Gratis template · Word · Nederlands en Engels

AI-governanceframework: gratis template voor AI-verordening en AVG (Word)

Een AI-governanceframework legt vast wie in uw organisatie over AI beslist, wie welke plicht uitvoert en hoe u dat aantoont. Het verdeelt de plichten uit de AI-verordening (als aanbieder of gebruiksverantwoordelijke) en uit de AVG (als verwerkingsverantwoordelijke) over bestaande functies, met beslisrechten, een stopbevoegdheid, regels voor risicoacceptatie en een kwartaalrapport aan het bestuur.

Laatst gecontroleerd tegen de wet: 6 oktober 2026
Redactie: Zahed Ashkara, jurist privacy en AI
Versie en template-ID: 2.0 · praxikon:template:ai-governance-framework
Rechtsgrond: Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744; Verordening (EU) 2016/679 (AVG)

Voor wie is dit template?

Directie of bestuurStelt het framework vast, besluit over hoog-risicotoepassingen en hoge restrisico's en ontvangt het kwartaalrapport (hoofdstukken 4, 6 en 8)
Eigenaar AI-governanceBeheert het AI-register en de beslisrechten. De wet schrijft die functie niet voor; alleen een aanbieder van een hoog-risicosysteem moet een verantwoordingskader hebben (artikel 17 lid 1 onder m AI-verordening)
Functionaris gegevensbescherming (FG)Adviseert over de DPIA en wordt tijdig betrokken, zonder belangenconflict (artikelen 35, 38 en 39 AVG)
Juridische zaken en inkoopStelt de rol per toepassing vast en toetst of een wijziging de organisatie aanbieder maakt (artikel 25 lid 1 AI-verordening)
HR en ondernemingsraadMaatregelen voor AI-geletterdheid (artikel 4), vooraf informeren over hoog-risico-AI op de werkplek (artikel 26 lid 7) en instemming bij personeelsvolgsystemen (artikel 27 lid 1 onder k en l WOR)
Interne auditToetst opzet, bestaan en werking van het framework met de jaarlijkse toetsvragen (hoofdstuk 9)

Wat staat erin

Hoofdstuk 1: doel, reikwijdte en een inrichting naar omvang, van één eigenaar tot een maandelijks AI-overleg
Hoofdstuk 2: drie lijnen voor AI, met wat elke lijn niet doet en waarom de FG in de tweede lijn hoort
Hoofdstuk 3: interne rollen en vier tabellen met plichten per rol: algemeen (artikelen 4, 5 en 50), gebruiksverantwoordelijke en aanbieder van een hoog-risicosysteem, en verwerkingsverantwoordelijke onder de AVG
Hoofdstuk 4: beslisrechten voor twaalf soorten besluiten, met stopbevoegdheid (artikel 26 lid 5) en escalatie
Hoofdstuk 5: de cyclus van het AI-register in acht fasen, triggers voor herbeoordeling en een beslisbox voor artikel 25 lid 1
Hoofdstuk 6: risicoacceptatie met drempels, vervaltermijnen en een invulformulier
Hoofdstuk 7: één route voor AI-verordening en AVG, met DPIA, FRIA en de rol van de FG
Hoofdstuk 8: cadans en opbouw van het kwartaalrapport aan het bestuur, met een uitgewerkt fictief voorbeeld
Hoofdstukken 9 en 10: toetsvragen voor de derde lijn en een invoeringsplan van 90 dagen
Bijlage A: optionele koppeling met ISO/IEC 42001

Zo gebruikt u het template

Kies in paragraaf 1.4 de inrichting die bij uw omvang past. Een kleine organisatie heeft geen AI-commissie nodig.
Stel per AI-toepassing uw rol vast met het werkboek AI-register en vul in hoofdstuk 3 in welke functie elke plicht uitvoert.
Leg de beslisrechten (hoofdstuk 4) en de drempels voor risicoacceptatie (hoofdstuk 6) naast uw mandaatregeling en pas functies en termijnen aan.
Vraag advies aan de FG, informatiebeveiliging en de ondernemingsraad, en laat het framework vaststellen door directie of bestuur.
Stel na het eerste kwartaal het kwartaalrapport op volgens hoofdstuk 8 en laat de derde lijn het framework jaarlijks toetsen.

Veelgemaakte fouten

De FG eigenaar AI-governance maken. Hij beslist dan mee over verwerkingen die hij daarna moet toetsen, wat kan botsen met zijn onafhankelijke positie (artikel 38 lid 3 en lid 6 AVG).
Een wettelijke plicht als risico accepteren. Een verboden praktijk, een ontbrekende grondslag of doorgaan terwijl artikel 26 lid 5 onderbreken vraagt, kan niemand in de organisatie accepteren.
Plichten aan de organisatie als geheel toewijzen. De rol verschilt per toepassing: dezelfde organisatie kan aanbieder zijn van haar eigen chatbot en gebruiksverantwoordelijke van een ingekocht HR-systeem.
Artikel 49 lezen als plicht tot een intern AI-register. Artikel 49 gaat over registratie in de EU-databank; uw interne register is een eigen keuze, het verwerkingsregister van artikel 30 AVG is in de regel wel verplicht.
AI-functies vergeten die leveranciers in bestaande software aanzetten. Ook die horen in het register en door de beslisrechten.

Wanneer heeft u een jurist nodig?

De FG krijgt een tweede pet. U wilt de FG ook eigenaar AI-governance maken of laten meebeslissen over AI-toepassingen. Dat kan botsen met zijn onafhankelijke positie (artikel 38 lid 3 en lid 6 AVG), die de verwerkingsverantwoordelijke moet waarborgen.
U wilt een hoog restrisico accepteren. Na een DPIA met een hoog restrisico moet de verwerkingsverantwoordelijke eerst de AP raadplegen (artikel 36 AVG). Kan het gebruik van een hoog-risicosysteem leiden tot een risico in de zin van artikel 79 lid 1, dan moet de gebruiksverantwoordelijke het gebruik onderbreken (artikel 26 lid 5).
Een wijziging kan uw rol verschuiven. U zet als gebruiksverantwoordelijke uw naam of merk op een hoog-risicosysteem, brengt er een substantiële wijziging in aan, of wijzigt het beoogde doel van een systeem zodat het hoog risico wordt. Dan wordt u aanbieder (artikel 25 lid 1), met de plichten van artikel 16.

Veelgestelde vragen

Schrijft de AI-verordening een governancestructuur voor?

Nee. De AI-verordening verdeelt plichten over rollen, zoals aanbieder en gebruiksverantwoordelijke, en schrijft geen AI-commissie of ethische raad voor. Alleen een aanbieder van een hoog-risicosysteem moet een systeem voor kwaliteitsbeheer hebben met een verantwoordingskader voor management en personeel (artikel 17 lid 1 onder m). Een FG is alleen verplicht in de gevallen van artikel 37 AVG.

Moet ik een AI-officer aanstellen?

Nee, de wet vraagt geen AI-officer. Sinds de wijziging van 27 juli 2026 nemen aanbieders en gebruiksverantwoordelijken maatregelen die de AI-geletterdheid van hun personeel ondersteunen, zonder dat een bepaald niveau per persoon is vereist (artikel 4). Wie die maatregelen en de andere taken uitvoert, legt u zelf vast; dit framework kiest daarvoor een bestaande functie als eigenaar AI-governance.

Welke plichten gelden nu al (stand 6 oktober 2026)?

De verboden praktijken (artikel 5) en artikel 4 gelden sinds 2 februari 2025, artikel 4 in de huidige tekst sinds 27 juli 2026. Artikel 50 geldt sinds 2 augustus 2026; voor systemen die vóór die datum op de markt waren, moet de aanbieder de machineleesbare markering van lid 2 uiterlijk 2 december 2026 regelen. Op 2 december 2026 gaan ook de nieuwe verboden van artikel 5 lid 1 onder b bis en b ter in. De plichten voor hoog-risicosystemen volgen op 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I), met overgangsrecht in artikel 111 lid 2.

Wanneer wordt mijn organisatie aanbieder in plaats van gebruiksverantwoordelijke?

Volgens artikel 25 lid 1 als u uw naam of merk zet op een hoog-risicosysteem dat al in de handel of in gebruik is, als u er een substantiële wijziging in aanbrengt zodat het hoog risico blijft, of als u het beoogde doel van een systeem dat geen hoog risico was zo wijzigt dat het hoog risico wordt. U krijgt dan de plichten van artikel 16. Het framework bevat hiervoor een beslisbox in paragraaf 5.3.

Kan ik het framework koppelen aan ISO/IEC 42001?

Ja, bijlage A koppelt elk hoofdstuk aan de clausules van ISO/IEC 42001:2023. Die norm is vrijwillig. Op 6 oktober 2026 is zij niet als geharmoniseerde norm bekendgemaakt in het Publicatieblad, dus toepassing of certificering geeft geen vermoeden van overeenstemming met de AI-verordening (artikel 40) en vervangt geen wettelijke plicht.

Mag ik het template aanpassen en binnen mijn organisatie delen?

Ja. U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan. Het template is een hulpmiddel en geen juridisch advies voor uw situatie.

Gebruik en bronvermelding

U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Zo verwijst u naar dit template: Bron: Praxikon, AI-governanceframework: gratis template voor AI-verordening en AVG (Word), versie 2.0, stand 6 oktober 2026, https://www.praxikon.com/nl/templates/ai-governance-framework

Dit template is een hulpmiddel en geen juridisch advies voor uw situatie. Het geeft de stand van de wet weer per 6 oktober 2026. Wetgeving, richtsnoeren en toezichtspraktijk kunnen daarna veranderen. Het gebruik van dit template is geen garantie op naleving: de toepassing in uw organisatie blijft uw eigen verantwoordelijkheid.

Praxikon is een handelsnaam van Embed AI · KvK 90283597