Wat AWS Reimagine onthult over het AI-governancegat binnen ondernemingen
Eén onderneming bereikte 88 procent adoptie van haar AI-tools en leverde toch in minder dan één op de 5.000 sessies daadwerkelijk beter werk op. Die statistiek, diep verstopt in het nieuwe Reimagine 2026-rapport van Amazon Web Services, zegt meer over de staat van AI-governance binnen ondernemingen dan welke adoptie-enquête dan ook die dit jaar is gepubliceerd. Het gebruik was overal. Verifieerbare, gereguleerde waarde was vrijwel nergens. En precies in die kloof bevindt zich nu het grootste deel van de beveiligings- en compliance-exposure van organisaties.
AWS baseerde het Reimagine 2026-rapport op negen maanden vertrouwelijke interviews, van november 2025 tot juli 2026, met 154 leiders—voornamelijk C-level executives die AI-programma’s leiden in 23 sectoren en 27 landen—bijgestaan door senior Amazon-onderzoekers die de bevindingen codeerden en controleerden. Het is geen leveranciersenquête volgepropt met adoptiecijfers. Het is een grondige analyse van hoe governance in de praktijk faalt zodra AI-agenten daadwerkelijk binnen bedrijfsprocessen opereren, en het sluit aan bij een thema dat Kiteworks nauwgezet volgt in eigen onderzoek. Adoptie overtreft de controles die het moeten reguleren, en de resulterende kloof is nu net zozeer een gegevensbeheerprobleem als een technologisch vraagstuk.
Die benadering is relevant voor de lezer die verantwoordelijk is voor de gevolgen wanneer het misgaat. Een CISO of chief compliance officer ervaart shadow AI niet als een productiviteitsverhaal. Zij ervaren het als een onbeantwoordbare vraag van een toezichthouder of een tegenpartij: wie heeft deze AI-agent gemachtigd om deze data te benaderen, en was het op dat moment versleuteld, gelogd en voorzien van toegangscontrole? De bevindingen van AWS, vanuit dat perspectief gelezen, beschrijven een verantwoordingsvacuüm dat Kiteworks secure data exchange juist wil oplossen, omdat toezichthouders data reguleren, niet modellen, en een audittrail die die vraag niet kan beantwoorden is geen bewijs.
Deze post werkt uit wat AWS heeft gevonden, scheidt de geverifieerde statistieken van cijfers die in secundaire berichtgeving onterecht aan dit rapport worden toegeschreven, en verbindt de governance-kloof aan de specifieke controles—toegangsafdwinging per verzoek, credential-isolatie en uniforme audit logging—die toezicht op AI-risico omzetten van een beleidsdocument naar iets dat een auditor kan inspecteren.
Belangrijkste inzichten
1. Adoptie is geen bewijs van gereguleerde waarde.
AWS vond een organisatie met 88 procent AI-tool adoptie die in minder dan één op de 5.000 sessies daadwerkelijk beter werk opleverde, waarmee wordt aangetoond dat gebruiksstatistieken vrijwel niets zeggen over de veiligheid, nauwkeurigheid of autorisatie van AI-output.
2. Gedocumenteerde AI-governance blijft de uitzondering, niet de norm.
Een bijbehorende enquête van Strand Partners onder Europese bedrijven, in opdracht van AWS, toont aan dat meer dan de helft van de mkb’s en grote ondernemingen, samen met driekwart van de startups, nu AI gebruikt, maar slechts 24 procent heeft een gedocumenteerde verantwoorde AI-aanpak en slechts 10 procent heeft een strategie voor gegevensbeheer.
3. Trage goedkeuringscycli drijven AI-gebruik ondergronds.
De geïnterviewden van AWS beschreven dat ze zes maanden durende IT-reviewprocessen toepassen op AI-experimenten die zich binnen dagen voltrekken. Ze rapporteerden dat wanneer een experiment van twee weken een goedkeuring van een maand vereist, teams stoppen met toestemming vragen en achteraf om vergiffenis vragen, waardoor beleid een aanjager wordt van shadow AI in plaats van een controlemechanisme.
4. Governance moet buiten het AI-systeem plaatsvinden, niet erin.
De eigen richtlijnen van het rapport voor agentic AI pleiten voor identiteit-, toegangs- en encryptiecontroles die onafhankelijk van de agent functioneren, plus gefaseerde autonomie die alleen uitbreidt na bewezen betrouwbaarheid—taal die AWS zelf vergelijkt met een proeftijd voor een nieuwe medewerker.
5. De oplossing is afdwinging op het dataniveau, niet nog een beleidsdocument.
Het dichten van de kloof die AWS beschrijft vereist controles die automatisch worden toegepast op het moment dat een AI-agent data opvraagt—precies de taak van Kiteworks Compliant AI en de Kiteworks Secure MCP Server.
Inzichten uit het AWS Reimagine 2026-onderzoek
Het Reimagine-team, een groep Executives in Residence bij AWS afkomstig van voormalige C-level leiders bij organisaties zoals NASA’s Jet Propulsion Laboratory, werkte negen maanden aan dit onderzoek in plaats van simpelweg een enquête uit te voeren. Tussen november 2025 en juli 2026 voerden zij 154 interviews, waarvan 128 met executives uit 23 sectoren en 27 landen, aangevuld met senior AWS-leiders en onderzoekers die computational grounded theory-methoden toepasten om de transcripties consistent te coderen. AWS baseert zich ook op een interne studie naar AI-adoptiedynamiek onder meer dan 35.000 professionals in 27 landen om de interviewbevindingen te toetsen aan een veel grotere dataset.
Die methodologie is belangrijk omdat het iets opleverde wat adoptie-enquêtes zelden vastleggen: een consistent verhaal, van binnenuit tientallen organisaties, dat beschrijft hoe de kloof tussen AI-gebruik en AI-governance ontstaat. De onderzoekers waren expliciet dat dit geen volwassenheidsmodel is of een verkoperspraatje vermomd als onderzoek. Het leest eerder als een diagnose, en die diagnose is dat de meeste organisaties hun AI-governance hebben ingericht voor een wereld waarin technologieprojecten het tempo van een jaarlijks budget volgden, terwijl AI dat tempo niet respecteert.
Eén kanttekening verdient het om helder benoemd te worden, aangezien een veel gedeelde statistiek over dit rapport niet klopt. Sommige secundaire berichtgeving schrijft een “83 procent adoptie, 13 procent zichtbaarheid”-cijfer toe aan AWS Reimagine 2026. Dat getal komt niet voor in het AWS-rapport of in AWS’s eigen aankondiging ervan. Het is afkomstig uit een niet-gerelateerde leveranciersenquête. De geverifieerde AWS- en Strand Partners-cijfers hieronder zijn de enige waarop een governance-argument kan worden gebouwd.
Je vertrouwt erop dat je organisatie veilig is. Maar kun je het bewijzen?
Lees nu
Wanneer 88 procent adoptie bijna geen gereguleerde waarde oplevert
Het duidelijkste bewijs dat adoptie de verkeerde succesmaatstaf is, komt uit een enkel geval dat AWS in zijn onderzoek uitlicht. Eén onderneming toonde 88 procent tool-adoptie, wat betekent dat vrijwel elke medewerker het AI-systeem minstens één keer had gebruikt, maar in minder dan één op de 5.000 sessies werd daadwerkelijk beter werk geleverd dan voorheen. Adoptie was universeel. Verbetering was statistisch vrijwel onzichtbaar. AWS vond hetzelfde patroon in de bredere dataset: minder dan 5 procent van de professionals die vroeg vertrouwd raakten met AI tijdens hun adoptietraject, bereikte ooit het niveau van complexe toepassing dat meetbare bedrijfswaarde oplevert.
Die kloof zou de manier moeten veranderen waarop een security- of compliance-team zijn eigen AI-adoptiedashboard leest. Een hoog adoptiecijfer zegt dat de exposure hoog is. Het zegt niets over of die exposure gereguleerd is, of de data die een agent aanraakte geschikt was om te zien, of dat iemand achteraf kon reconstrueren wat er in een van die sessies is gebeurd. Een adoptiecijfer zonder bijbehorende access log is geen governance-maatstaf. Het is een aansprakelijkheidsoppervlak met een vriendelijke naam.
Dit is precies het blinde vlek AI data governance-programma’s als eerste moeten dichten, voordat ze verder investeren in uitbreiding van AI-capaciteit. Zicht op wat een AI-agent heeft aangeraakt, en autoriteit over wat het mocht aanraken, moet bestaan op het moment dat het verzoek plaatsvindt, niet als een rapport dat weken later wordt gegenereerd wanneer iemand eindelijk vraagt.
De bevindingen van Strand Partners over adoptie zonder governance
De eigen interviews van AWS worden ondersteund door een bijbehorende enquête van Strand Partners, “Unlocking Europe’s AI Potential in the Digital Decade 2025”, gebaseerd op data van duizenden bedrijven in Europa. Het patroon komt vrijwel exact overeen met de interviewdata. Meer dan de helft van de kleine en middelgrote ondernemingen en grote bedrijven, samen met driekwart van de startups, meldt nu AI te gebruiken. Slechts 24 procent heeft echter een gedocumenteerde aanpak voor verantwoord AI-gebruik. Slechts 10 procent heeft überhaupt een strategie voor gegevensbeheer.
Sasha Rubel, Head of AI and Generative AI Policy voor AWS in EMEA, nuanceerde het lezen van die cijfers als een eenvoudige mislukking. “Het weerspiegelt de echte moeilijkheid van het reguleren van een technologie die zichzelf elk kwartaal opnieuw uitvindt,” vertelde ze aan de Reimagine-onderzoekers. Dat is een terecht punt, maar het verandert niets aan de exposure die deze cijfers beschrijven. Een organisatie die AI gebruikt zonder een gedocumenteerde data governance-strategie heeft geen consistent uitgangspunt om de meest basale vraag van een toezichthouder te beantwoorden: welke data heeft dit systeem benaderd, onder welk mandaat, en waar is de output naartoe gegaan? Moeite om uit te leggen waarom governance achterloopt op adoptie is niet hetzelfde als bewijs dat het veilig is om die kloof open te laten.
De positieve kant verdient het ook om benoemd te worden, omdat het het zakelijke argument voor het dichten van de kloof versterkt, niet alleen het compliance-argument. Onderzoek van Bain & Company naar verantwoorde AI-adoptie, aangehaald in hetzelfde AWS-rapport, toont aan dat organisaties met een effectieve verantwoorde AI-aanpak een mediane winstimpact van 6 tot 10 procent zien uit hun AI-use cases, tegenover 3 tot 5 procent voor organisaties zonder zo’n aanpak. Governance, goed uitgevoerd, is geen belasting op AI-waarde. Het is juist een vermenigvuldiger ervan.
Waarom reviewcycli van zes maanden AI die in dagen beweegt niet kunnen reguleren
De meest specifieke en, voor een compliance-leider, meest bruikbare bevinding in het AWS-rapport betreft procesontwerp in plaats van technologie. Veel van de organisaties die AWS interviewde, passen nog steeds dezelfde grondigheid van goedkeuring toe op AI-experimenten als op traditionele IT-programma’s van zes maanden, compleet met commissies die AI-voorstellen beoordelen, beleidsdocumenten die door juridische zaken worden goedgekeurd, en een verplichte menselijke goedkeuring van outputs. Die processen werkten toen een project zes maanden duurde om te bouwen. Ze werken niet wanneer hetzelfde idee in dagen kan worden geprototyped.
Tony Leopold, Chief Technology Officer van United Rentals, beschreef de verschuiving in het rapport ronduit. Werk dat vroeger honderdduizenden dollars en zes maanden kostte, gebeurt nu in dagen voor honderden dollars. Een reviewproces dat is afgestemd op de oude tijdlijn wordt, in de woorden van AWS, “onvoldoende wanneer het zes dagen duurt”, omdat de governance buiten het AI-systeem zit, er later aan vastgemaakt in plaats van ingebouwd, en standaard elk use case als even risicovol behandelt.
Het gevolg is voorspelbaar en AWS benoemt het direct. Als een experiment van twee weken een review van een maand vereist, stoppen teams met toestemming vragen en vragen ze achteraf om vergiffenis nadat ze toch zijn doorgegaan. Beleid in die situatie beperkt het risico niet. Het duwt het risico ondergronds, in ongemonitorde tools en ongelogde workflows die een securityteam pas ontdekt als het al mis is gegaan. Chris Sedore van Boston University, Vice President of Information Services and Technology en Chief Information Officer, gaf een cijfer aan hoe ver dit al is gegaan op zijn eigen instelling: hij schat dat 40 tot 50 procent van het personeel minstens wekelijks AI gebruikt, “sommige in modellen en systemen die wij leveren, sommige die hun eigen gang gaan.” Een geïnterviewde beschreef de resulterende dynamiek als herkenbaar qua vorm, maar niet qua schaal, en merkte op dat CIO’s die jaren bezig waren met het beheren van shadow IT nu shadow AI op tien keer zo grote schaal het hoofd moeten bieden.
Shadow AI is een symptoom van governance-ontwerp, geen gebruikersprobleem
Het zou gemakkelijk zijn om de bevindingen over shadow AI te lezen als een disciplineprobleem—medewerkers die de regels negeren—en een reactie te ontwerpen rond meer training en strengere handhaving van het bestaande goedkeuringsproces. De eigen analyse van AWS pleit tegen die lezing, en het is de moeite waard die serieus te nemen. Het bestaan van shadow AI is geen bewijs dat governance als concept heeft gefaald. Het is bewijs dat governance zo is ontworpen dat mensen het ervaren als een belemmering om hun werk te doen, wat betekent dat de oplossing herontwerp is, niet strengere handhaving van hetzelfde ontwerp met meer consequenties.
Die diagnose komt overeen met wat andere onderzoekers onafhankelijk van AWS vinden. Het 2026 AI-Ready Governance Survey Report van OneTrust, uitgevoerd met Sapio Research onder 1.200 senior beslissers in acht markten, toont aan dat 87 procent van de organisaties medewerkers actief aanmoedigt om AI-agenten te gebruiken, terwijl slechts 47 procent duidelijke governance heeft voor hoe die agenten mogen opereren. Twee onafhankelijke onderzoeksinspanningen, uitgevoerd door verschillende organisaties met verschillende methodologieën, komen tot dezelfde structurele kloof. Leiderschap wil de productiviteit, en de control layer is nog niet bijgebeend.
Het dichten van die kloof betekent niet het bouwen van een strengere versie van hetzelfde governance, risk, and compliance-proces en dat langzamer toepassen op AI. Het betekent governance verplaatsen uit een document dat een commissie één keer goedkeurt naar een systeem dat de regel afdwingt telkens wanneer een AI-agent toegang tot data aanvraagt—een fundamenteel ander soort controle. Een beleid dat zegt dat een AI-agent alleen data mag benaderen die relevant is voor zijn taak, is niet afdwingbaar als niets dat op verzoekmoment verifieert. Op attributen gebaseerde toegangscontrole die elk verzoek evalueert op basis van de rol van de agent, de gevoeligheid van de inhoud en de context van de taak, maakt dat beleid echt in plaats van slechts ambitieus.
Vier principes die het rapport juist heeft over het reguleren van agentic AI
AWS destilleert zijn onderzoek tot vier praktische principes voor het reguleren van agentic AI, en elk daarvan correspondeert direct met een specifiek control-gat dat de meeste organisaties nu open laten. De eerste is om de basis op orde te hebben voordat je verdergaat. Identiteit, toegang en encryptie blijven het beschermende werk doen dat beveiligingsfalen op machinesnelheid voorkomt, en ze overslaan omdat een agent te snel lijkt, is precies de verkeerde aanpak. De tweede is om beveiligingsgrenzen buiten de agent zelf te stellen, omdat agenten regels in hun eigen instructies kunnen misinterpreteren of omzeilen, wat betekent dat echte beperkingen in infrastructuur moeten zitten waar de agent niet mee kan onderhandelen.
Het derde principe beschouwt autonomie als iets dat een agent verdient in plaats van standaard krijgt. De formulering van AWS is direct: begin met menselijke goedkeuring, breid autonomie alleen uit na bewezen betrouwbaarheid, en behoud de mogelijkheid om deze weer in te perken. “Behandel het als een proeftijd voor een nieuwe medewerker,” adviseert het rapport—een vergelijking die elke compliance officer zal aanspreken die al onboarding, toegangstoewijzing en periodieke toegangsreview voor menselijke medewerkers beheert, maar diezelfde discipline nooit heeft toegepast op een niet-menselijke identiteit met vergelijkbare reikwijdte. Het vierde principe pleit voor continue testen in plaats van eenmalige goedkeuring, omdat modellen updaten, prompts evolueren en elke wijziging een faalmodus kan introduceren die de oorspronkelijke governance-review nooit heeft voorzien.
Gezamenlijk beschrijven deze vier principes een aanpak die AWS governance-as-code noemt: beleid vertaald naar afdwingingsmechanismen die op machinesnelheid werken, zodat menselijk oordeel wordt gereserveerd voor echte uitzonderingen in plaats van telkens opnieuw dezelfde laag-risico beslissing te herbeoordelen. Dat is een wezenlijk andere architectuur dan een reviewboard die maandelijks bijeenkomt, en het is de architectuur die Kiteworks Compliant AI en de Secure MCP Server bieden.
Het bewijsprobleem oplossen voor CISO’s en compliance officers
Elke bevinding in het AWS-rapport komt uiteindelijk uit bij dezelfde vraag die een CISO of chief compliance officer onder druk moet kunnen beantwoorden: kan de organisatie bewijs leveren—geen verzekering, geen beleidsdocument, maar een specifiek, tijdgestempeld, toewijsbaar record—van wat er gebeurde toen een AI-agent gevoelige data aanraakte? Het Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report vond een vergelijkbare kloof aan de handhavingskant: 79 procent van de organisaties heeft geen geautomatiseerde kill switch voor hun AI-systemen geïmplementeerd, wat betekent dat de meeste organisaties een AI-agent niet betrouwbaar kunnen stoppen als deze data begint te benaderen die hij niet mag zien. Adoptie die governance overtreft en handhaving die incident response overtreft zijn hetzelfde onderliggende probleem, beschreven vanuit twee invalshoeken.
Een CISO Dashboard dat alle AI-agentactiviteiten op één plek toont is een begin, maar zichtbaarheid alleen beantwoordt niet de verantwoordingsvraag die AWS stelt: wie is de aangewezen eigenaar als een AI-agent schade veroorzaakt? Die vraag kan niet alleen met een organigram worden beantwoord. Het moet worden beantwoord met een systeem dat het record automatisch genereert. De Control Plane van Kiteworks legt elke AI-naar-inhoud-interactie vast in een uniforme audittrail, zodat het bewijs dat een toezichthouder of tegenpartij uiteindelijk opvraagt al bestaat, in plaats van onder tijdsdruk te moeten worden gereconstrueerd. De eigen aanbeveling van AWS is om een agentregister te onderhouden met een benoemde eigenaar voor elke agent in productie. Dat werkt alleen als het register wordt ondersteund door logs die precies genoeg zijn om te bewijzen wat die agent deed—en dat is een vereiste op dataniveau, geen spreadsheetoefening.
Hoe Kiteworks Compliant AI en de Secure MCP Server de kloof dichten
De specifieke controles waar het AWS-onderzoek op wijst—grenzen buiten de agent, toegang die meegroeit met bewezen betrouwbaarheid, en continue afdwinging in plaats van eenmalige review—beschrijven vrijwel exact wat Kiteworks Compliant AI doet. Elk verzoek dat een AI-agent of large language model doet voor inhoud, wordt op het moment van het verzoek geëvalueerd aan de hand van rolgebaseerd en op attributen gebaseerd beleid, niet achteraf—dat is het principe van “governance buiten de agent” dat AWS concreet aanbeveelt.
De Secure MCP Server breidt diezelfde handhaving uit naar de snelst groeiende categorie van AI-risico: agenten die verbinding maken met bedrijfssystemen via het Model Context Protocol. Het slaat OAuth-authenticatietokens op in de beveiligde credential store van het besturingssysteem in plaats van ze via prompts bloot te stellen, zodat een gecompromitteerde of slecht afgebakende agent geen gestolen credentials kan gebruiken om data te benaderen buiten zijn eigen rechten, en het logt elke interactie in dezelfde uniforme audittrail die Kiteworks secure email, managed file transfer en bestandsoverdracht dekt. Die combinatie—afdwinging op het moment van het verzoek plus een compleet, exporteerbaar record van elke toegang—is wat de “governance-as-code”-aanbeveling van AWS omzet van ambitie naar iets wat een auditor kan verifiëren tijdens een audit.
Organisaties hoeven niet te kiezen tussen de snelheid die AI belooft en de governance die toezichthouders eisen. Het AWS Reimagine 2026-rapport onderbouwt, op basis van 154 executive-interviews en een bijbehorende enquête onder duizenden Europese bedrijven, dat snelheid zonder governance leidt tot adoptie met vrijwel geen verifieerbare waarde en een shadow AI-probleem dat groter wordt dan het probleem dat het vervangt. Governance in de datalaag zelf bouwen, in plaats van het achteraf aan het AI-systeem te koppelen, zorgt ervoor dat een organisatie beide kan behouden.
Wil je meer weten over het dichten van de kloof tussen AI-agentadoptie en gereguleerde, auditeerbare data-toegang? Plan vandaag nog een aangepaste demo.
Veelgestelde vragen
Niet per se, en AWS benoemt dit expliciet. Wijdverbreid gebruik van shadow AI is een aanwijzing dat medewerkers het goedgekeurde pad te traag of te beperkend vinden ten opzichte van de waarde die AI biedt, niet dat governance als idee verkeerd is. De nuttige reactie is om de hoeveelheid shadow AI te zien als een eerlijke maatstaf voor waar je reviewproces wrijving veroorzaakt, en vervolgens de controles die ertoe doen—toegangscontrole en datavisibiliteit in het bijzonder—in het systeem zelf te brengen, zodat het goedgekeurde pad het snelle pad wordt in plaats van het trage.
Minimaal een tijdgestempeld record van welke agent of model het verzoek deed, welke inhoud werd benaderd, welk beleid die toegang autoriseerde en waar eventuele output naartoe ging. Een algemene uitspraak als “het AI-systeem wordt gemonitord” zal een toezichthouder of auditor niet tevredenstellen. Een audittrail die automatisch wordt gegenereerd op het moment van elk verzoek, in plaats van achteraf uit logs te worden gereconstrueerd na een incident, is het verschil tussen een verdedigbaar antwoord en paniek.
De meeste identity & access management-systemen bepalen of een gebruiker of serviceaccount überhaupt kan authenticeren op een systeem. Kiteworks Compliant AI regelt een specifiekere en belangrijkere vraag: welke specifieke inhoud mag die AI-agent of large language model bij dit verzoek zien, eenmaal geauthenticeerd, beoordeeld in realtime op basis van rol- en attributengebaseerd beleid. Die per-verzoek afdwinging is wat het AWS-rapport beschrijft als het stellen van beveiligingsgrenzen buiten de agent, in plaats van te vertrouwen op de instructies van de agent zelf.
Het AWS-onderzoek vond dit oprecht onduidelijk binnen de bestudeerde organisaties en beschouwt de onduidelijkheid zelf als onderdeel van het probleem dat opgelost moet worden, in plaats van aan te nemen dat er al een vast antwoord is. De aanbevolen oplossing is structureel in plaats van organisatorisch: onderhoud een agentregister met een benoemde menselijke eigenaar voor elke agent in productie, zodat verantwoordelijkheid niet afhankelijk is van het reconstrueren van intentie nadat iets misgaat. Een uniforme audittrail over elk systeem dat een agent aanraakt, maakt die benoemde eigenaarschap afdwingbaar in plaats van symbolisch.
Ja, en dit is de kern van de governance-as-code-aanbeveling van het AWS-rapport. De vertraging ontstaat doordat elke AI-beslissing via een menselijke commissie wordt geleid, ongeacht het risiconiveau, niet door governance op zich. Door beleid te coderen in de datalaag, zodat laag-risico verzoeken automatisch worden beoordeeld en goedgekeurd terwijl echt risicovolle of ongebruikelijke verzoeken alsnog bij een mens terechtkomen, blijft de controle behouden terwijl de menselijke bottleneck uit de meerderheid van routinematige beslissingen wordt gehaald. De Secure MCP Server past precies dit model toe op agenten die via het Model Context Protocol verbinden.
Aanvullende bronnen
- Blog Post
Zero‑Trust-strategieën voor betaalbare AI-privacybescherming - Blog Post
Hoe 77% van de organisaties faalt in AI-gegevensbeveiliging - eBook
AI Governance Gap: Waarom 91% van de kleine bedrijven Russisch roulette speelt met gegevensbeveiliging in 2025 - Blog Post
Er bestaat geen “–dangerously-skip-permissions” voor jouw data - Blog Post
Toezichthouders zijn klaar met vragen of je een AI-beleid hebt. Ze willen bewijs dat het werkt.