Toepassen: persoonlijke AI-werkscan

Een herkenbare situatie: “even snel door AI laten checken”

Je zit in een bank- of verzekeringsomgeving met groot-mkb-klanten. De mailbox staat vol: een concept-kredietmemo met bijlagen, een schadeclaim met vrije tekst, een KYC-vraag die “eigenlijk meteen weg moet”, en tussendoor vraagt iemand om een nette klantmail. Dan is AI verleidelijk: plak tekst erin, vraag om een samenvatting of advies, en je wint minuten (of uren).

Maar precies in die “even snel” beweging ontstaan de grootste risico’s. Je kunt per ongeluk vertrouwelijke klantdata in een verkeerde AI-omgeving verwerken, of output krijgen die overtuigend klinkt maar feitelijk onjuist is. En als je die output doorstuurt, kopieert naar een dossier of verwerkt in een klantbericht, wordt het al snel onderdeel van je audit trail—met alle gevolgen voor compliance, verantwoording en reputatie.

Deze les richt zich daarom op één doel: een persoonlijke AI-werkscan. Niet als checklist om af te vinken, maar als een manier om jouw eigen AI-gebruik (of de verleiding daartoe) langs vaste risicopunten te leggen—zodat je sneller kunt werken én kunt uitleggen waarom het beheerst is.

Wat je precies scant: jouw taak, data, output en controle

Een persoonlijke AI-werkscan werkt best als je hem ziet als het beoordelen van één concrete “AI-interventie” in je werk: een moment waarop je AI inzet als tussenstap. De kern uit het vorige blok blijft leidend: AI is zelden de einduitkomst; het is een tussenproduct. In finance is dat belangrijk, omdat je niet alleen wil dat het “handig” is, maar ook dat het verifieerbaar en aantoonbaar beheerst is.

Belangrijke begrippen waar je scan om draait:

• Gegevensclassificatie: de indeling die bepaalt wat wel/niet een AI-omgeving in mag (bijv. openbaar, intern, vertrouwelijk, strikt vertrouwelijk). Dit bepaalt je speelruimte voordat je überhaupt aan prompts denkt.

• Data-minimalisatie: alleen verwerken wat strikt nodig is, en liefst abstract/geaggregeerd of synthetisch. Dit verlaagt risico’s zonder dat je productiviteit verliest.

• Outputtype: is je output administratief (opschonen/format), analytisch (duiding/classificatie) of normatief (aanbevelen/besluiten)? Hoe normatiever, hoe zwaarder de controle moet zijn.

• Mens-in-de-lus: een expliciet controlepunt vóórdat output een besluit beïnvloedt of extern wordt gebruikt. Belangrijk: dit is meer dan “even vluchtig lezen”; het is inhoudelijk beoordelen op kritieke punten.

Een bruikbare analogie: behandel AI alsof je “rekenen met een tussenstap” doet. De tussenuitkomst kan handig zijn, maar je moet kunnen uitleggen welke invoer je gebruikte, welke transformatie plaatsvond, en hoe je de uitkomst controleerde. Die drie lagen (invoer–transformatie–uitvoer) vormen de ruggengraat van je scan.

De werkscan als vier lenzen: data, betrouwbaarheid, verantwoordelijkheid, proces

1) Data & vertrouwelijkheid: vóór je prompt al 80% van het risico

De eerste lens is data-invoer, omdat dit in de praktijk het snelst misgaat. In bank en verzekeren is de reflex vaak: “Ik plak het hele dossier erin, dan heeft AI context.” Alleen: wat je invoert, kun je niet terugroepen. Zelfs als een leverancier zegt niet te trainen op jullie data, kan er nog steeds sprake zijn van opslag, logging, monitoring, subverwerkers of verwerking buiten de beoogde regio. Je persoonlijke scan start dus altijd met: welke data ga ik precies verwerken, en past dat bij de gegevensclassificatie én de toegestane AI-omgeving?

Data-minimalisatie is hierbij geen rem, maar een techniek. Je kunt vrijwel altijd met minder toe dan je denkt: gebruik alleen de relevante fragmenten, vervang namen door rollen (“ondernemer”, “controller”), werk met geaggregeerde cijfers in plaats van transactie-overzichten, of neem enkel al intern goedgekeurde tekstblokken. Dit voorkomt ook het veelvoorkomende misverstand: “Ik heb geanonimiseerd, dus het is veilig.” In groot-mkb-context kan context (postcode, branche, schadeverhaal, datum, unieke combinatie van gebeurtenissen) herleidbaarheid creëren, ook zonder naam.

Typische valkuilen die je werkscan expliciet zichtbaar moet maken:

• Copy-paste van volledige klantmails, polisdetails, claims of KYC-notities “om tijd te winnen”.

• Denken dat “verwijderen” in een chatinterface gelijkstaat aan vernietiging in logs.

• Onbewust gegevens van derden meenemen (mede-ondernemers, gezinsleden, leveranciers) in één prompt.

Best practice die hier consequent werkt: maak je scan concreet met drie vragen: Wat is het minimum dat AI nodig heeft? Wat is de classificatie? En in welke omgeving mag dit? Als je daar geen helder antwoord op hebt, is het risico meestal al te hoog voor die inzetvorm.

2) Betrouwbaarheid van output: van plausibel naar aantoonbaar klopt

De tweede lens gaat over outputbetrouwbaarheid. AI kan uitstekend structureren, formuleren en samenvatten, maar blijft gevoelig voor hallucinaties: output die overtuigend klinkt en tóch feitelijk onjuist is. In finance is dat extra riskant omdat tekst vaak direct doorwerkt in besluiten: acceptatie, pricing, kredietlimieten, claimrouting, KYC-escalaties of klantcommunicatie. Daarom is “klinkt professioneel” nooit een kwaliteitscriterium op zichzelf; je scan moet afdwingen dat output verifieerbaar is.

Een belangrijk misverstand is: “Als ik maar precies genoeg prompt, wordt het correct.” Een betere prompt helpt, maar garandeert geen waarheid. Betrouwbaarheid ontstaat pas wanneer je je AI-taak bewust in twee passes organiseert. In pass 1 laat je AI vooral structuur en onzekerheden expliciteren: wat is bekend, wat is onbekend, welke bronpassages ondersteunen welke claim? In pass 2 laat je AI pas taal en vorm optimaliseren. Dit maakt je controle sneller, omdat je niet in één keer een mooi verhaal hoeft te ontleden om aannames te vinden.

Veelgemaakte fouten komen steeds terug:

• Samenvattingen vertrouwen zonder steekproef tegen het bronstuk (vooral bij lange documenten).

• Output gebruiken als “advies” zonder onderbouwing of interne kwalificatie.

• Vergeten dat AI vaak te zeker formuleert; zekerheid is stijl, geen bewijs.

In je persoonlijke scan noteer je daarom: welke kritieke punten moeten kloppen (bijv. omzettrend, cashflow, convenanten, dekkingselementen, ontbrekende documenten) en hoe je ze checkt. Dat maakt de controle doelgericht: je hoeft niet “alles” te controleren, maar je moet kunnen uitleggen dat je het juiste hebt gecontroleerd.

3) Compliance & verantwoordelijkheid: AI verandert niets aan wie aanspreekbaar is

De derde lens is verantwoordelijkheid. Ook als AI helpt schrijven of structureren, blijft de organisatie verantwoordelijk voor privacy, zorgplicht, non-discriminatie, dossierkwaliteit en consistent beleid. “De tool zei het” is in een gereguleerde context zelden een acceptabele verklaring. De werkscan maakt daarom zichtbaar: wie accordeert de output, wie bewaakt data-invoer, en wie beslist of output intern concept blijft of extern gebruikt mag worden.

Het onderscheid tussen intern en extern gebruik is hierbij cruciaal, maar vaak verkeerd geïnterpreteerd. “Alleen intern” betekent niet automatisch toegestaan: intern kun je nog steeds een privacy-incident veroorzaken of vertrouwelijke info verkeerd opslaan. En zodra output naar klanten gaat, gelden hogere eisen aan toon, consistentie, onderbouwing en juridische betekenis. Zeker bij claims of kredietbesluiten kan de vraag ontstaan hoe je aantoont dat een beslissing eerlijk en navolgbaar is. AI kan argumentatie structureren, maar mag geen black box worden die je niet kunt verklaren.

Een praktisch onderdeel van je scan is daarom het labelen van status en bedoeling:

• Concept (intern): expliciet markeren als concept, met bronverwijzing of “te verifiëren” punten.

• Dossierstuk (audit-relevant): vastleggen wat AI deed, welke bronnen gebruikt zijn, en wie controleerde.

• Klantcommunicatie: alleen na inhoudelijke review; geen aannames, geen impliciet advies zonder beleid/onderbouwing.

Hier zit ook een misvatting die je scan moet doorprikken: “AI is slechts tekst, dus geen impact.” Tekst stuurt beslissingen—en daarmee is de impact vaak juist heel concreet.

4) Procesbeheersing: veilig AI-gebruik is goed workflow-ontwerp

De vierde lens is proces: veilige AI is vooral een kwestie van workflow rondom de tool. Niet alleen “is de tool veilig?”, maar “waar in de keten zit AI, welke checks horen erbij, en wat leggen we vast?” Dat sluit aan op hoe banken en verzekeraars al werken: vier-ogen-principes, dossiervorming, controles op kritieke stappen. Je persoonlijke scan koppelt daarom het impactniveau van je taak aan de strengheid van je beheersing: hoe hoger de impact, hoe strakker de guardrails.

Een bruikbaar schema is de driedeling uit het vorige blok: invoerlaag – transformatielaag – uitvoerlaag. In elke laag stel je één kernvraag. Invoer: “welke data, en is die minimaal en toegestaan?” Transformatie: “wat laat ik AI doen—structuur, samenvatting, classificatie, aanbeveling?” Uitvoer: “waar gaat dit heen—mail, dossier, klant—en wat zijn de verplichte checks/logging?” Als je dit niet expliciet maakt, ontstaan bekende faalpatronen: shadow AI (tools buiten zicht van IT/compliance), review als rubber-stamping, of output die in dossiers belandt zonder promptdatum/broncontext.

[[flowchart-placeholder]]

Om je werkscan praktisch te houden, helpt een eenvoudige vergelijking: je hoeft niet elk AI-gebruik maximaal te controleren, maar je moet het controleniveau laten aansluiten bij het soort output.

Dimensie	Laag risico: redactie & format	Midden risico: samenvatten & structureren	Hoog risico: analyse & aanbeveling
Typische inzet	Herschrijven, toon normaliseren, taalcorrectie, sjablonen invullen.	Samenvatting van beleid/rapporten, extractie van hoofdpunten, checklist-structuur.	Duiding, classificatie, prioritering, “beste keuze” of besluitvoorstellen.
Wat kan er misgaan	Verkeerde nuance of tone-of-voice; reputatierisico bij externe verzending.	Cruciale details weg; schijnzekerheid door nette structuur; verkeerde interpretatie van bron.	Hallucinaties met impact; bias/discriminatie; onverklaarbare beslissingen; compliance-fouten.
Passende data-aanpak	Bij voorkeur geen klantdata; werk met generieke tekst of geanonimiseerde fragmenten.	Alleen noodzakelijke fragmenten; vermijd volledige dossiers; houd bronstuk bij de hand.	Strikte minimalisatie; vaak alleen in gecontroleerde interne omgevingen; expliciete grondslag/toestemming waar nodig.
Controle die “past”	Snelle menselijke check: namen, gevoelige info, toon.	Steekproef tegen bron; AI laten markeren wat onzeker is; tweede lezer bij kritieke stukken.	Verplichte review door inhoudsverantwoordelijke; onderbouwing vastleggen; escalatiepad en logging.
Wat je vastlegt	Versie van verzonden tekst en verantwoordelijke.	Bronnen, datum, welke delen door AI zijn gevormd, en wat is geverifieerd.	Volledige trace: inputsamenvatting, beoordelingsnotities, rationale, akkoord door beslisbevoegde.

Twee uitgewerkte voorbeelden: zo ziet een “goede scan” er in het echt uit

Voorbeeld 1: kredietmemo (AI voor structuur en taal, niet voor “advies”)

Een relatiemanager werkt aan een kredietmemo voor een groot-mkb-financiering. Er zijn jaarrekeningen, managementinformatie en een intern risico-overzicht. De druk is hoog, dus de snelle route lijkt: alles in AI plakken en vragen om “maak een memo en geef advies”. In je persoonlijke werkscan markeer je dit direct als hoog risico als je het adviesdeel toelaat: normatieve output kan beslissingen sturen, terwijl AI geen bron van waarheid is en gemakkelijk aannames invult.

Een beheerste aanpak begint bij data. Je gebruikt niet het volledige dossier, maar alleen kernpunten die al intern gedeeld en relevant zijn: geaggregeerde financiële ratio’s, trendobservaties, en eventueel vooraf goedgekeurde sector-tekstblokken. Je vervangt identificeerbare details door generieke termen waar mogelijk. Dan zet je de AI-taak bewust om naar midden risico: “maak een structuur + vat samen wat er staat, zonder nieuwe aannames; markeer onbekend als onbekend.” Dat dwingt het model om gaten zichtbaar te maken in plaats van ze op te vullen.

Daarna volgt controle in twee stappen. Eerst check je een paar kritieke ankers tegen de bron: omzettrend, cashflow, convenanten, zekerheden en eventuele afwijkingen. Pas als die kloppen, laat je AI helpen met redactie: helder Nederlands, consistente terminologie, compacte managementsamenvatting. De winst is groot—sneller schrijven en beter gestructureerd—maar de beperking blijft expliciet: als brondata onzeker is, kan AI dat niet repareren; het kan hooguit helpen om onzekerheden sneller te signaleren en consistenter te documenteren.

Voorbeeld 2: triage van schadeclaims (classificeren zonder onbedoelde bias of “dekkingsoordeel”)

Een commerciële verzekeraar ontvangt veel schademeldingen in vrije tekst. AI kan helpen met triage: schadecategorie, urgentie, ontbrekende documenten en routing naar de juiste behandelaar. In je werkscan label je dit niet automatisch als laag risico, omdat classificatie direct effect heeft op doorlooptijd, klantbeleving en soms uitkomst. Het risico wordt hoog als de AI-uitkomst onbewust gaat functioneren als “mini-beslissing” (bijv. impliciet fraude- of dekkingssignaal).

Een beheerste inzet start met strikte invoerkeuzes: alleen wat nodig is voor routing—bijvoorbeeld interne referentie, datum, categorie-indicatie en korte beschrijving—en expliciet vermijden van medische details of irrelevante persoonsgegevens. Je vraagt AI-output in een gestructureerd formaat: categorie, confidence, ontbrekende stukken, en “red flags” als vragenlijst (geen conclusie). De prompt bevat een harde begrenzing: “noem alleen mogelijke aandachtspunten, geen oordeel over dekking of fraude.”

De menselijke controle zit vervolgens op impactpunten. Bij eenvoudige, lage-impact claims volstaat een snelle check op categorie en ontbrekende documenten. Bij grotere bedrijfsschade, arbeidsongeschiktheid-achtige signalen of verhaalskwesties voeg je een extra review toe: klopt de routing, bevat output geen gevoelige details die niet in een dossier horen, en zijn de ‘red flags’ niet stigmatiserend of gebaseerd op irrelevante kenmerken? De opbrengst is snellere doorlooptijd en completere dossiers; de beperking is dat triage bias kan versterken als historische patronen doorsijpelen. Daarom hoort periodieke kwaliteitscontrole bij dit proces, ook als de dagelijkse handeling “slechts” triage lijkt.

De werkscan in één werkzin (en wat je onthoudt)

Een persoonlijke AI-werkscan komt steeds neer op dezelfde discipline: doelbewust kiezen, minimaal invoeren, en verifieerbaar uitbrengen. Als je twijfelt, helpt één korte gedachte: “Zou ik dit kunnen uitleggen aan audit of compliance, inclusief wat ik invoerde, wat AI deed, en hoe ik controleerde?” Als het antwoord nee is, is je inzet meestal te ruim, te vaag of te weinig geborgd.

Belangrijkste takeaways:

• Start bij data, niet bij prompts: classificatie en minimalisatie bepalen je echte risicoprofiel.

• Koppel controle aan outputtype: administratief is anders dan analytisch; normatief vraagt zware waarborgen.

• Maak verificatie concreet: bepaal vooraf welke kritieke punten moeten kloppen en hoe je die checkt.

• Leg verantwoordelijkheid vast in de workflow: wie accordeert, waar gaat output heen, en wat wordt dossiermateriaal.

This sets you up perfectly for Vervolgstappen en leerpad vooruit [15 minutes].