Wie vraagt wat het kost om compliance en risico gereed te maken voor AI, vraagt eigenlijk iets anders: wat moet er staan voordat werk dat nu bij compliance- en risicofunctionarissen ligt, gedeeltelijk of volledig door AI gedaan kan worden. Dat is geen inrichtingsvraag over software. Het is een vraag over gereedheid: kan de organisatie op dit moment aantonen hoe een besluit is genomen, wie het heeft goedgekeurd en op welke grond, zodat AI-werk daar veilig op kan aansluiten.
Compliance en risico zijn in veel directies het gebied waar ambitie en gereedheid het verst uit elkaar liggen. Iedereen is voor versnelling. Niemand wil de eerste zijn wiens dossier straks niet reconstrueerbaar is.
Overal waar AI werk overneemt, geldt een van drie situaties. AI kan de taak overnemen. AI kan de taak deels overnemen, met een mens die goedkeurt of afkeurt en dat met een reden onderbouwt. Of het blijft mensenwerk, omdat de aard van de beslissing dat vereist.
Binnen compliance en risico verschuift het zwaartepunt sneller dan elders naar de tweede categorie. Het signaleren van afwijkingen, het samenvatten van regelgeving, het voorbereiden van een risicoanalyse: dat is werk waar een groot deel van de kantooruren al te herleiden is naar patroonherkenning en documentatie, taken waar AI zich toe leent. Het accorderen van die uitkomst, met een onderbouwing die bij toetsing overeind blijft, is een ander soort werk. Daar zit de mens niet meer om het werk te doen, maar om het te dragen.
Dat onderscheid is precies waar veel directieteams elkaar mislopen. De ene manager bedoelt met "AI-klaar" dat het systeem een risicorapport kan opstellen. De andere bedoelt dat een toezichthouder het proces kan volgen zonder aanvullende vragen. Beide hebben gelijk en beide hebben het over iets anders. Wat mensen bedoelen als ze het over dezelfde ambitie hebben, is precies waar veel van dit soort verwarring vandaan komt, zoals te zien is op de pagina over uiteenlopende betekenissen van dezelfde woorden.
Sommige organisaties merken dit verschil vandaag al. Zij hebben besluitlogica die te herleiden is: wie heeft dit dossier beoordeeld, op basis van welke informatie, en met welke afweging. Bij hen kan AI-werk in de eerste schakel van het proces worden ingebracht, omdat de tweede schakel, het menselijk toezicht, al bestaat en aantoonbaar functioneert.
Andere organisaties hebben diezelfde logica niet vastgelegd. Beoordelingen leven in hoofden, in losse e-mails, in een gevoel bij een senior medewerker die weet wanneer iets "niet klopt". Daar kan AI-werk best inhoudelijk goed zijn, maar niemand kan aantonen waarom het is goedgekeurd of afgekeurd. Het verschil zit dus niet in de kwaliteit van de AI. Het zit in de vraag of de organisatie haar eigen besluitvorming al kan reconstrueren, met of zonder AI.
Gereedheid op deze dimensie merkt u niet aan een technisch label, maar aan een paar concrete zaken. Kan iemand binnen een dag aantonen op welke grond een risicobeoordeling drie maanden geleden is goedgekeurd. Is er een vastgelegd escalatiepad wanneer een systeem een afwijking signaleert die een mens vervolgens beoordeelt. Ligt vast wie welk besluit mag nemen, en is dat besluitrecht ooit expliciet toegekend of is het gegroeid.
Deze vragen raken governance in de brede zin. Wie wil weten hoe die besluitrechten er nu voorstaan, los van de AI-vraag, vindt dat terug op de pagina over de gereedheid van strategie en governance. En omdat compliance zelden op zichzelf staat, raakt het al snel de vraag hoe processen zijn ingericht: staat vast wie welke stap in een proces uitvoert en waarom, iets dat wordt uitgewerkt op de pagina over de gereedheid van processen en operatie.
Als AI het eerste deel van compliance- en risicowerk overneemt, verandert de rol van de mens van uitvoerder naar beoordelaar. Dat vraagt andere vaardigheden: niet het opstellen van een analyse, maar het kritisch toetsen van een analyse die al is opgesteld. Het vraagt ook een ander soort vastlegging, omdat toezichthouders en auditors niet vragen naar wat het systeem heeft gedaan, maar naar wie daarna heeft beslist en waarom.
Dit raakt onvermijdelijk de vraag wat er met vrijgespeelde capaciteit gebeurt: uren die eerst gingen naar het opstellen van rapportages, komen vrij voor beoordeling, escalatie of verdieping. Wat een werkgever daarmee doet, valt buiten deze pagina; daarvoor gelden eigen wettelijke vereisten, en die worden hier niet behandeld.
De kosten van gereedheid zitten niet in een AI-systeem, maar in het werk dat daarvoor nodig is: besluitlogica expliciet maken, escalatiepaden vastleggen, besluitrechten toewijzen aan rollen in plaats van aan personen. Hoeveel dat werk vraagt, hangt af van hoeveel van die logica al vastligt en hoeveel nog in hoofden zit. Bij sommige organisaties is dat een kwestie van ordenen, bij andere van vrijwel vanaf nul opbouwen.
Of die verschuiving voor uw organisatie realistisch is op korte termijn, hangt niet alleen af van compliance en risico op zichzelf. Ambities die elkaar tegenwerken tussen afdelingen vertragen ook hier de voortgang, een patroon dat wordt beschreven op de pagina over conflicterende afdelingsdoelen, en de financiele kant van deze verschuiving, inclusief de vraag wat vrijgespeelde capaciteit oplevert, staat op de pagina over financiele veerkracht.
Welk deel van het compliance- en risicowerk in uw organisatie precies is over te nemen door AI, met menselijk toezicht of niet, is per taak te beantwoorden met de werkscan van FTE TO AI. Voor een eerste beeld van waar uw organisatie het verst en het minst ver is, is er de gratis gereedheidscheck: acht korte vragen, een per dimensie, die in enkele minuten laten zien waar de ambitie voorop loopt op de organisatie en waar niet. De volledige ambitietoets, met de vier lagen en vijf confidence gates, is in aanbouw.
Vertel wat u wilt bereiken, dan kijken we samen wat daarvoor moet staan.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.