AI-projecten worden vaak gepresenteerd als een capaciteitsvraag: kan het model dit of niet. In implementatietrajecten is dat zelden waar het op stukloopt. Het loopt stuk op de vraag die daarna komt: kun je uitleggen waarom er iets uitkomt, en houd je dat vol als er een auditor of een toezichthouder meekijkt.
Bewijslast is een ontwerpvraag
Bij de oplossing die ik met twee partners bouw, een engine die dealdocumenten in bestaande datarooms classificeert, clausules extraheert en red flags detecteert, is het uitgangspunt dat elke bevinding een bronverwijzing heeft. Niet als extra functie, maar als voorwaarde. Een bevinding zonder verwijzing naar de plek in het document waar hij vandaan komt, is geen bevinding.
Dat is een ontwerpbesluit met gevolgen voor de hele architectuur. Het bepaalt hoe je de verwerking opknipt, wat je vastlegt, en hoe je het resultaat presenteert. Achteraf toevoegen kan niet.
Hetzelfde geldt voor de mens in de lus. Wij werken met confidence-scores en met reviewer-in-the-loop als kernprincipe. Dat is geen concessie aan de techniek maar een keuze over waar de verantwoordelijkheid ligt.
Certificeren doe je parallel, niet erna
Wij zijn de certificeringsroadmap gelijktijdig met de eerste versie van het product begonnen. Het ISO 27001-managementsysteem is compliance-by-design opgezet, ISO 42001, de managementsysteemnorm voor verantwoord AI-gebruik, is in implementatie, DORA is contractueel geborgd richting financiële klanten en de EU AI Act stemmen we af met externe juridische adviseurs.
Dat is meer werk in het begin. Maar certificering achteraf op een bestaand product plakken betekent vrijwel altijd herbouwen: je ontdekt dat je logging mist, dat je verwerkingen niet kunt afbakenen, of dat je niet kunt aantonen welke data waar terecht is gekomen.
Voor een oplossing die documenten van financiële partijen verwerkt, is dit geen luxe. Het is de voorwaarde om überhaupt aan tafel te komen.
Wat ik zou vastleggen voordat je begint
Drie dingen, en ze zijn geen van drieën technisch. Ten eerste: waar wordt het verwerkt en onder welk recht. EU-hosting is voor veel opdrachtgevers geen wens maar een eis, en dat bepaalt je leverancierskeuze.
Ten tweede: wat mag het model zien. Prompt-context per onderdeel afbakenen is saai werk en het is de kern van je privacyverhaal. "Het model krijgt de hele dataroom" is geen afbakening.
Ten derde: hoe toets je of het klopt. Wij hebben een testplan met twintig use cases dat door domeinexperts wordt beoordeeld. Zonder zo'n set weet je niet of een wijziging aan het model iets verbetert of stilletjes iets sloopt.
De rol van de projectmanager verandert niet zoveel
Wat mij in AI-trajecten opvalt, is hoe herkenbaar de besturing blijft. Je stuurt op scope, op afhankelijkheden, op leveranciersafspraken en op aantoonbaarheid. Dat is hetzelfde werk als bij een ERP-implementatie, alleen is de bewijslast lastiger en de wetgeving nieuwer.
Wie AI-projecten benadert als een experiment dat later wel volwassen wordt, bouwt iets dat niet door een audit komt. Wie het benadert als een implementatietraject met een zwaardere bewijslast, houdt het stuur in handen.
← Terug naar alle artikelen