AI dringt steeds dieper door in bedrijfsprocessen. Met de opkomst van autonome AI-agents worden bovendien steeds meer beslissingen gedelegeerd aan systemen die toegang hebben tot data en zelfstandig acties kunnen uitvoeren. De snelheid waarmee organisaties deze technologie invoeren, blijkt echter hoger dan de snelheid waarmee governance en verantwoordelijkheden worden ingericht.

Voor de CISO betekent dit een belangrijke verandering. Cybersecurity blijft een kernverantwoordelijkheid, maar AI-risico’s beperken zich niet langer tot het beveiligingsdomein. Ze raken ook data, compliance, leveranciers, operations, Finance en de business.

Deloitte beschrijft een groeiende kloof tussen AI-adoptie en AI-governance. Organisaties investeren versneld in agents, terwijl nog lang niet overal duidelijk is wie verantwoordelijk is wanneer zo’n agent zelfstandig beslissingen neemt of acties uitvoert.

Dat probleem kan niet worden opgelost door alle verantwoordelijkheid bij de CISO te leggen. AI-risico’s lopen dwars door verschillende functies en processen heen. Een businessafdeling bepaalt bijvoorbeeld waarvoor AI wordt ingezet, IT selecteert en beheert de technologie, Risk en Compliance stellen kaders en externe leveranciers leveren modellen, platformen en infrastructuur.

De rol van de CISO verschuift daardoor volgens Deloitte van eigenaar van technologierisico naar een soort enterprise risk orchestrator. Niet iedere mogelijke fout voorkomen, maar zorgen dat risico’s zichtbaar zijn, verantwoordelijkheden expliciet zijn toegewezen en duidelijk is wanneer moet worden ingegrepen.

Dat vraagt ook om een andere manier van kijken naar toegangsbeheer. Bij AI-agents gaat het niet langer alleen om de vraag welke medewerker toegang heeft tot welke informatie. Organisaties moeten ook bepalen welke agent namens wie toegang krijgt, welke handelingen deze mag verrichten en onder welke omstandigheden die bevoegdheid weer moet worden ingetrokken.

Een belangrijk uitgangspunt blijft daarbij dat gedeelde verantwoordelijkheid niet mag leiden tot onduidelijke verantwoordelijkheid. Voor iedere relevante AI-toepassing moet helder zijn wie vanuit de business eigenaar is van het resultaat, wie technisch verantwoordelijk is en wie toezicht houdt op de risico’s.

Ook Finance krijgt daarmee een relevante rol. AI-risico’s kunnen uiteindelijk leiden tot financiële schade, operationele verstoringen, reputatieschade of verkeerde beslissingen. De afweging tussen rendement en risico van AI kan daarom niet uitsluitend binnen IT of Security worden gemaakt.

Voor Caronne past dit binnen een bredere ontwikkeling rondom AI-governance. Naarmate AI autonomer wordt, moet de organisatorische inrichting meegroeien. Niet door steeds meer controlelagen toe te voegen, maar door eigenaarschap, beslisrechten en escalatie vooraf helder te organiseren.

De organisaties die AI succesvol opschalen, zullen waarschijnlijk niet proberen ieder risico centraal te beheersen. Zij zorgen ervoor dat de juiste mensen verantwoordelijk zijn, dat risico’s over functies heen zichtbaar worden en dat duidelijk is wie kan ingrijpen wanneer AI buiten de afgesproken kaders komt.


(Deloitte, artikel, 2026-09-09)