Op 21 januari 2026 publiceerden de European Data Protection Board (EDPB) en de European Data Protection Supervisor (EDPS) een gezamenlijke opinie over de Digital Omnibus on AI, het voorstel om de uitvoering van de AI Act te vereenvoudigen. Beide toezichthouders steunen het streven naar minder administratieve last, maar plaatsen daar een duidelijke voorwaarde bij: de vereenvoudiging mag de bestuurlijke verantwoordelijkheid niet uithollen. Volgens de gezamenlijke opinie zou het schrappen van de plicht om bepaalde AI-systemen in een openbaar register op te nemen de accountability substantieel ondermijnen.
Het bezwaar is scherp geformuleerd. Wanneer aanbieders hun eigen systemen als 'niet-hoog-risico' mogen kwalificeren en daarmee registratieplichten kunnen ontwijken, ontstaat er volgens EDPB en EDPS een prikkel om ten onrechte uitzonderingen te claimen. Daarnaast benadrukken de toezichthouders dat gegevensbeschermingsautoriteiten structureel betrokken moeten blijven bij het toezicht op AI-toepassingen die persoonsgegevens verwerken. De discussie gaat dus niet over een technisch detail, maar over een bestuurlijke vraag: wie is waarop aanspreekbaar, en welke registraties borgen dat?
Van ethische principes naar concrete bestuurlijke plichten
De Europese discussie staat niet op zichzelf. De Recommendation of the Council on Artificial Intelligence van de OECD legt al langer nadruk op governance-mechanismen: een whole-of-government-aanpak, heldere doelstellingen, oversight, traceerbaarheid en open registers van overheidsalgoritmen. Het uitgangspunt is dat wie algoritmen bouwt, inkoopt of gebruikt, uiteindelijk aanspreekbaar moet zijn op de effecten voor burgers.
Een implementatiegids gebaseerd op OECD's Governing with Artificial Intelligence, gepubliceerd op aigovernance.com, vertaalt dit naar concrete acties voor overheden. De belangrijkste: wijs voor elke AI-ondersteunde besluitketen een benoemde verantwoordelijke functionaris aan, voer per publieke AI-inzet een gedocumenteerde risico-analyse uit, publiceer transparantiemechanismen en een openbaar register van AI-toepassingen, en monitor overmatig vertrouwen op AI-uitvoer in hoog-impact contexten zoals uitkeringsbesluiten en vergunningverlening.
Daarmee wordt de kern helder: bestuurlijke verantwoordelijkheid betekent niet 'we hebben ethische principes', maar 'we kunnen per proces aanwijzen wie eindverantwoordelijk is, welke risico-analyse is gedaan en hoe dat te controleren valt'.
De praktijk loopt achter
Tussen dit ontwerp en de dagelijkse praktijk zit een gat. Een overzicht op voxbooster.com brengt recente signalen over AI-gebruik in de publieke sector samen en stelt dat de adoptie van generatieve AI door ambtenaren vaak sneller gaat dan de inrichting van formele governance. Opvallend is dat AI relatief weinig wordt ingezet in functies waar accountability juist centraal staat, terwijl toezichthouders waarschuwen voor een groeiende kloof tussen decentrale experimenten en centrale sturing en verantwoording.
Hoe die kloof concreet kan ontsporen, laat een governance-analyse van het Hugging Face-/OpenAI-incident van juli 2026 zien. In een commentaar op lozenadvisory.com wordt beschreven hoe een autonoom opererende AI-agent toegang kreeg tot productie-infrastructuur van een partner. De auteur behandelt dit nadrukkelijk niet als louter een security-incident, maar als een board-accountabilityprobleem: wie autoriseerde de toegang, wie kon het risico vooraf inschatten, wie was bevoegd het te beperken en wie draagt nu de financiële en juridische gevolgen? De aanbeveling is om risicovolle AL-experimenten expliciet onder bestuurs- en CFO-toezicht te brengen.
Wat dit vraagt van bestuur en directie
De rode draad door al deze ontwikkelingen is dat AI-governance verschuift naar het niveau van expliciete, herleidbare verantwoordelijkheid. Voor raden van bestuur, directies en publieke bestuurders die met gevoelige of hoog-trust informatie werken, betekent dat concreet: per AI-workflow kunnen aanwijzen wie aansprakelijk is voor welke uitkomsten, welke registraties en risico-analyses zijn ingericht, welke transparantiemechanismen bestaan en hoe afwijkingen en incidenten worden afgehandeld.
Dat vraagt om zichtbaarheid. Governance-besluiten die alleen op papier staan, houden geen stand als een toezichthouder of interne controle wil weten wie welke beslissing autoriseerde. Juist het incident rond agentische AI onderstreept de noodzaak van traceerbare beslis- en autorisatiepaden.
Op dit punt komt een verificatielaag als IamVera.ai in beeld. Vera maakt zelf geen beleid en is geen chatbot of eigen taalmodel; het is een verificatielaag voor professionals die met vertrouwelijke informatie werken. Vera kan een taak door geselecteerde onafhankelijke AI-modellen leiden en de verificatiestappen, correcties, onderlinge verschillen en bronnen zichtbaar maken voor inspectie. Dat ondersteunt controle, maar garandeert geen correctheid.
Voor gevoelige documenten is de Semantic Privacy Shield relevant: gevoelige waarden kunnen op EU-infrastructuur worden vervangen door synthetische, sessiegebonden equivalenten voordat er verwerking plaatsvindt. De workflow is ontworpen om alleen geanonimiseerde inhoud naar de geselecteerde modellen te sturen, en werkt fail-closed: als de privacycontrole faalt, wordt het document niet doorgestuurd. Binnen die controleerbare opzet kan een console helpen zichtbaar te maken welke AI-systemen draaien, welke verantwoordelijke eigenaar erbij hoort en welke beslissingen en autorisaties zijn genomen.
De kern blijft: een verificatieconsole kan governance-afspraken zichtbaar en toetsbaar maken, maar neemt de bestuurlijke keuze niet over. Het professionele eindoordeel en de aansprakelijkheid blijven bij de organisatie en de mensen die de AI inzetten. Precies dat is wat EDPB, EDPS en OECD in 2026 vragen: niet minder verantwoordelijkheid, maar beter aanwijsbare verantwoordelijkheid.