Corporate governance en AI: wat moet het bestuur regelen?

Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 14 oktober 2026

Zet een onderneming kunstmatige intelligentie (AI) in, dan blijft het bestuur volledig verantwoordelijk voor de besluiten en de risico’s die daaruit voortvloeien; een algoritme neemt die verantwoordelijkheid niet over. Het bestuur moet sinds 2 februari 2025 bovendien zorgen voor voldoende AI-geletterdheid in de organisatie, terwijl de zwaarste plichten voor hoog-risico-AI, zoals bij werving of kredietbeoordeling, pas per 2 december 2027 gelden.

Goede corporate governance bij AI draait daarom om drie vragen: wie beslist over de inzet van AI, hoe worden de risico’s beheerst, en hoe legt het bestuur daarover verantwoording af. Hieronder leest u welke regels daarvoor gelden in het Nederlandse ondernemingsrecht, de AI-verordening, de AVG en de Wet op de ondernemingsraden (WOR).

Wie is verantwoordelijk voor AI binnen een onderneming?

Het bestuur. Volgens artikel 2:129 BW (bv) en artikel 2:239 BW (nv) is het bestuur belast met het besturen van de vennootschap, en artikel 2:9 BW verplicht iedere bestuurder tot een behoorlijke vervulling van zijn taak.

Dat geldt ook als een bestuur besluiten laat voorbereiden of nemen door een AI-systeem. Het bestuur kiest het systeem, bepaalt waarvoor het wordt gebruikt en moet de uitkomsten kunnen controleren. Een bestuurder die een AI-advies zonder eigen beoordeling volgt, kan zich er later niet op beroepen dat “het systeem” heeft beslist.

De raad van commissarissen houdt volgens artikel 2:140 en 2:250 BW toezicht op het beleid van het bestuur. Bij AI betekent dat: vragen stellen over welke systemen worden gebruikt, welke risico’s daaraan kleven en hoe die worden bewaakt.

Wanneer is een bestuurder aansprakelijk bij fouten van AI?

Alleen als hem een ernstig verwijt kan worden gemaakt. Dat is de maatstaf die de Hoge Raad hanteert voor interne aansprakelijkheid op grond van artikel 2:9 BW (HR 10 januari 1997, ECLI:NL:HR:1997:ZC2243, Staleman/Van de Ven).

Of sprake is van een ernstig verwijt, hangt af van alle omstandigheden: de aard van de activiteiten, de risico’s die daaruit voortvloeien, de taakverdeling binnen het bestuur en de informatie waarover de bestuurder beschikte. Een bestuur dat een AI-systeem zonder risicoanalyse en zonder toezicht laat beslissen over klanten of personeel, loopt meer risico op zo’n verwijt dan een bestuur dat de inzet heeft vastgelegd en bewaakt. Meer over de maatstaf leest u in ons artikel over bestuurdersaansprakelijkheid bij een bv.

Tegenover derden, zoals klanten die schade lijden door een fout van een AI-toepassing, is in de eerste plaats de vennootschap aansprakelijk. Persoonlijke aansprakelijkheid van de bestuurder op grond van onrechtmatige daad (artikel 6:162 BW) vereist ook dan een persoonlijk ernstig verwijt. Zie ook wie aansprakelijk is bij fouten van kunstmatige intelligentie.

Welke plichten legt de AI-verordening op aan de onderneming?

Dat hangt af van de rol van de onderneming en het risico van het systeem. De AI-verordening (Verordening (EU) 2024/1689) onderscheidt onder meer aanbieders, die een AI-systeem ontwikkelen of onder eigen naam in de handel brengen, en gebruiksverantwoordelijken, die een systeem onder eigen gezag gebruiken.

De meeste ondernemingen zijn gebruiksverantwoordelijke: zij kopen een AI-toepassing in en zetten die in hun eigen processen in. Voor hen gelden in elk geval deze regels:

• AI-geletterdheid (artikel 4): sinds 2 februari 2025 moet de onderneming maatregelen nemen zodat medewerkers die met AI werken voldoende kennis hebben van de werking en de risico’s.
• Verboden praktijken (artikel 5): sinds 2 februari 2025 zijn onder meer manipulatieve technieken, sociale scoring en emotieherkenning op de werkplek (behoudens medische of veiligheidsredenen) verboden.
• Hoog-risicosystemen: voor systemen die bijvoorbeeld worden gebruikt bij werving, beoordeling of ontslag van personeel of bij kredietbeoordeling gelden strenge eisen, zoals menselijk toezicht en het bewaren van logs. Na de Digital Omnibus (Verordening (EU) 2026/1744) gelden die plichten per 2 december 2027.
• Transparantie: wie bijvoorbeeld chatbots inzet of door AI gegenereerde inhoud verspreidt, moet daarover in bepaalde gevallen informeren.

Overtreding van de verboden praktijken kan worden beboet met maximaal € 35 miljoen of 7% van de wereldwijde jaaromzet, als dat hoger is (artikel 99 AI-verordening). Een uitgebreide uitleg vindt u in onze gids over de AI-verordening en in ons artikel over de voorbereiding op de AI Act.

Welke rol speelt de AVG bij AI-besluiten?

Een grote. Verwerkt een AI-systeem persoonsgegevens, dan gelden de beginselen van de AVG, zoals doelbinding en dataminimalisatie (artikel 5 AVG), en moet er een grondslag zijn (artikel 6 AVG).

Artikel 22 AVG geeft betrokkenen het recht niet te worden onderworpen aan een uitsluitend geautomatiseerd besluit met rechtsgevolgen of een vergelijkbaar ingrijpend effect, behoudens uitzonderingen. Bij een AI-toepassing met een hoog privacyrisico is vooraf een gegevensbeschermingseffectbeoordeling (DPIA) verplicht (artikel 35 AVG). Toezicht ligt bij de Autoriteit Persoonsgegevens.

Bij werving en selectie speelt daarnaast het verbod op discriminatie uit de Algemene wet gelijke behandeling. Lees hierover meer in ons artikel over discriminatie bij AI-screening.

Heeft de ondernemingsraad iets te zeggen over AI?

Vaak wel. Een ondernemingsraad heeft instemmingsrecht bij een regeling over de verwerking van persoonsgegevens van werknemers (artikel 27 lid 1 sub k WOR) en bij voorzieningen die geschikt zijn voor controle van aanwezigheid, gedrag of prestaties van werknemers (artikel 27 lid 1 sub l WOR).

Veel AI-toepassingen op de werkvloer, zoals systemen die productiviteit meten of sollicitanten selecteren, vallen daaronder. Een besluit dat zonder vereiste instemming is genomen, is nietig als de ondernemingsraad daar binnen een maand schriftelijk een beroep op doet (artikel 27 lid 5 WOR). Daarnaast kan het adviesrecht van artikel 25 WOR gelden bij de invoering van een belangrijke technologische voorziening.

Moet het bestuur ook iets regelen voor cyberbeveiliging?

Voor ondernemingen die onder de Cyberbeveiligingswet vallen wel. Die wet, de Nederlandse uitwerking van de NIS2-richtlijn, geldt sinds 15 augustus 2026 en verplicht het bestuur om de beveiligingsmaatregelen goed te keuren, toe te zien op de uitvoering en zelf een training te volgen.

AI-systemen maken deel uit van de digitale infrastructuur. Kwetsbaarheden in een AI-toepassing of bij de leverancier ervan horen daarom in dezelfde risicobeheersing thuis. Afspraken met leveranciers over aansprakelijkheid en beveiliging legt u vast in het contract; zie contracten met AI-leveranciers.

Hoe richt u AI-governance in?

Door de inzet van AI vast te leggen in beleid, één verantwoordelijke per systeem aan te wijzen en periodiek te rapporteren aan bestuur en raad van commissarissen. Zo kan het bestuur aantonen dat het zijn taak uit artikel 2:9 BW behoorlijk vervult.

Beursgenoteerde vennootschappen volgen daarnaast de Nederlandse Corporate Governance Code, die het bestuur verantwoordelijk maakt voor risicobeheersing en interne controle en de raad van commissarissen voor het toezicht daarop. Voor andere ondernemingen is de code geen verplichting, maar wel een bruikbaar kader.

In de praktijk werkt deze volgorde goed:

1. Breng in kaart welke AI-systemen de onderneming gebruikt of ontwikkelt, en in welke rol (aanbieder of gebruiksverantwoordelijke).
2. Bepaal per systeem de risicocategorie onder de AI-verordening en of persoonsgegevens worden verwerkt.
3. Stel een AI-beleid vast met regels voor inkoop, gebruik, menselijk toezicht en melding van incidenten.
4. Regel AI-geletterdheid: training voor medewerkers die met AI werken, afgestemd op hun rol.
5. Betrek de ondernemingsraad tijdig bij systemen die onder artikel 27 WOR vallen.
6. Leg besluiten over AI vast in de notulen, zodat later aantoonbaar is welke afweging het bestuur heeft gemaakt.

Gebruiken werknemers zelf AI-tools zoals chatbots, dan horen daar duidelijke afspraken bij over vertrouwelijke informatie en persoonsgegevens; zie gebruik van AI-tools door werknemers.

Waar let u als bestuurder op?

• Weet u welke AI-systemen in de onderneming worden gebruikt en wie daarvoor verantwoordelijk is?
• Is per systeem vastgesteld of het onder de verboden of hoog-risicocategorieën van de AI-verordening valt?
• Is er een DPIA gedaan voor systemen die persoonsgegevens verwerken met een hoog risico (artikel 35 AVG)?
• Heeft de ondernemingsraad ingestemd waar artikel 27 WOR dat vereist?
• Zijn de bestuursbesluiten over AI en de onderliggende afweging vastgelegd?

Waar let u als commissaris op?

• Rapporteert het bestuur periodiek over AI-gebruik, incidenten en naleving van de AI-verordening en de AVG?
• Is de risicobeheersing rond AI onderdeel van het interne controlesysteem?
• Beschikt de raad zelf over voldoende kennis om de juiste vragen te stellen?
• Zijn de afspraken met AI-leveranciers over aansprakelijkheid en beveiliging beoordeeld?

Wat kunnen wij voor u doen bij AI en corporate governance?

• Beoordelen welke AI-systemen u gebruikt en welke plichten uit de AI-verordening en de AVG daarvoor gelden.
• Opstellen van een AI-beleid, een bestuursreglement of een rapportagestructuur voor bestuur en raad van commissarissen.
• Beoordelen en onderhandelen van contracten met AI-leveranciers.
• Begeleiden van het instemmingstraject met de ondernemingsraad.
• Adviseren en procederen over bestuurdersaansprakelijkheid, als advocaat ondernemingsrecht.

Samengevat

• Het bestuur blijft verantwoordelijk voor besluiten die met AI worden voorbereid of genomen (artikel 2:9 BW).
• Persoonlijke aansprakelijkheid vereist een ernstig verwijt (HR Staleman/Van de Ven, ECLI:NL:HR:1997:ZC2243).
• AI-geletterdheid en de verboden praktijken gelden sinds 2 februari 2025; hoog-risicoplichten uit bijlage III per 2 december 2027 en voor producten uit bijlage I per 2 augustus 2028.
• De AVG en het instemmingsrecht van de ondernemingsraad (artikel 27 WOR) gelden nu al.
• Vastgelegd beleid, een verantwoordelijke per systeem en periodieke rapportage maken het verschil.

Veelgestelde vragen

Mag een AI-systeem zelfstandig bestuursbesluiten nemen?

Nee. Het bestuur is volgens artikel 2:129 en 2:239 BW belast met het besturen; een systeem kan een besluit voorbereiden, maar het bestuur moet het besluit nemen en kunnen verantwoorden.

Geldt de AI-verordening ook voor een mkb-bedrijf dat alleen standaardsoftware gebruikt?

Ja, in elk geval de plicht tot AI-geletterdheid (artikel 4) en de verboden praktijken (artikel 5). Welke andere plichten gelden, hangt af van de toepassing; voor hoog-risicosystemen uit bijlage III, zoals bij werving, gelden zwaardere eisen per 2 december 2027.

Heeft de ondernemingsraad instemmingsrecht bij een AI-tool voor werving?

Vaak wel, omdat zo’n tool persoonsgegevens verwerkt en prestaties of gedrag kan beoordelen (artikel 27 lid 1 sub k en l WOR). Het hangt af van de precieze werking van het systeem.

Wie houdt toezicht op naleving van de AI-verordening?

Elke lidstaat wijst eigen markttoezichthouders aan; in Nederland wordt die taakverdeling in nationale wetgeving vastgelegd. De Autoriteit Persoonsgegevens coördineert nu al het algoritmetoezicht en is bevoegd voor de AVG. Op AI-modellen voor algemene doeleinden houdt het Europese AI-bureau toezicht.

Lees ook: juridische risico’s van AI en wat de AI Act betekent voor uw bedrijf.