Compliance met AI governance: beleid en bewijs - LastPass

HANDLEIDING

Compliance met AI governance: beleid en bewijs

Hoe kunt de naleving van uw beleid voor AI governance bewijzen? 92% van de organisaties geeft aan dat medewerkers met AI werken, maar slechts 22% kan dit actief monitoren. Het LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging laat zien waarom sommige organisaties hun compliance op orde hebben, terwijl anderen problemen hebben.

Ontvang het gratis rapport

Vertrouwd door meer dan 100.000 bedrijven overal ter wereld · Gecertificeerd voor SOC 2 Type II, ISO 27001, ISO 27701 · 4,5/5 op G2

Belangrijkste statistieken: wat de gegevens laten zien

Bron: LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging Inzichten uit enquêtes onder ruim 400 IT-leiders, inloggewoontes van meer dan 450.000 mensen in ruim 20.600 organisaties, en toepassingsgebruik in de praktijk bij meer dan 15.900 organisaties.

73% van de organisaties heeft geen compleet en actief gehandhaafd beleid voor het gebruik van AI.

Waarom dit belangrijk is: AI governance vraagt om controlemechanismen die het beleid afdwingen. Het rapport laat verschillen zien in de ontwikkelingsstand en analyseert waar de compliance het meest tekort schiet.

42% gebruikt geen technische beveiligingsmaatregelen om de toegang van medewerkers tot AI-tools te beheren.

Waarom dit belangrijk is: Controlemechanismen vormen de brug tussen beleid en praktijk. Zonder technologie om naleving af te dwingen, blijven organisaties hangen in goede bedoelingen.

22% van de IT-leiders heeft tools om AI-gebruik actief te loggen.

Waarom dit belangrijk is: Met een logboek kan effectieve governance worden aangetoond. Voor de overige 78% van de organisaties is werk aan de winkel: de meeste kaders verwachten een actieve aanpak van AI governance.

Compliance met AI governance – wat houdt dat eigenlijk in?

Compliance in de praktijk

Naleving van de vereisten voor AI governance vereist dat u kunt aantonen hoe AI in uw organisatie wordt gebruikt, beheerst en aangestuurd. En het gaat om bewijzen – alleen beschrijven is niet voldoende.

Over het algemeen vereist dit drie basiscapaciteiten: u moet kunnen laten zien welke tools er momenteel actief zijn, u moet een gedocumenteerde risico-inschatting hebben voor iedere tool, en u moet logboeken kunnen aanleveren die laten zien dat uw controlemechanismen voor het toegangsbeheer goed werken.

Een beleid op papier is dus geen compliance. LastPass heeft onderzoek gedaan naar de stand van zaken op het gebied van AI- en SaaS-beveiliging in 2026. Het onderzoeksrapport laat zien dat 73% van de organisaties alleen informele richtlijnen hebben, of een beleid dat niet wordt afgedwongen. Slechts 22% heeft daadwerkelijk tools om het gebruik van AI te monitoren.

En het gat tussen beleid en bewijs groeit. Uit het rapport blijkt dat een gebrek aan zicht op de gebruikte tools een belangrijke drempel is voor compliance.

Waarom de meeste organisaties nog geen AI-compliance kunnen aantonen

Wat maakt AI governance zo lastig?

Veel organisaties worstelen met toezicht op AI, omdat medewerkers simpelweg in een hoog tempo nieuwe tools introduceren. Het aanmaken van nieuwe accounts is laagdrempelig, maar dat maakt het lastig voor de IT-afdeling om bij te houden welke tools er precies draaien en om ze allemaal effectief te monitoren.

Twee factoren maken deze uitdaging bijzonder hardnekkig:

  • Schaduw-AI omzeilt de standaard inkoopprocedures. Een gebruiker kan zich eenvoudig aanmelden voor een tool gericht op consumenten, en deze aansluiten op zakelijke systemen. Binnen een uur is de gegevensbeveiliging gecompromitteerd, zonder dat de IT-afdeling hiervan af weet.
  • Iedere goedgekeurde uitrol van agentic AI-systemen kan onafhankelijk andere diensten aanroepen en nieuwe integraties opzetten. Als u niet precies weet welke SaaS-toepassingen momenteel in uw IT-omgeving actief zijn, wordt het nog lastiger om de agentic laag te beheersen die hiermee werkt.

“Als de IT-afdeling niet kan zien welke SaaS en AI-tools zakelijke gegevens verwerken, is het ook niet mogelijk om compliancerisico's in te schatten.”

Bron: LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging

Ontvang de volledige analyse

Download het rapport

De gemene deler in de regelgevende kaders

Disclaimer: het onderstaande overzicht is uitsluitend bedoeld ter informatie en vormt geen juridisch advies. Win juridisch advies in voor uw specifieke use case, voordat u conclusies trekt over uw eigen compliance.

De meeste organisaties die AI in goede banen leiden, moeten zich tegelijkertijd aan meerdere kaders houden. Een paar belangrijke kaders:

  • De AI-Verordening van de Europese Unie, die AI-gebruik in specifieke categorieën als hoog riskant classificeert: HR, werving, onderwijs, kritieke infrastructuur, en wetshandhaving. Voor tools in deze categorieën stelt de verordening eisen aan logboeken, menselijk toezicht en gedocumenteerde risicobeheersing.
  • DORA en NIS2 vereisen specifieke digitale weerbaarheid voor organisaties die in Europese markten actief zijn. Dit omvat onder andere SaaS-afhankelijkheden met AI-functies in financiën, infrastructuur en essentiële zakelijke activiteiten.
  • NIST AI RMF en ISO/IEC 42001 zijn vaak van toepassing voor enterprise-organisaties en voor inkoop door overheden. Als u uw AI-voetafdruk niet kunt documenteren of effectieve controlemechanismen voor governance kunt aantonen, wordt het waarschijnlijk lastig om te voldoen aan contractuele vereisten die hiernaar verwijzen.
  • AVG-leveranciersbeoordelingen leggen vaak nadruk op technische beheersmechanismen. Richtlijnen van EDPB en CNIL onderstrepen de noodzaak om te beoordelen hoe AI-systemen tijdens hun training persoonlijke gegevens verwerken. Dat sluit ook aan bij de vereiste due diligence van AI-providers in Artikel 28.

Deze kaders dekken verschillende risico's af, maar ze hebben bepaalde operationele vereisten met elkaar gemeen: organisaties moeten AI-gebruik inventariseren, toegang monitoren en bewijzen dat controlemechanismen effectief werken. Inzicht in de gebruikte AI is de sleutel tot al deze vereisten.

Veel organisaties missen deze capaciteiten voor compliance nog. Maar het LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging geeft aan waar u moet beginnen om het gat tussen beleid en bewijs te dichten.

Voorbereiding op compliance begint met zichtbaarheid van gebruikte tools

Wat willen auditors zien?

Auditors vragen over het algemeen om een inventaris van AI-tools, risicobeoordelingen, mechanismen voor toegangscontrole en records van monitoring die bewijzen dat het beleid wordt afgedwongen.

Ieder kader gaat uit van hetzelfde beginpunt: organisaties moeten weten wat er draait op hun systemen, voordat ze proberen om hier grip op te krijgen.

Zien: Zorg dat u continu kunt zien bij welke SaaS-toepassingen en AI-tools uw mensen zich aanmelden, ook als ze hiervoor privéaccounts gebruiken.

  • LastPass Business Max bouwt live de vereiste inventaris op voor deze eerste stap en laat met behulp van de browserextensie precies zien bij welke toepassingen uw medewerkers zich aanmelden.

Beoordelen: Leg de inventaris naast de regelgevende kaders die relevant zijn voor uw organisatie. Begin met de meest riskante categorieën en breid de cirkel daarna uit. Iedere tool die u beoordeelt en documenteert, wordt deel van het bewijs voor uw compliance.

Aansturen: Pas toegangscontroles toe op basis van het risiconiveau van iedere tool.

  • Met LastPass kunnen beheerders per tool regels toepassen bij het toegangspunt, zodat een duidelijk logboek wordt opgebouwd van de governance in de praktijk.
LastPass Business Max gratis proberen Demo aanvragen

Klaar voor de AI-audit

Organisaties met doorlopende AI-monitoring zijn beter voorbereid op audits en beoordelingen van toezichthouders.

Ontdekking en aansturing met LastPass biedt duidelijke voordelen:

  • U weet waar u risico's loopt, voordat een auditor u hierop moet wijzen.
  • U kunt contracten met compliance-vereisten sneller binnenhalen. Inkoopteams die vragen om documentatie van actieve monitoring, krijgen meer dan alleen een PDF met een beleid.

Goed om te weten: LastPass levert inzicht en logs van naleving op basis van de toegangslaag. Dit is een consequente vereiste in de regelgevende kaders. De specifieke vereisten die van toepassing zijn op uw organisatie, hangen bij oplossingen voor technische compliance echter altijd af van uw branche, uw locatie en uw use cases. Win gekwalificeerd juridisch advies in om deze vereisten in kaart te brengen.

Alle data over compliance met AI governance

Het LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging geeft statistieken voor AI-aanname, gaten in de governance en ongecontroleerde toename van SaaS in echte organisaties. De inzichten zijn gebaseerd op enquêtes onder ruim 400 IT-leiders, inloggewoontes van meer dan 450.000 mensen in ruim 20.600 organisaties, en toepassingsgebruik in de praktijk bij meer dan 15.900 organisaties.

Download de gegevens

Download het rapport

Meer in de serie over de beveiliging van AI en SaaS

Alle handleidingen voor de beveiliging van AI en SaaS

FAQ: compliance met AI governance

Audits voor de meeste kaders vereisten een lijst van huidige AI-tools, gedocumenteerde risicobeoordelingen en afgedwongen toegangsbeheer, documentatie van leveranciersbeoordelingen die ook ingaat op de voorwaarden voor gegevensverwerking, en een actief logbestand van de monitoring in de beoordelingsperiode.

Wilt u in detail zien wat ieder kader verwacht, en hoe u uw naleving kunt bewijzen? Lees dan Compliance met AI governance: 5 mechanismen die auditors verwachten

Wilt u direct aan de slag met uw inventaris en technische maatregelen? Probeer dan LastPass Business Max.

Schaduw-AI wordt een probleem voor uw compliance als u niet kunt aantonen welke tools er worden gebruikt. U kunt dan namelijk ook geen beoordeling doorvoeren van de gegevensverwerking en logbestanden van het gebruik aanleveren.

Met een tool voor continue monitoring, zoals LastPass Business Max, kunt u AI-tools detecteren zodra uw medewerkers ze voor het eerst gebruiken. Zo vermindert u blinde vlekken voor uw governance.

Aantoonbare compliance begint bij een actuele inventaris van AI-tools binnen uw IT-organisatie.

Vervolgens kunt u de risico's beoordelen, het toezicht op deze tools documenteren, en toegangscontroles toepassen.

LastPass Business Max biedt continu geautomatiseerde detectie, waarmee aanname van nieuwe tools direct zichtbaar wordt. Vervolgens kan het passende beheersmaatregelen toepassen voor iedere tool, op basis van het risico.

Organisaties die AI-gebruik continu monitoren en beleid voor governance actief afdwingen, zijn beter voorbereid op de groeiende verwachtingen vanuit wet- en regelgeving.

Ook kleinere organisaties die actief zijn op de Europese markt en die werken met AI-ondersteunde systemen voor HR, werving of productiviteit, kunnen al worden aangemerkt als “high risk”.

Als u twijfelt, is het aan te bevelen om juridisch advies in te winnen. Ongeacht de organisatiegrootte kan LastPass Business Max helpen om een goede inventaris op te stellen van de gebruikte AI-tools. Ook levert het gedocumenteerde beheersmechanismen.

Staat uw vraag er niet bij? Ga naar ons Supportcentrum.

Aan de slag met LastPass Business

LastPass gratis proberen Neem contact op met Sales
Geen creditcard vereist voor de proefversie van 14 dagen.