenprofielen?
• Welke bewijslast, bronverwijzingen, logs en reviewstappen zijn verplicht?
• Wie is eigenaar van de workflow nadat de eerste pilot live staat?

Dat klinkt minder spannend dan een nieuw model. Het is wel het verschil tussen een AI-experiment en een systeem dat in productie kan draaien.

Wat bedrijven nu moeten doen

Begin niet met compliancepaniek. Begin met een inventarisatie van echte AI-workflows: waar gevoelige data binnenkomt, waar output invloed heeft op een beslissing, waar een tool terugschrijft naar een ander systeem en waar een mens verantwoordelijk moet blijven.

Ontwerp daarna de controles in de workflow. Voor documentintensieve en procesintensieve organisaties betekent dat: retrieval met permissies, bronverwijzingen, gecontroleerde modelkeuze, actiegrenzen, logging en human-in-the-loop review. Governance wordt lichter wanneer het in de flow zit, in plaats van er achteraf bovenop geplakt te worden.

De EU AI Act is een regulatoir signaal, maar het businesspunt is breder. Bedrijven die AI-native willen werken hebben meer nodig dan toegang tot sterke modellen. Ze hebben operationele discipline nodig rond hoe AI kennis gebruikt, werk voorbereidt en aansluit op de systemen waar mensen al op vertrouwen.