AI versus menselijke ondersteuning: Wat kleinere organisaties echt nodig hebben.

Artificial Intelligence speelt inmiddels een zichtbare rol in cybersecurity en compliance. Tools beloven snellere risicobeoordelingen, geautomatiseerde documentatie en directe antwoorden op complexe regulatoire vragen. Voor kleinere organisaties die aan de NIS2, ISO27001 of NEN7510 willen voldoen met budgetten, kan AI eruitzien als een makkelijke oplossing. 

Maar wanneer contracten en en compliance vanuit toezicht op het spel staan, is het cruciaal om te begrijpen waar AI helpt en waar menselijke ondersteuning nog steeds onmisbaar is.  

Waar AI Waarde Toevoegt

AI is een krachtige accelerator wanneer het correct wordt ingezet. Het vervangt geen menselijke expert, maar kan wel aanzienlijk lager gelegen en repetitieve taken reduceren. 

• Onderzoek en toelichting: Voor standaarden zoals ISO27001, NEN7510, VG en zelfs de AI-act kan Artificial Intelligence sectoren samenvatten, terminologie verduidelijken en eisen uitleggen in begrijpelijke taal voor niet-technische stakeholders. 
  
  
• Het opstellen van templates en documentatie: AI leent zich uitstekend voor het creëren van concepten van incident response-plannen, risicobeoordeling-vragenlijsten, due diligence-formulieren voor leveranciers, trainingsplannen, noem maar op. Deze vormen echter slechts een startpunt. Vaak met een opsomming van drie punten. 

Kortom: AI excelleert in informatieverwerking, contentcreatie en het toegankelijk maken van complexe thema's. Het kan een grote hulp zijn voor een klein compliance- of IT-team. 

Waar AI Tekortschiet 

De zwaktes van AI worden zichtbaar wanneer je van "informatie en opstellen" naar "oordeel en verantwoordelijkheid" gaat.  

• Gebrek aan diepe zakelijke context: AI begrijpt jouw omgeving niet: legacy-systemen, hybride cloud-opstellingen, budgetten, vaardigheidsniveaus van personeel, operationele realiteiten of contractuele afhankelijkheden. Compliance is niet één-op-één toepasbaar en AI kan niet door jouw organisatie wandelen, personeel interviewen of zien hoe het werk werkelijk verloopt. 
  
  
• Gevorderde interpretatie van regelgeving: Kleine organisaties krijgen vaak te maken met overlappingen zoals ISO27001 en NEN7510 of ISO9001. Het interpreteren van hoe deze voor jouw organisatie samenkomen vereist genuanceerd oordeel. AI kan verklaringen geven die redelijk klinken maar niet volledig correct zijn of niet aansluiten bij de verwachtingen van assessoren. 
  
  
• Geen eigenaarschap van risico's: AI neemt geen beslissingen en neemt geen verantwoordelijkheid. Het staat niet naast jou tijdens een BIO-assessment, een review of een reguliere toetsing. JIJ draagt de uitkomst, zelfs als AI invloed heeft gehad. 
  
  
• Potentiële fouten en hallucinaties: AI-systemen kunnen regelgevingstaal verkeerd interpreteren of onjuiste antwoorden genereren. Zonder review door een expert loop je het risico fouten in te bouwen in je compliance-programma, wat mogelijk pas bovenkomt wanneer een assessor of hoofdcontractant harde vragen stelt. 
  
  

Wat professionele menselijke ondersteuning levert

Een ervaren CISO, Privacy- of compliance officer biedt meer dan compliance-documentatie; deze brengt context, oordeel en advocatuur mee. Dat doen zij door: 

• Maatwerk, realistisch programmadesign: Een menselijke expert vraagt: "Hoe voldoen we aan de norm-eisen in jouw omgeving?" Zij stemmen controls af op bestaande infrastructuur, personeelscapaciteit en zakelijke prioriteiten in plaats van generieke templates toe te passen. 
  
  
• Prioritering en roadmap: Wanneer alles dringend lijkt, sorteren experts échte "must-haves" van "nice-to-haves", en organiseren remediatie om de hoogste-risico en hoogste-impact punten aan te pakken. 
  
  
• Praktische implementatiebegeleiding: Consultants helpen bij het selecteren van geschikte tools, het definiëren van processen, het structureren van trainingen en het navigeren in organisatorische verandering. Ze hebben gezien waar implementaties meestal falen en helpen veelgemaakte fouten te vermijden. 
  
  
• Communicatie met stakeholders: Menselijke experts vertalen technische eisen naar duidelijke verhalen voor executives, primes en assessoren. Ze helpen bij het formuleren van reacties op assessmentbevindingen en communiceren voortgang effectief. 
  
  
• Verantwoordelijkheid en vertegenwoordiging: Tijdens assessments, reviews of incidenten kan een consultant naast je staan, jouw programma uitleggen en bijstaan in het verdedigen van jouw beslissingen. Zij zijn een kritiek onderdeel van jouw team. 

Het meest effectieve model: AI plus menselijke expertise

De beste vraag is niet "AI of Expert?" maar "Hoe combineren we beide?" 

Voor kleine organisaties richt een praktische aanpak zich op opstellen en besluitvorming: 

• Gebruik AI voor opstellen en onderzoek: AI genereert conceptversies van beleidsstukken, procedures en trainingcontent. De consultant evalueert, corrigeert en past deze output aan op jouw werkelijke omgeving en huidige eisen. 
  
  
• Behoud menselijk oordeel voor design en beslissingen: Echte mensen leiden risicobeslissingen, prioritering van remediatie en strategische planning. Zij vertegenwoordigen jou ook tegenover auditors of assessoren. 

Dit verfijnde model stelt je in staat de efficiëntie van AI te benutten terwijl je besluitvorming blijft berusten bij ervaren menselijke oversight. 

Hoe beslis je wat je nodig hebt. 

Om de juiste mix voor jouw organisatie te bepalen, overweeg: 

• Bouw je, upgrade je of onderhoud je je compliance-programma? 
• Sta je voor nieuwe of complexe eisen (bijv. ISO27001, AI-act, NIS2)? 
• Heb je interne expertise om AI-output te valideren?

AI is een krachtige assistent. Een ervaren compliance-professional is een strategische partner. Kleine organisaties doen het beste wanneer ze beide samen inzetten: AI voor snelheid, mensen voor oordeel en uitvoering in de praktijk. 

Dit artikel is samengesteld met behulp van onze Amerikaanse collega’s van Duffy Compliance Services, Maryland, U.S.A. De toenemende inzet van AI en de gevolgen daarvan binnen organisaties zijn aan die kant én aan deze kant van de oceaan hetzelfde. Het is een wereldwijde verschuiving die gaande is. 

Als adviseurs en consultants zien we het in Nederland ook. Veel organisaties worstelen met de inzet van AI. Consultants krijgen door AI gegenereerde documenten om te reviewen. En de documenten (plannen, beleid, etc) die opgesteld worden door consultants laat men reviewen door AI. Naast dat dat gezien kan worden als een inbreuk op auteursrecht, komen er antwoorden uit de reviews die vaak niet gevalideerd kunnen worden door de organisatie. Dat is nou juist waar de externe consultant voor wordt ingehuurd. Het gevolg is dat iedereen veel tijd kwijt is aan zaken waar AI en de organisatie een mismatch hebben.  

Daar is het bovenstaande artikel een handige richtlijn voor. Waar ik nog als aandachtspunt aan toe wil voegen: gebruik AI wel als spellings- en schrijfcheck, maar niet als inhoudelijke check.  

Bij Audittrail kan je overigens ook terecht voor AI-governance en vragen er over. Of je de AI-Act strikt moet of wil volgen, of dat dat niet nodig is, AI governance is nooit weg. Het geeft kaders en richtlijnen in een nieuw aandachtsgebied.