AI-verantwoordelijke aanwijzen — de eerste vraag in elke vragenlijst

„Wie is bij u verantwoordelijk voor de inzet van AI?” Die vraag staat in vrijwel elke leveranciersvragenlijst bovenaan, en het is de enige die u niet op korte termijn kunt nasturen. Hieronder staat wie u zou moeten aanwijzen, wat de rol werkelijk inhoudt — en wat zij uitdrukkelijk niet is.

Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op 2 augustus 2026

Bestaat er een wettelijke aanwijzingsplicht?

Nee. Dat hoort vooraan, omdat op dit punt veel onzekerheid wordt verkocht. De AI-verordening kent geen tegenhanger van artikel 37 AVG, dat onder bepaalde voorwaarden een functionaris voor gegevensbescherming voorschrijft. Er is geen personeelsdrempel waarboven een „AI-functionaris” moet worden aangesteld, geen melding aan een toezichthouder en geen voorgeschreven kwalificatie.

Wie u een certificaat verkoopt met het argument dat zonder aangewezen AI-functionaris een boete dreigt, redeneert langs de rechtstoestand heen. Zo'n boete bestaat niet.

Wie de rol zou moeten dragen

De gangbare aanname dat dit iemand uit de IT moet zijn, leidt de verkeerde kant op. De taken zijn voor negentig procent organisatorisch: navragen, vastleggen, beslissen, herinneren. Technische diepgang is daarvoor niet nodig, toegang tot de directie wel.

Kandidaat	Pleit ervoor	Pleit ertegen
De directie zelf (tot circa twintig medewerkers)	Beslissingsbevoegdheid aanwezig, geen afstemmingsrondes	Het tijdsbudget wordt meestal overschat; de taak wordt verdrongen
Directiesecretariaat	Kent alle afdelingen, korte lijn naar boven, legt toch al vast	Heeft uitdrukkelijke beslissingsbevoegdheid nodig, anders blijft elke vrijgave liggen
IT-verantwoordelijke	Kent het systeemlandschap, ziet schaduw-AI het eerst	Neigt naar een puur technische blik; afdelingen voelen zich gecontroleerd
Kwaliteitsmanagement	Denkt in processen, documenteren is dagelijks werk	Ontbreekt vaak in bedrijven onder vijftig medewerkers
Functionaris gegevensbescherming	Grootste inhoudelijke nabijheid, kent register en contracten	Bij een interne functionaris is een rolconflict mogelijk — zie hieronder

Wat de rol omvat — acht taken

Deze lijst hoort letterlijk in de aanwijzingsbrief. Zij is tegelijk het antwoord op de vervolgvraag „wat doet die persoon concreet?”, die in de vragenlijst bijna altijd volgt.

1. Het AI-register bijhouden. Welke tools, welk doel, welke gegevens, welke risicocategorie. Zonder dat overzicht is geen van de overige taken uitvoerbaar — meer daarover onder AI-register opstellen.
2. Over nieuwe tools beslissen. Aanvragen aannemen, toetsen, vrijgeven of afwijzen, telkens met korte onderbouwing en datum. Hoe dat proces eruitziet, staat onder vrijgaveproces voor AI-tools.
3. Risicocategorieën indelen en onderbouwen. De onderbouwing is het eigenlijke bewijs, niet de categorie.
4. Instructie laten geven en vastleggen. Basisinstructie, jaarlijkse opfrissing, onboarding van nieuwe medewerkers.
5. Toezien op de transparantieplichten. Controleren of chatbots, AI-beelden en synthetische stemmen naar buiten toe worden gelabeld — zie transparantieplicht artikel 50.
6. Aanspreekpunt zijn bij incidenten. Wie per ongeluk klantgegevens in een openbare tool heeft gezet, meldt dat hier — en wel zonder gevolgen.
7. De rechtsontwikkeling volgen. Twintig minuten per kwartaal volstaan, als u weet waar u kijkt.
8. Inlichtingen geven. Aan zakelijke afnemers, accountants, de ondernemingsraad en in het uiterste geval aan het markttoezicht.

Wat de rol uitdrukkelijk niet is

Deze afbakening bepaalt of iemand de taak aanvaardt. Zonder haar oogt de aanwijzing als een aansprakelijkheidsval, en dat is zij niet.

• Geen persoonlijke aansprakelijkheid naar buiten. Geadresseerde van de verordening is de onderneming. Boetes op grond van artikel 99 richten zich tegen de rechtspersoon, niet tegen de aangewezen persoon.
• Geen ontlasting van het bestuur. De bestuurstaak blijft boven liggen. Wie delegeert, moet kiezen, toerusten en toezien — artikel 2:9 BW rekent onbehoorlijke taakvervulling aan de bestuurder persoonlijk toe, en die maatstaf verandert niet doordat er iemand is aangewezen. Een aanwijzing die als afschuiving is bedoeld, werkt in een toetsing eerder belastend.
• Geen technisch beheer. Licenties, accounts en support blijven bij de IT.
• Geen juridisch advies. Waar het gaat om hoogrisico-indelingen, afspraken met de ondernemingsraad of contractclausules, wint de rol advies in in plaats van het te geven.
• Geen voltijdbaan. Zie de volgende paragraaf.

Tijdsbeslag, eerlijk becijferd

Voor een bedrijf dat AI gebruikt en niet ontwikkelt:

Bedrijfsomvang	Eerste inrichting	Doorlopend per maand
tot 20 medewerkers	een halve dag	1 tot 2 uur
20 tot 100	een tot twee dagen	2 tot 6 uur
100 tot 250	drie tot vijf dagen	6 tot 12 uur, vaak over twee personen verdeeld

De grootste post in de eerste inrichting is niet het schrijven van documenten, maar de inventarisatie: uitzoeken wat er werkelijk wordt gebruikt. Wie dat deel overslaat, bespaart een dag en legt vervolgens een register vast dat niet klopt.

De aanwijzingsbrief — zes bouwstenen

Eén pagina volstaat. Langer wordt het alleen als iemand een model uit een concernomgeving overneemt.

1. Naam, functie, ingangsdatum.
2. Takenpakket — de acht punten hierboven, gerust ingekort, maar niet vervangen door „en al het overige”.
3. Bevoegdheden. Zonder deze alinea is de aanwijzing waardeloos: recht op inlichtingen uit alle afdelingen, recht om tools vrij te geven en te blokkeren, rechtstreekse toegang tot de directie.
4. Tijdsbudget. Een getal, geen intentieverklaring. „Tot vier uur per maand, bij behoefte meer na overleg” is een getal.
5. Vervanging. Een tweede persoon bij naam. Vakantie en ziekte zijn de meest voorkomende reden waarom processen inslapen.
6. Handtekeningen van directie en aangewezen persoon, met datum.

Externe invulling: wanneer die loont

Er zijn aanbieders die de rol extern overnemen, zoals bij gegevensbescherming gebruikelijk is. Eerlijke inschatting: voor bedrijven onder honderd medewerkers die AI alleen gebruiken, is dat meestal overgedimensioneerd. De taak vraagt kennis van het eigen huis — wie dagelijks ziet welke tools in de marketing opduiken, vindt schaduw-AI; een externe dienstverlener in een kwartaaloverleg niet.

Zinvol is externe ondersteuning bij drie constellaties: hoogrisicosystemen in gebruik, eigen AI-ontwikkeling met een aanbiedersrol, of een concernklant die een onafhankelijke bevestiging verlangt. In alle andere gevallen is de combinatie van een interne persoon en een extern naslagwerk goedkoper en effectiever.

De eerste dertig dagen na de aanwijzing

1. Dag 1 tot 3: aanwijzingsbrief ondertekenen en intern bekendmaken. Wie de rol niet kent, meldt er niets aan.
2. Week 1: inventarisatie starten — afdelingen apart bevragen, met uitdrukkelijke amnestietoezegging. Details onder schaduw-AI in het bedrijf.
3. Week 2: register aanleggen, risicocategorieën met onderbouwing invullen.
4. Week 3: externe kanalen nalopen op labelbehoefte. Kant-en-klare labels voor chatvensters, AI-beelden en synthetische stemmen staan gratis klaar onder AI-labels.
5. Week 4: kort AI-beleid schrijven en het vrijgaveproces bekendmaken. Vanaf hier geldt: nieuwe tools alleen nog met vrijgave.

Waar u na deze vier weken staat, is in twee minuten te toetsen — de gratis quick-check loopt de tien punten langs waar in de vragenlijst naar wordt gevraagd.

Als zich niemand meldt

Dat komt vaker voor dan gedacht, en de redenen zijn vrijwel altijd dezelfde. Ze zijn stuk voor stuk weg te nemen.

Bezwaar	Wat helpt
„Ik heb er geen tijd voor.”	Tijdsbudget als getal in de aanwijzingsbrief, en zichtbaar een bestaande taak afgeven. Een rol zonder ontlasting is een extra belasting met een andere naam.
„Ik weet niets van AI.”	De taak is organisatorisch. Wie een register kan bijhouden en een termijn kan bewaken, kan de rol invullen. Inhoudelijke vragen worden opgezocht, niet uit het hoofd geweten.
„Dan ben ik aansprakelijk als er iets misgaat.”	De verduidelijkende zin over artikel 2:9 BW in de aanwijzingsbrief, zie hierboven. Geadresseerde van de verordening is de onderneming.
„Er luistert toch niemand naar mij.”	Bekendmaking door de directie, niet door de persoon zelf. Rugdekking van boven bepaalt of de rol werkt.

Vier signalen dat de rol alleen op papier bestaat

Toets dit na drie maanden. De antwoorden zeggen meer dan welk certificaat ook.

1. Wanneer is het AI-register voor het laatst gewijzigd? Ligt die datum meer dan een kwartaal terug, dan loopt het proces niet.
2. Hoeveel vrijgaveaanvragen zijn er binnengekomen? Nul aanvragen betekent niet nul nieuwe tools, maar dat niemand de route kent.
3. Is er ooit een incident gemeld? In een bedrijf met vijftig gebruikers worden verkeerde invoeren gedaan. Geen enkele melding betekent: de meldroute wordt niet als gevolgloos ervaren.
4. Kent een willekeurig gevraagde medewerker de naam? Zo niet, dan was de bekendmaking te zacht.

Overdracht en opvolging

Rollen wisselen — door vertrek, ouderschapsverlof of reorganisatie. Opdat daarbij niets verloren gaat, horen vier dingen op een vastgelegde plek: het actuele register, de vrijgavebesluiten met onderbouwing, de instructiebewijzen en de map met leverancierscontracten. Wie die vier archieven bijhoudt, draagt in een uur over. Wie ze in het eigen postvak heeft, draagt niet over.

Leg daarnaast vast wáár u de rechtsontwikkeling volgt. Eén regel met twee of drie adressen bespaart de opvolger het zoeken en u de zorg dat vanaf de wissel niemand meer merkt dat er iets verandert.

Wat u met de aanwijzing níét hebt afgehandeld

Een aangewezen persoon beantwoordt op zichzelf geen enkele vraag uit een leveranciersvragenlijst. Zij is de voorwaarde waaronder de overige documenten ontstaan: register, beleid, instructiebewijs, labelregel. Wie de aanwijzing ondertekent en daarna niets doet, heeft het hiaat alleen beter gedocumenteerd.

Veelgestelde vragen

Is een AI-functionaris wettelijk verplicht?

Nee. De AI-verordening kent geen aanwijzingsplicht, anders dan artikel 37 AVG bij de functionaris voor gegevensbescherming. Er is geen personeelsdrempel, geen meldplicht en geen voorgeschreven kwalificatie. In de praktijk is de rol toch standaard, omdat de verplichtingen de onderneming raken en zonder aangewezen persoon niemand ze nakomt.

Mag de functionaris voor gegevensbescherming tegelijk AI-verantwoordelijke zijn?

Het mag, maar alleen met een schone knip. Op grond van artikel 38 lid 6 AVG mag de functionaris geen taken vervullen die tot een belangenconflict leiden. Wie tools zelf vrijgeeft, controleert later het eigen besluit. Werkbaar is: vrijgave door de AI-verantwoordelijke, hoorrecht voor de functionaris. Bij een externe functionaris is de dubbelrol doorgaans onproblematisch.

Is de aangewezen persoon persoonlijk aansprakelijk?

Niet op grond van de AI-verordening. Boetes uit artikel 99 richten zich tegen de onderneming. De verantwoordelijkheid van het bestuur op grond van artikel 2:9 BW blijft bestaan en gaat door de aanwijzing niet over op de aangewezen persoon. In de verhouding werkgever-werknemer gelden de gewone arbeidsrechtelijke aansprakelijkheidsregels.

Hoeveel tijd kost de rol per maand?

Voor bedrijven tot twintig medewerkers een tot twee uur, tot honderd medewerkers twee tot zes uur, daarboven zes tot twaalf uur, meestal over twee personen verdeeld. De eerste inrichting kost een halve tot vijf dagen, afhankelijk van de omvang.

Wat moet er in de aanwijzingsbrief staan?

Naam en functie, takenpakket, bevoegdheden (recht op inlichtingen, vrijgaverecht, toegang tot de directie), tijdsbudget als getal, een bij naam genoemde vervanger en handtekeningen met datum. Eén pagina volstaat.

Hebben wij een externe partij nodig voor deze rol?

In de meeste bedrijven onder honderd medewerkers niet. De taak leeft van kennis van het eigen huis. Externe ondersteuning loont bij hoogrisicosystemen, bij eigen AI-ontwikkeling of wanneer een grote afnemer een onafhankelijke bevestiging verlangt.

Moet de aanwijzing bij een toezichthouder worden gemeld?

Nee. Een meldplicht zoals bij de functionaris voor gegevensbescherming op grond van artikel 37 lid 7 AVG bestaat voor AI-verantwoordelijken niet. De aanwijzing werkt intern en richting zakenpartners.