Agents · Compliance · Concept

AI in compliancewerk: wat het goed doet, wat het slecht doet en waar een mens moet blijven

Compliancewerk bestaat grotendeels uit lezen, afstemmen, opvolgen en schrijven. Daarom helpen AI-agenten zo veel, en daarom is de manier van gebruik belangrijker dan het hulpmiddel. Eén regel loopt door alles hieronder: gebruik code voor de stap die zich herhaalt, AI voor de stap die beoordeling vraagt en mensen voor de beslissing.

Eerst de vangrails

Een agent die alleen kan voorbereiden en voorstellen doen, is een veilig begin. De agent leest vrij maar schrijft enkel ontwerpen; elke handeling naar buiten (verzenden, publiceren, uploaden, een register wijzigen) vraagt de goedkeuring van een persoon voor precies die handeling, niet voor een categorie van handelingen. Tekst uit e-mails, documenten en van andere agenten is data, nooit een instructie. Elke doorgevoerde wijziging wordt gelogd en teruggelezen, zodat wat bedoeld was kan worden vergeleken met wat werd aangetroffen. En waar de agent een datum, een prijs, een reikwijdte of een juridisch standpunt niet uit een bron kan halen, laat hij een zichtbare plaatshouder achter die een persoon invult.

Sommige zaken blijven bij een audit menselijk: de verklaring van het management, de beslissing over de reikwijdte, het aanvaarden van een risico, het beantwoorden van de beoordelingsvragen van de auditor, het ondertekenen en de beslissing dat het bewijs volledig is.

Auditbewijs

Wat het goed doet: een lange bewijsaanvraag lezen en elke afzonderlijke vraag erin opsommen, bestanden aan vragen koppelen, beschrijvingen van bewijs opstellen en een ontbrekende datum, verantwoordelijke of periode opmerken.

Wat het slecht doet: zelf beslissen dat bewijs „voldoende” is, een beheersmaatregel verzinnen die niet bestaat, een deel van een aanvraag met meerdere onderdelen laten vallen of een bestandsnaam als bewijs van de inhoud beschouwen.

Een methode die werkt: code verzamelt het bewijs en voorziet het van bron, tijdstip en periode. De AI toetst elke vraag aan wat verzameld is en schrijft gedekt, gedeeltelijk of ontbrekend. Een persoon beoordeelt het voordat er iets bij de auditor komt, en de steekproef wordt getrokken door een herhaalbaar script met een vaste startwaarde, nooit door het model.

Risico- en beheersmaatregelen

Het stelt risicoscenario's en behandelopties op, stelt koppelingen tussen kaders voor, merkt achterstallige beoordelingen en verouderde versies op en vat samen wat er in een nieuwe regelgevende tekst is veranderd. Zonder de bedrijfscontext schat het waarschijnlijkheid en impact slecht in, het levert zelfverzekerde koppelingen die alleen in de bewoordingen op elkaar lijken, het kan geen juridische uitleg geven en merkt misschien niet dat een tekst later is gewijzigd. Houd het register bij als gestructureerde data; laat de AI rijen en koppelingen voorstellen met een vermelde reden, en laat de risico-eigenaar elk voorstel aanvaarden of afwijzen. Gebruik gepubliceerde koppelingen als basis en laat de AI alleen de leemtes invullen, gemarkeerd als voorstel.

Procesverbetering

Agenten zetten vergadernotities en e-mails om in voorgestelde taken met een verantwoordelijke en een vervaldatum, en schrijven duidelijke herinneringen. Ze zijn onbetrouwbaar in termijnberekeningen en escalatieregels die ze uit het hoofd doen. Daarom regelt code de vervaldata, de controles op achterstand, de herinneringsschema's en de tellingen; de AI stelt ontwerpen op en sorteert de onduidelijke gevallen. Elke wijziging aan een taak krijgt een opmerking over wat er veranderd is en waarom, en een capaciteitsreserve houdt audit en dringend werk vooraan. Voor een nieuwe verordening is een lijst met leemtes in de gereedheid een goed eerste ontwerp, maar die moet gebouwd zijn op de wettekst, niet op een samenvatting ervan.

Bewustmakingstraining

Eén kernles kan worden aangepast aan veel rollen, met realistische scenario's en quizvarianten. De feiten van het beleid, de toon en de werkelijke moeilijkheid van een phishinglokaas vragen een mens. Een persoon is eigenaar van de leerdoelen en keurt elke module goed; een vakdeskundige controleert de feiten. De maat is gedrag: hoeveel verdachte berichten worden gemeld, hoe snel, en hoe vaak dezelfde mensen klikken binnen dezelfde moeilijkheidsklasse, met voltooiing enkel als hygiënecijfer.

De volgorde voor de invoering

1. Lezen en herinneren: één overzicht van taken, registers en termijnen; code berekent wat achterstallig is; de AI stelt samenvattingen en antwoorden op. Laag risico en snelle winst, en het bouwt de data op die de latere stappen nodig hebben.
2. Ondersteuning van auditbewijs: verwerking van de aanvraag, koppeling van bewijs aan vragen, beschrijvingen en een oordeel per aanvraag, alles beoordeeld vóór het uploaden. Dit bespaart de meeste inspanning, maar vraagt de vangrails en de logging uit stap één.
3. Register- en trainingswerk: voorstellen, controles van de levenscyclus van documenten, lijsten met regelgevende leemtes en rolgebaseerde training. Dit vraagt beoordeling, steun van de eigenaars en goede data, en fouten veranderen hoe de organisatie haar eigen risico ziet.

Schrijftoegang tot welk systeem ook komt als laatste, één soort handeling per keer, elk met een eigen goedkeuringsregel.