AI target operating model: zo richt je AI-governance en AI-adoptie in

Bijna elke organisatie gebruikt inmiddels AI, maar weinig organisaties halen er aantoonbaar waarde uit. Het verschil zit zelden in de technologie. Het zit in de inrichting: wie beslist, wie is eigenaar, hoe loopt een nieuwe toepassing door de organisatie en wat gebeurt er met de tijd die AI bespaart. Dit artikel beschrijft een AI target operating model dat governance en adoptie samenbrengt, onderbouwd met onderzoek van McKinsey, BCG, IBM en MIT, de actuele AI Act na de AI Omnibus en vijf organisaties die het al zo doen.

Wat is een AI target operating model?

Een target operating model (TOM) beschrijft hoe een organisatie in de gewenste situatie werkt: wie wat doet, wie wat beslist en via welke processen. Een AI target operating model doet dat specifiek voor het ontwikkelen, inkopen en gebruiken van AI. Het geeft antwoord op vier vragen:

1. Sturing: wie beslist over AI, en wie mag een toepassing stoppen?
2. Rollen: wie is eigenaar, wie zet de kaders en wie toetst onafhankelijk?
3. Processen: hoe gaat een nieuwe AI-toepassing van idee naar gebruik?
4. Adoptie en waarde: hoe levert AI aantoonbaar resultaat op in het werk?

AI-governance beantwoordt vooral de eerste drie vragen. Een AI target operating model voegt de vierde toe. Daarmee stuurt één model op zowel verantwoord gebruik als resultaat. Het model sluit aan op drie bekende raamwerken: de managementsysteemnorm ISO/IEC 42001, het NIST AI Risk Management Framework en het Three Lines-model van het Institute of Internal Auditors.

Waarom governance en adoptie in één model?

De cijfers laten een duidelijk patroon zien:

• Volgens McKinsey (november 2025) ziet 39 procent van de organisaties enige winstimpact van AI. De koplopers, ongeveer 6 procent van de respondenten, herontwerpen hun werkprocessen bijna drie keer zo vaak als de rest. Hun leiders treden bovendien vaker op als trekker van AI.
• In de editie van maart 2025 testte McKinsey 25 kenmerken. Het herontwerpen van werkprocessen had het grootste effect op winstimpact uit generatieve AI. Toezicht door de CEO op AI-governance hoorde bij de factoren die er het sterkst mee samenhangen. Slechts 28 procent van de organisaties had dat toezicht bij de CEO belegd.
• BCG werkt met de 10-20-70-regel: 10 procent van de inspanning gaat naar algoritmes, 20 procent naar techniek en data en 70 procent naar mensen en processen.
• Uit BCG AI at Work 2026 blijkt dat 74 procent van de uitvoerende kantoormedewerkers AI regelmatig gebruikt. 42 procent van die vaste gebruikers bespaart minstens een volle werkdag per week, maar 66 procent krijgt weinig of geen richting over wat ze met die tijd moeten doen.

De conclusie is praktisch. Een organisatie die kaders, rollen, processen en adoptie in één model regelt, kan snel en verantwoord ja zeggen tegen AI, en weet waar de bespaarde tijd naartoe gaat.

Het model in één oogopslag

Het model bestaat uit vier lagen. Elke laag beantwoordt één vraag en heeft één eigenaar.

Laag 1: sturing

Een AI-raad met echt mandaat is in de praktijk goed werkbaar. Bij SAP kan het ethische gremium de ontwikkeling, uitrol of verkoop van een AI-systeem stilleggen, zo beschrijft de OECD. Bij Mastercard wordt de AI Governance Council ingeschakeld zodra een model als middel of hoog risico is ingedeeld, aldus IMD.

Zichtbaar sponsorschap door de top is de belangrijkste succesfactor bij verandering. Prosci stelt dat al ruim 25 jaar vast in zijn onderzoek naar verandermanagement (Prosci). De vergaderritmes in de tabel zijn een advies op basis van de praktijk. De genoemde bedrijven publiceren hun eigen ritmes niet.

Laag 2: rollen en drie lijnen

Het Algoritmekader van de Nederlandse overheid schrijft deze indeling voor als maatregel voor algoritmegovernance. De gemeente Rotterdam werkt er al mee (evaluatie gemeente Rotterdam).

De AI Act vraagt van organisaties die hoog-risico-AI inzetten dat bekwame personen het menselijk toezicht uitoefenen (artikel 26 van de AI Act). Leg daarom per systeem vast wie die toezichthouder is. Voor de derde lijn is het AI Auditing Framework van het IIA een bruikbaar toetsingskader. Beleg de tweede lijn in vaste formatie. Rotterdam stelde bij de evaluatie in 2023 vast dat ingehuurde algoritme-experts een kwetsbare bezetting vormden.

Laag 3: processen

De triage: drie vragen

De gemeente Rotterdam selecteert toepassingen met hoog risico met drie vragen die een proceseigenaar zelf kan beantwoorden (gemeente Rotterdam). Vrij vertaald voor elke organisatie:

1. Is de werking niet volledig en kort uit te leggen aan een gemiddelde inwoner of klant?
2. Ontbreekt een menselijke beoordeling voordat de uitkomst wordt toegepast?
3. Kan de toepassing leiden tot een onrechtvaardige behandeling van inwoners of klanten?

Is één antwoord ja, of valt de toepassing onder een verboden praktijk, onder bijlage III van de AI Act of onder de transparantieplicht van artikel 50? Dan volgt de zware route.

De zeven processen

Het AI-register als ruggengraat

Het AI-register legt per systeem minimaal vast: doel, systeemeigenaar, menselijke toezichthouder, databronnen, fase, risicoklasse en de rol onder de AI Act (aanbieder of gebruiksverantwoordelijke). Overheden publiceren hun impactvolle algoritmes daarnaast in het landelijke Algoritmeregister, dat op 4 oktober 2026 1.574 algoritmes bevatte. Hoe je een register stap voor stap opzet, lees je in AI-register voor bedrijven en gemeenten: zo werkt het in de praktijk.

Een assessment vóór de bouw levert aantoonbaar betere systemen op. Unilever laat elk nieuw AI-project vóór de uitrol beoordelen door een vast team van experts (Unilever). Volgens CIO Dive werd ongeveer de helft van de beoordeelde projecten aangepast op prestaties, bias of transparantie.

Laag 4: adoptie en waarde

De vijf uur training is een uitkomst uit onderzoek, geen wettelijke norm. De AI Act schrijft geen minimum aantal uren of certificaat voor. Kies de diepgang per rol en leg vast welke maatregelen je neemt.

Welk operating model past bij jouw organisatie?

Het onderzoek Solving the AI ROI puzzle van het IBM Institute for Business Value (2025) liet ook zien dat zulke organisaties twee keer zoveel AI-pilots naar productie brengen (IBM Newsroom). Het gaat om samenhang uit een survey, niet om bewezen oorzaak en gevolg. Microsoft koos voor AI bewust hetzelfde hub-and-spoke-patroon dat eerder werkte voor privacy, security en toegankelijkheid (World Economic Forum).

De doorlooptijden zijn een inschatting op basis van de praktijk. De minimale MKB-versie bestaat uit één AI-officer, een register in een spreadsheet, de drie triagevragen, een gebruiksbeleid voor generatieve AI en een trainingsplan per rol. Dat volgt het vierstappenplan voor AI-geletterdheid van de Autoriteit Persoonsgegevens: identificeren, doel bepalen, uitvoeren en evalueren.

Wat vraagt de AI Act na de AI Omnibus?

Voor gemeenten en verzekeraars is artikel 27 extra relevant. Publiekrechtelijke organisaties en gebruiksverantwoordelijken van kredietbeoordeling en van risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen voeren een grondrechteneffectbeoordeling (FRIA) uit vóór ze hoog-risico-AI inzetten. Financiële instellingen houden daarnaast rekening met AFM en DNB. Zij vragen om ook bij toepassingen zonder hoog risico zoveel mogelijk aan te sluiten bij de hoog-risico-eisen (CMS).

Stappenplan: in 90 dagen een werkend model

Dag 1 tot 30: fundament

• Wijs een bestuurlijk sponsor en een AI-lead aan.
• Inventariseer alle AI-toepassingen, ook ingekochte software en AI-functies in bestaande tools.
• Leg de eerste versie van het AI-register vast.
• Doe een nulmeting van gebruik en AI-geletterdheid.
• Schrijf het AI-beleid in concept en doe een gap-analyse tegen de AI Act.

Gate 1: sponsor, AI-lead en register staan.

Dag 31 tot 60: structuur

• Stel de AI-raad in met een vastgelegd mandaat.
• Wijs per team of afdeling een champion aan.
• Zet de intake en de triage live.
• Deel alle bekende systemen in op risico en leg de verantwoordelijkheden vast.

Gate 2: de AI-raad neemt zijn eerste besluiten.

Dag 61 tot 90: operatie

• Voer de eerste impact assessments uit voor toepassingen met hoog risico.
• Start het herontwerp van het eerste werkproces.
• Rol de training per rol uit.
• Neem AI-afspraken op in inkoopcontracten.
• Zet het KPI-dashboard live.

Gate 3: het eerste kwartaalrapport gaat naar het bestuur.

Maand 4 tot 12: borgen en opschalen

• Voeg elk kwartaal nieuwe processen toe aan het portfolio.
• Laat de derde lijn de opzet en werking toetsen.
• Evalueer en stuur bij op basis van de KPI’s.
• Bereid desgewenst een certificering voor ISO/IEC 42001 voor.

Hoe meet je of het model werkt?

Praktijkvoorbeelden die werken

Vijf organisaties laten zien dat de lagen van dit model in de praktijk werken. De cijfers zijn gepubliceerd door de organisaties zelf of door hun adviseur.

Veelgestelde vragen

Dit artikel is voor het laatst gecontroleerd en bijgewerkt op 4 oktober 2026.