AI-geletterdheid aantonen onder de EU AI Act: evidence pack
Zahed Ashkara13 april 202611 min leestijd
Compliance
AI-geletterdheid aantonen onder de EU AI Act: evidence pack
De meeste organisaties kennen de kop inmiddels wel: Artikel 4 van de EU AI Act verplicht aanbieders en gebruikers van AI-systemen om te zorgen voor een voldoende niveau van AI-geletterdheid bij medewerkers en andere personen die namens hen met AI werken. Wat vaak wordt onderschat, is wat er gebeurt nadat die training is afgerond.
Als een toezichthouder, interne auditor, klant of procurementteam vraagt hoe jouw organisatie weet dat medewerkers daadwerkelijk AI-geletterd zijn, dan is "we hebben een workshop gedaan" geen sterk antwoord. Een slide deck ook niet. Een vendor-brochure evenmin. En een losse export uit een LMS al helemaal niet.
De echte opgave is niet alleen training geven. De echte opgave is aantonen dat die training relevant was, aansloot op functies, periodiek werd herhaald en verbonden is met de AI-systemen die mensen in de praktijk gebruiken.
Precies daar zijn nog veel organisaties kwetsbaar.
Artikel 4 creëert een bewijsprobleem
Artikel 4 is bewust open geformuleerd. De verordening zegt niet dat iedere organisatie exact hetzelfde curriculum moet volgen. Ze zegt dat aanbieders en gebruikers maatregelen moeten nemen om te zorgen dat medewerkers en andere personen die namens hen met AI-systemen werken een voldoende niveau van AI-geletterdheid hebben, rekening houdend met hun technische kennis, ervaring, opleiding, training en de context waarin de AI-systemen worden gebruikt.
Die flexibiliteit is logisch. Een ziekenhuis, gemeente, HR-afdeling en softwareleverancier hebben niet dezelfde risico's en dus ook niet dezelfde leerbehoefte. Maar die flexibiliteit heeft een keerzijde. Er bestaat geen standaardcertificaat dat automatisch bewijst dat je compliant bent. De bewijslast schuift naar de organisatie.
Je moet dus kunnen laten zien waarom jouw aanpak passend is, wie welke training heeft gekregen, hoe je begrip hebt getoetst en hoe je het programma actualiseert wanneer systemen, functionaliteiten of verplichtingen veranderen.
In de praktijk betekent dat dat AI-geletterdheid geen los leerinitiatief is, maar een governancevraagstuk.
Wat een auditor waarschijnlijk zal vragen
Een auditor begint meestal niet bij je trainingsplatform. Die begint bij de realiteit van je organisatie.
Welke AI-systemen worden gebruikt? Welke teams werken ermee? Welke risico's horen bij die toepassingen? Welk kennisniveau verwacht je per rol? Welk bewijs laat zien dat medewerkers dat niveau ook echt hebben bereikt? Wie is eigenaar van het programma? Hoe vaak wordt het herzien?
Redactionele transparantie
Over de auteur en bronnen
Zahed Ashkara is jurist, AI-governancespecialist en oprichter van LearnWize. Feitelijke en juridische verwijzingen zijn gekoppeld aan de bronnen hieronder en in de tekst. Controleer voor de actuele juridische stand altijd de officiële publicatie.
Start met de 5-minuten scan en zie voor welke rollen de kennisplicht nog niet aantoonbaar is.
Als HR, legal, compliance, IT en de business daar allemaal een ander antwoord op geven, dan is het probleem meestal niet gebrek aan inzet. Het probleem is gebrek aan samenhang.
De snelste manier om dat op te lossen is een compact maar compleet evidence pack op te bouwen waarin AI-systemen, rollen, training, toetsing en governance logisch aan elkaar zijn gekoppeld.
Het zeven-delige evidence pack voor AI-geletterdheid
Sterke documentatie hoeft niet ingewikkeld te zijn. Ze moet volledig zijn.
1. Een actuele AI-systeeminventaris
Begin met een actueel overzicht van de AI-systemen die je organisatie ontwikkelt, inzet of materieel gebruikt. Denk aan zichtbare systemen zoals copilots, recruitmenttools, chatbots en modelgedreven analyses, maar ook aan ingebouwde AI-functionaliteiten in bestaande software. Verborgen AI-gebruik blijft namelijk gewoon AI-gebruik.
Leg per systeem vast wat het doel is, welk team het gebruikt, of het invloed heeft op personen of beslissingen, welke risico's relevant zijn, wie eigenaar is en welk menselijk toezicht in de praktijk wordt verwacht.
Dat is essentieel, omdat AI-geletterdheid contextafhankelijk is. Zonder zicht op systemen kun je ook niet onderbouwen welk trainingsniveau passend is.
2. Een rolgebaseerde AI-literacy matrix
Als de systemen in kaart staan, vertaal je ze naar rollen. Bestuurders, managers, operationele gebruikers, technische teams, legal, procurement en compliance hebben niet dezelfde diepgang nodig.
Een goede matrix laat per rol zien welke AI-systemen relevant zijn, welke competenties nodig zijn en welk leerpad daarbij hoort. Bijvoorbeeld:
HR moet bias, menselijke review, beperkingen van scoring en vendor due diligence begrijpen.
Procurement moet weten welke contractuele en documentatievragen aan leveranciers gesteld moeten worden.
Managers moeten governance-eigenaarschap, escalatieroutes en gebruiksgrenzen begrijpen.
Operationele gebruikers moeten weten wanneer AI-output bruikbaar is, wanneer die gecontroleerd moet worden en wanneer escalatie nodig is.
Op dit punt gaan veel programma's mis. Ze behandelen AI-geletterdheid als een generieke awarenessmodule voor iedereen. Artikel 4 wijst juist de andere kant op. Voldoende kennis hangt af van context en rol.
3. Curriculum en leerdoelen
De volgende laag is het ontwerp van de training zelf. Documenteer wat je aanbiedt, waarom je dat aanbiedt en voor welke doelgroep.
Dat betekent een actueel overzicht van modules, leerdoelen, duur, vorm, update-datum en doelgroep. Als je werkt met een combinatie van self-paced content, workshops, scenario-oefeningen en microlearning, leg die mix dan expliciet vast.
Het gaat hier niet om onderwijskundige perfectie op papier. Het gaat om traceerbaarheid. Een auditor moet kunnen zien dat je curriculum bewust is opgebouwd rond echte AI-gebruikssituaties in jouw organisatie, en niet simpelweg is gekopieerd uit een generieke internettraining.
4. Voltooiings- en aanwezigheidsgegevens
Dit is de laag die veel organisaties al hebben, maar vaak in de zwakste vorm.
Voltooiingsgegevens zijn pas echt bruikbaar als ze te koppelen zijn aan personen, rollen en verplichte leerpaden. Een export uit een LMS met namen en datums is beter dan niets, maar bewijst nog niet dat de inhoud paste bij de rol, dat de juiste medewerkers in scope waren of dat de training nog actueel was toen systemen veranderden.
De sterkere variant is een register waarin per medewerker of functie staat welk AI-literacy pad van toepassing is, welke modules zijn afgerond, wanneer dat is gebeurd, wanneer een refresh nodig is en welke acties nog openstaan.
Aanwezigheid is dus een onderdeel van bewijs, niet het hele bewijs.
5. Toetsing van begrip en scenario-assessments
Dit is het onderdeel dat vaak wordt overgeslagen, terwijl het juist de rest geloofwaardig maakt.
Artikel 4 gaat over geletterdheid, niet over passieve blootstelling. Als iemand een module heeft afgerond maar geen risicovolle AI-output kan herkennen, niet weet wanneer escalatie nodig is of een interne AI-richtlijn niet op een praktijksituatie kan toepassen, dan blijft je bewijs dun.
Daarom is toetsing van begrip belangrijk. Korte quizzes helpen. Scenario-oefeningen zijn sterker. Rolspecifieke simulaties zijn het sterkst. Als een HR-manager een recruitmentscenario kan doorlopen, kan aangeven waar menselijke review nodig is en kan uitleggen welke documentatie bewaard moet worden, dan heb je veel sterker bewijs dan met alleen een completion badge.
Daarmee wordt interactieve oefening niet alleen een didactische keuze, maar ook een documentatievoordeel.
6. Governance- en beleidsspoor
AI-geletterdheid moet verankerd zijn in formele governance. Het mag geen hobbyproject zijn van één enthousiaste manager.
Neem daarom ook het beleid, de standaarden en de besluitvorming op die laten zien dat het programma echt is ingebed in de organisatie. Denk aan AI-governancebeleid, acceptable use-regels, trainingsbeleid, eigenaarschap, escalatieprocedures, managementrapportages en notulen waaruit blijkt dat literacy-risico's zijn besproken.
Dat spoor is belangrijk omdat een volwassen programma drie dingen laat zien: bestuurlijke intentie, operationele opvolging en duidelijke accountability. Zonder dat spoor kan zelfs goede training nog ad hoc ogen.
7. Review- en refreshlog
AI-geletterdheid veroudert sneller dan veel andere complianceonderwerpen. Tools veranderen, functionaliteiten veranderen, beleid verandert en de interpretatie van de AI Act blijft zich ontwikkelen.
Daarom hoort in het evidence pack ook een logboek thuis waarin staat wanneer trainingsinhoud is herzien, waarom dat gebeurde, welke rollen geraakt werden en hoe de update is uitgerold.
Aanleidingen kunnen zijn: een nieuwe AI-tool, een nieuw hoog-risico use case, een vendorwissel, een beleidsupdate, een incident of nieuwe guidance van de Europese Commissie of nationale toezichthouders.
Zonder refreshlog verandert een trainingsprogramma al snel van compliance-control in historisch archief.
Hoe goed bewijs er in de praktijk uitziet
Neem een gemeente die AI gebruikt voor samenvattingen in klantcontact, een interne chatbot voor medewerkers en een externe vendor-tool die inkomende verzoeken helpt prioriteren.
De zwakke aanpak is eenvoudig: iedereen krijgt dezelfde awarenessmodule van een uur en daarna wordt de aanwezigheidslijst opgeslagen.
De sterkere aanpak brengt de systemen per team in kaart, benoemt waar publieke verantwoording en transparantierisico's spelen, wijst verschillende leerpaden toe aan servicemedewerkers, managers, procurement en legal, toetst die groepen met korte scenario-opgaven en bewaart alle resultaten op één plek met een duidelijke eigenaar en jaarlijkse reviewcyclus.
Het verschil is geen bureaucratie. Het verschil is of je documentatie de werkelijkheid van AI-gebruik weerspiegelt.
Vijf fouten die steeds terugkomen
In vrijwel elke sector zie je dezelfde missers terug.
Een eenmalige awarenessworkshop behandelen als voldoende bewijs.
Geen koppeling maken tussen AI-systemen en trainingsscope.
Dezelfde content geven aan bestuurders, operationele gebruikers en technische teams.
Alleen aanwezigheid meten en niet begrip.
Het programma niet actualiseren na nieuwe tools of beleidswijzigingen.
Die fouten ontstaan zelden uit onwil. Meestal komen ze voort uit het idee dat AI-geletterdheid vooral een communicatievraag is. Dat is het niet. Het is onderdeel van je control environment.
Bouw het pack voordat iemand erom vraagt
Het slimste moment om je evidence pack op te bouwen is vóórdat er een auditvraag, klantverzoek, toezichthouder of incident op tafel ligt.
Zodra die vraag er wél ligt, blijkt vaak dat de bouwstenen er ergens al zijn, maar verspreid over vijf plekken. HR heeft completiondata. Legal heeft het beleid. Procurement heeft vendor-notities. IT heeft de systeemlijst. Niemand heeft de hele keten.
Dat gat is precies wat een goed AI-literacy operating model dicht.
Als je nu begint, is het werk overzichtelijk. Inventariseer de systemen. Definieer de rollen. Koppel competenties. Lever rolgebaseerde training. Toets begrip. Bewaar het bewijs. Herzie het op vaste momenten.
Dat is het pakket waar auditors waarschijnlijk om zullen vragen. Belangrijker nog: het is het pakket waarmee je als organisatie zelf weet dat je mensen echt voorbereid zijn om verantwoord met AI te werken.
LearnWize helpt teams met rolgebaseerde AI-geletterdheidsprogramma's, inclusief gedocumenteerde leerpaden, praktische assessments en teamoverzicht. Wil je je huidige aanpak toetsen, plan dan een gesprek van 30 minuten.