We hebben vast allemaal wel eens beloften gehoord als: "Met behulp van AI kun je alles voor elkaar krijgen... AI regelt alles voor je..."

Kunstmatige intelligentie (of kortweg AI) zorgt inderdaad voor een ommekeer in compliancewerk. Van het opstellen van beleid tot het analyseren van risico’s: AI-tools beloven compliance sneller, eenvoudiger en efficiënter te maken. Sommigen beweren zelfs dat AI compliance volledig zou kunnen automatiseren. Maar daar kleeft een probleem aan.

Naleving gaat niet alleen over documentatie of het aanvinken van vakjes. Naleving draait om verantwoordelijkheid, besluitvorming en het opbouwen van vertrouwen. En dat zijn zaken die AI nu eenmaal niet voor je kan doen.

Waar AI echt goed in is op het gebied van compliance

Voordat we ingaan op de beperkingen, is het belangrijk om te beseffen waar AI een meerwaarde kan bieden.

AI kan de efficiëntie bij compliance-werkzaamheden aanzienlijk verbeteren, met name op gebieden waar grote hoeveelheden gegevens of repetitieve taken een rol spelen.

AI kan helpen...

...het automatiseren van repetitief werk

• Beleidsdocumenten opstellen en bijwerken
• Documentatie ordenen
• Kaartbedieningselementen in verschillende frameworks
• Vereisten samenvatten

Dit vermindert de handmatige werklast en bespaart tijd voor compliance-teams.

...het analyseren van grote datasets

• Logbestanden en activiteitsgegevens bekijken
• Afwijkingen opsporen
• Aandacht vestigen op mogelijke risico’s

Hierdoor kunnen teams problemen sneller opsporen dan bij handmatige controles.

...ondersteuning van compliance-workflows

• Ontbrekende bedieningselementen aangeven
• Tekortkomingen in de naleving aan het licht brengen
• Doe aanbevelingen op basis van best practices

Kortom, AI helpt teams om sneller te werken en slimmer te werk te gaan.

Maar snelheid alleen staat niet gelijk aan naleving.

Waarom AI alleen niet voldoende is om naleving te waarborgen

Ondanks haar mogelijkheden kent AI duidelijke beperkingen op het gebied van compliance. Hoewel AI veel repetitieve taken kan ondersteunen, kan het de kernelementen die compliance daadwerkelijk laten slagen, niet vervangen.

Naleving vereist verantwoordelijkheid

Kaders zoals ISO 27001 vereisen duidelijk omschreven rollen. Er moet iemand zijn die het beleid goedkeurt, risico’s accepteert en de resultaten aftekent. Dit zijn essentiële onderdelen om aan te tonen dat de organisatie de verantwoordelijkheid voor haar beveiliging en naleving op zich neemt.

AI kan geen verantwoordelijkheid nemen voor beslissingen of resultaten. Het kan niet aansprakelijk worden gesteld als er iets misgaat. Hoe geavanceerd de tool ook is, naleving komt uiteindelijk neer op wie er verantwoordelijk is, niet op welke tools er zijn gebruikt.

Naleving hangt af van de organisatorische context

Elke organisatie is anders en kaders zijn niet altijd voor iedereen geschikt. Niet alles is op iedereen van toepassing.

De keuze voor wat geschikt is, hangt af van factoren zoals processen, branche-eisen, risicobereidheid en het ontwikkelingsniveau. Wat voor de ene organisatie voldoende is, kan voor een andere organisatie volstrekt ontoereikend zijn. AI genereert vaak algemene resultaten op basis van patronen in plaats van uw specifieke context, en zonder inzicht in uw organisatie kan AI niet bepalen wat werkelijk geschikt is.

Bij Cyberday hebben we echter geprobeerd om deze leemte aan te vullen met behulp van AI. De Fast-track-functieCyberday stelt een ISMS-profiel voor uw account op, waardoor u gepersonaliseerde resultaten krijgt die zijn afgestemd op uw ISMS-implementatie.

Beslissingen over risico’s kunnen niet worden geautomatiseerd

Naleving is geen kwestie van een checklist afwerken. Het is gebaseerd op risicobeheer.

Twee bedrijven kunnen met hetzelfde risico worden geconfronteerd, maar daar verschillend op reageren, afhankelijk van:

• Gevolgen voor het bedrijf
• Beschikbare middelen
• Strategische prioriteiten

AI kan helpen bij het identificeren van risico’s en het voorstellen van mogelijke maatregelen. Maar het kan geen beslissingen nemen:

• Welke risico’s moet je nemen?
• Welke bedieningselementen zijn voldoende?
• Welk risiconiveau is aanvaardbaar?

Voor deze beslissingen zijn inzicht, ervaring en een goed overzicht nodig. Met andere woorden: er zijn mensen voor nodig.

Bij compliance draait het om vertrouwen en goed bestuur

Auditors kijken niet alleen naar documentatie. Bij naleving gaat het erom aan te tonen dat de organisatie op een gecontroleerde, transparante en verantwoordelijke manier te werk gaat.

Bij het beoordelen van de naleving zijn de volgende zaken van belang:

• Duidelijke verantwoordelijkheden
• Vastgelegde processen
• Bewijs van besluitvorming
• Doorlopend bestuur

AI kan beleidsdocumenten opstellen of gegevens samenvatten, maar kan geen blijk geven van echte betrokkenheid, interne verantwoordingsplicht of inzicht in hoe beslissingen binnen de organisatie tot stand komen.

En zo is de cirkel rond wat compliance precies inhoudt: niet alleen wat er op papier staat, maar ook hoe het in de praktijk wordt toegepast.

De realistische toekomst: AI + menselijke expertise

De meest effectieve complianceprogramma’s zijn niet uitsluitend op AI gebaseerd. AI biedt duidelijke voordelen. Het kan repetitieve taken automatiseren, grote hoeveelheden gegevens analyseren en de algehele procesefficiëntie verbeteren. In de praktijk betekent dit dat het:

✅ Documentatie versnellen

✅ Identificeer hiaten in de naleving

✅ Gegevens en risico’s analyseren

✅ Ondersteuning van continue monitoring

Maar dat alleen is niet genoeg.

Naleving hangt nog steeds af van menselijke vaardigheden: weloverwogen beslissingen nemen, verantwoordelijkheid dragen en zorgen voor goed bestuur. Dit zijn zaken die AI niet kan vervangen, althans niet in de huidige stand van zaken.

Er zijn ook duidelijke grenzen aan de toepassingsgebieden van AI. Hoewel AI kan helpen bij analyses en aanbevelingen, mag het geen kernverantwoordelijkheden op het gebied van compliance overnemen:

❌ Neem definitieve beslissingen over risico’s

❌ Verantwoordelijkheid en aansprakelijkheid overnemen

❌ Bepaal de bestuursstructuren

❌ Complianceprogramma’s volledig automatiseren

Om echt voordeel te halen uit AI, moeten organisaties deze technologie strategisch inzetten. Het doel is niet om alles volledig te automatiseren, maar om de sterke punten van AI te combineren met menselijk inzicht en gestructureerde processen. Cyberday bij Cyberday streven we er voortdurend naar om dit te verbeteren, Cyberday we zoeken naar de best mogelijke combinatie van AI en menselijke inbreng. Een goed voorbeeld hiervan is de Fast-track-functie Cyberday: deze maakt gebruik van door AI gegenereerd voorwerk om generieke resultaten te verwijderen, waarna deze door een mens met een kritische blik worden gecontroleerd en gevalideerd.

Ons doel is om compliance-teams te ondersteunen met echte samenwerking. Bij Cyberday is dit precies de aanpak waar we naartoe werken. We gebruiken AI om repetitief werk te elimineren en slimmere uitgangspunten te bieden, zoals met Fast-track-functies, maar altijd in combinatie met menselijke validatie en de context van de organisatie.