Welke eisen gelden voor jouw organisatie? Zijn deze vertaald naar beleid en uitvoerbare maatregelen? En kun je aantonen dat die maatregelen ook worden uitgevoerd?

De antwoorden zitten vaak verspreid over normenkaders, beleidsdocumenten, applicaties, tickets en bewijsstukken. Bij een nieuw normenkader, een beleidswijziging of een audit begint het zoeken en vergelijken opnieuw.

Cilde ontwikkelt de KEA AI-assistent om dit werk te ondersteunen. De assistent moet helpen om informatie te verbinden, ontbrekende onderbouwing zichtbaar te maken en verbeteringen concreet te formuleren. Voor websites en applicaties én voor de organisatiebrede processen en maatregelen daaromheen.

De AI-assistent is in ontwikkeling. De beschreven functionaliteiten vormen de ontwikkelrichting en worden stapsgewijs getoetst in pilots. We zoeken organisaties die willen meedenken en testen.

De AI assistent wordt ontwikkeld om verschillende vormen van ondersteuning te bieden binnen KEA. De precieze functionaliteit wordt tijdens de ontwikkeling en pilots verder gevalideerd, maar de richting is duidelijk.

1. Normenkaders, beleid en procedures vergelijken

De AI-assistent moet relevante eisen uit geselecteerde normenkaders kunnen verbinden aan beleid, procedures en maatregelen van de organisatie.

Daarbij gaat het om inhoudelijke samenhang. Een eis kan over meerdere documenten zijn verdeeld. Andersom kan één procedure bijdragen aan verschillende normen.

De beoogde ondersteuning bestaat uit:

• relevante passages vinden en koppelen aan eisen;
• ontbrekende, verouderde of tegenstrijdige informatie signaleren;
• verschillen tussen normenkaders zichtbaar maken;
• voorstellen doen voor aanvulling van beleid en procedures;
• uitleggen welke bronnen een bevinding ondersteunen.

Zo wordt inzichtelijk waar de onderbouwing aanwezig is en waar nader onderzoek of verbetering nodig is.

2. Opzet, bestaan en werking onderscheiden

Een vastgesteld beleidsstuk vertelt nog niet of een maatregel is ingevoerd en consequent wordt uitgevoerd. Daarom maken we in de ontwikkeling onderscheid tussen drie vragen:

Opzet: is beschreven hoe de maatregel hoort te werken, wie verantwoordelijk is en welk bewijs wordt vastgelegd?

Bestaan: is aantoonbaar dat de maatregel daadwerkelijk is ingericht of ingevoerd?

Werking: blijkt uit bewijs over de relevante periode dat de maatregel wordt uitgevoerd zoals bedoeld?

De eerste ontwikkelstappen richten zich op analyse van beleid, procedures en beschikbaar bewijs. Beoordeling van werking vraagt aanvullende validatie, bijvoorbeeld met uitgevoerde controles, registraties, goedkeuringen en opvolging van afwijkingen.

De assistent moet daarbij expliciet kunnen aangeven dat informatie ontbreekt of dat een conclusie nog niet kan worden onderbouwd.

3. Uitvoerbare controls helpen opstellen

Een norm beschrijft wat nodig is. De organisatie moet dit vertalen naar een concrete beheersmaatregel die iemand kan uitvoeren en beoordelen.

We ontwikkelen ondersteuning voor het opstellen en verbeteren van controls die aansluiten op de organisatie. Denk aan voorstellen voor:

• de uit te voeren handeling;
• de verantwoordelijke rol;
• de frequentie of aanleiding;
• het vast te leggen bewijs;
• de manier van beoordelen;
• de opvolging bij afwijkingen.

Daarbij willen we rekening houden met de organisatiestructuur, functiescheiding, bestaande processen en eigen richtlijnen voor controlbeschrijvingen.

Een voorgestelde control blijft een concept totdat een bevoegde medewerker deze heeft beoordeeld en vastgesteld.

4. Audits en verantwoording voorbereiden

Bij audits kost het veel tijd om stukken te verzamelen en per norm uit te leggen wat deze aantonen.

De AI-assistent moet helpen om relevante bewijsstukken te vinden, te ordenen en te koppelen aan eisen en controls. Ook willen we ondersteuning bieden bij het opstellen van conceptverantwoordingen en het signaleren van ontbrekend of verouderd bewijs.

Het uitgangspunt is een controleerbaar dossier waarin duidelijk is:

• welke eis wordt onderbouwd;
• op welke organisatie, proces of voorziening het bewijs betrekking heeft;
• welke periode en documentversie zijn beoordeeld;
• welke conclusie wordt voorgesteld;
• welke onzekerheden en openstaande punten er zijn;
• wie de beoordeling heeft gecontroleerd.

Daarmee ondersteunen we de voorbereiding en uitvoering van audits. De assistent neemt het onafhankelijke oordeel van een auditor niet over.

5. Wijzigingen vertalen naar gerichte verbeteracties

Een gewijzigd normenkader kan gevolgen hebben voor meerdere beleidsstukken, controls en eigenaren. Ook een verandering binnen de organisatie kan aanleiding zijn om maatregelen opnieuw te beoordelen.

We willen de assistent laten helpen bij het beantwoorden van drie praktische vragen: wat is veranderd, wat raakt dit en wie moet ermee aan de slag?

De beoogde functionaliteit omvat het vergelijken van normversies, het herkennen van mogelijke hiaten in controlsets en het voorstellen van aanpassingen. Bevindingen worden waar mogelijk verbonden aan de context en opvolging in KEA.

6. Digitale content begrijpen en vergelijken

Ook de bestaande focus op websites, verklaringen en andere digitale content blijft onderdeel van de ontwikkeling.

De AI-assistent moet inhoudelijk verwante informatie kunnen herkennen, gegevens structureren en tegenstrijdigheden signaleren. Bijvoorbeeld wanneer een privacyverklaring afwijkt van vastgelegd beleid, verschillende websites andere informatie geven over hetzelfde proces of een verklaring niet aansluit op registerinformatie.

Daarbij willen we betekenisvolle wijzigingen onderscheiden van aanpassingen in opmaak of formulering. Zo kunnen reviewers hun aandacht richten op veranderingen die ertoe doen.

Voor Cilde is het belangrijk dat AI niet als black box wordt ingezet. De AI assistent moet uitlegbaar en controleerbaar zijn. In het ontwikkelplan staat dat elke voorspelling wordt gekoppeld aan de exacte brontekst en URL, zodat menselijke reviewers kunnen terugzien waarom het model tot een bepaald advies kwam. Ook wordt gewerkt aan een explainability layer waarmee beslissingen beter te begrijpen en te controleren zijn.

Dat past bij het doel van KEA: niet alleen automatiseren, maar organisaties helpen om aantoonbaar, verantwoord en herleidbaar te werken.

Daarom geldt voor de AI assistent:

AI-resultaten zijn ondersteunend, niet beslissend;
gebruikers moeten kunnen zien waarop een advies is gebaseerd;
bronverwijzingen blijven zichtbaar;
menselijke review blijft onderdeel van het proces;
bevindingen worden gekoppeld aan bewijs, context en eigenaar;
afwijkingen en onzekerheden moeten herkenbaar zijn.

De AI assistent wordt ontwikkeld met privacy en verantwoord AI-gebruik als uitgangspunt. Er wordt niet getraind met data waarvoor geen expliciete toestemming is gegeven. Organisatiedata wordt dus niet zomaar gebruikt om modellen te verbeteren.

Training en finetuning vinden alleen plaats wanneer daar duidelijke afspraken over zijn gemaakt en expliciete toestemming voor is gegeven. Daarbij geldt als uitgangspunt dat training lokaal op eigen machines plaatsvindt, zodat data niet onnodig wordt gedeeld met externe AI-platformen of publieke modellen.

Dit is belangrijk voor:

• bescherming van vertrouwelijke informatie;
• naleving van de AVG;
• beheersing van datastromen;
• voorkomen van ongewenst hergebruik van organisatiedata;
• aantoonbaarheid richting bestuur, privacy officer en CISO;
• voorbereiding op eisen vanuit de Europese AI Act.

Privacy by Design en Security by Design zijn onze uitgangspunten. We garanderen dat er geen persoonsgegevens worden opgeslagen of gebruikt voor AI-training. Ook wordt expliciet aandacht besteed aan uitlegbare, herleidbare en ethische AI

Een pilot met de AI assistent helpt om vroegtijdig ervaring op te doen met AI-ondersteunde digitale governance. Je krijgt inzicht in waar de module waarde toevoegt, welke informatie bruikbaar is en welke processen beter kunnen worden ondersteund.

Een pilot kan bijvoorbeeld gericht zijn op:

semantische analyse van websites en webcontent;
herkennen van verouderde of dubbele informatie;
detecteren van tegenstrijdigheden tussen websites;
analyse van toegankelijkheids- of privacyteksten;
vergelijking van verklaringen, beleidsstukken of webpagina’s;
ondersteuning bij normenkaders en bewijsvoering;
verbetering van workflows voor review en opvolging;
validatie van uitlegbaarheid en bruikbaarheid.

Daarbij staat altijd centraal dat resultaten worden beoordeeld door mensen. De pilot is bedoeld om te leren waar AI helpt, waar menselijke expertise nodig blijft en hoe de module veilig en verantwoord kan worden ingezet.