Compliance bij de voordeur: zo word je geen laatste vinkje

Niels spreekt met Cassandra Moons. Zij is Legal Director Privacy, AI, Compliance bij TomTom. Zes maanden nadat de GDPR-Liveging begon ze daar. Sindsdien kreeg ze steeds meer onder haar hoede. Privacy, cyberregelgeving, de AI-act en productveiligheid. Haar uitgangspunt is verrassend simpel. Kun je een privacy verklaring niet uitleggen aan een kind van vijf, dan is hij te moeilijk. En ze stelt dat compliance niet bij de achterdeur hoort, maar bij de voordeur. Hoe doe je dat? Dat hoor je in deze aflevering. Niels: Hoi, leuk dat je weer luistert naar een nieuwe aflevering van AIToday Live. Niels: We zijn vandaag op de Data Expo. Niels: We staan in de VIP Lounge. Niels: En we gaan in gesprek met Cassandra Moons. Niels: Mijn naam, Niels Naglé, Area Lead Data & AI bij Info Support. Niels: Joop die kon er vandaag helaas niet bij zijn, maar die haakt de volgende keer graag weer aan. Niels: Maar we gaan in gesprek met Cassandra Moons van TomTom. Niels: Dankjewel dat je bij ons te gast wilde zijn. Cassandra: Ja, hartstikke leuk. Niels: Zou je zelf even kort willen voorstaande luisteraars? Cassandra: Ja, dat wil ik zeker. Cassandra: Mijn functie bij TomTom is eigenlijk director compliance. Cassandra: En dat betekent dat vanuit mijn rol ik eigenlijk toezicht houdt, dat klinkt zo zwaar. Cassandra: Maar dat ik me bezighouden met drie belangrijke aandragsgebieden. Cassandra: En om maar meteen met de deur in huis te vallen, de eerste is eigenlijk denk ik ook de meest belangrijk voor deze podcast. Cassandra: Want dat is digital compliance. Cassandra: Het is ooit begonnen als privacy GDPR. Cassandra: We hebben natuurlijk heel veel data, persoonsdata. Cassandra: Maar zeker door de ontwikkelingen van de afgelopen jaren met cyberregelgeving en AI-act is daar veel meer bij gekomen. Cassandra: En tegenwoordig noem ik het digital compliance. Cassandra: En los daarvan hou ik me ook bezig met product regulatory compliance. Cassandra: Omdat even van onze erin. Cassandra: En ja, nog een stukje corporate. Cassandra: Maar goed, laten we de luisteraars daar niet al te veel mee vermoeien. Niels: Ik denk dat iedereen de organisatie TomTom wel kent van de navigatie. Niels: Maar ze doen natuurlijk nog veel meer. Niels: Zou je nog kort wat meer kunnen vertellen? Niels: Wat doet TomTom allemaal? Cassandra: Ja, we hebben nog steeds onze consumer business. Cassandra: Dus dat zijn inderdaad de TomTom's of de kastjes voor navigatie. Cassandra: En ik denk al 15 jaar geleden. Cassandra: Met komst van smartphones en navigatie-apps, zoals bijvoorbeeld Waze, is er gewoon al een transitie ingezet om eigenlijk te bedenken: goh, zouden we niet gewoon ook de software zonder de hardware kunnen verkopen. Cassandra: Daardoor zijn we eigenlijk met dezelfde navigatiesoftware. Cassandra: Dus je hebt het over digitale kaarten. Cassandra: API's, maar ook bijvoorbeeld traffic service. Cassandra: Die zijn we eigenlijk gaan verkopen binnen het domein van automotive. Cassandra: Dus heel veel autofabrikanten. Cassandra: Daar staat bijvoorbeeld nog de naam van de autofabrikant, maar in de achterkant draait het product gewoon bij TomTom. Cassandra: En onze andere derde pillar, is eigenlijk enterprise. Cassandra: Dus dat zijn ook zakelijke klanten die een use case hebben die heel erg lijkt op navigatie. Cassandra: Dus bijvoorbeeld fleet en logistics, food delivery, ridehailing. Cassandra: Waardoor je ook van A naar B moet komen en bepaalde inzichten moet krijgen in de omgeving, zeg waar je bevindt. Cassandra: Ja, AI is daarin eigenlijk steeds belangrijker geworden. Cassandra: Ook natuurlijk vanwege trends in de markt. Cassandra: Neem bijvoorbeeld autonomous driving. Niels: Zeker. Cassandra: Dat bestaat al tien jaar en het gaat steeds een stapje verder. Cassandra: En zeker op het moment dat natuurlijk een auto een aantal handelingen kan overnemen, zoals het wisselen van baan, remmen, versnellen. Cassandra: Dan gebeurt dat allemaal met AI. Cassandra: Dat betekent ook dat onze producten fit voor AI moeten zijn. Cassandra: Maar ook dat de technische opbouw van data content in die producten, dus nemen bijvoorbeeld een digitale kaart. Cassandra: Die kan je eigenlijk alleen nog maar realiseren met AI. Cassandra: En wat ik dan eigenlijk bedoel, is dat een auto moet op dit moment herkennen of het bijvoorbeeld buiten zonnig is, of wat de weersomstandigheden zijn. Cassandra: Als je dat soort informatie verwerkt in de kaart, kan je natuurlijk zeggen van ja, ik ben toevallig op een zondag met zo'n mobile mappingvoertuig rondgereden. Cassandra: Maar ja, nu moet ik ook gewoon in die kaart iets inbouwen voor wat is de staat van de weg als het heel hard regent. Cassandra: Of als het mist is of als sneeuw ligt. Cassandra: Precies, en dat is eigenlijk met generatieve AI kan je allemaal dat soort content en van die maplayers of map intelligence moet ik eigenlijk zeggen, realiseren. Cassandra: En ik denk dat we daar al zeker tien jaar geleden mee zijn begonnen. Cassandra: Maar met de komst van large language models is natuurlijk ook voor ons de schaalbaarheid en de toepasbaarheid enorm geworden. Cassandra: Dat is ook een magnitude van. Niels: Wat dan weer bij jou op het bordje komt voor compliance. Niels: Hoe gaan we daar goed en ethisch en verantwoord mee om, zeg maar absoluut. Cassandra: En ook vanuit product safety wordt het natuurlijk steeds belangrijker Niels: Jazeker, omdat het ook inderdaad de auto daadwerkelijk gaat ondersteunen. Niels: Je gaf aan bij TomTom schrijf je: privacy blijft bewust in klare taal zonder juridisch jargon. Niels: Terwijl je juridische directeur bent. Niels: Waarom? Niels: Waarom ben je het gaan zetten in klare taal en bewust makkelijker maken? Cassandra: Nou, ik denk dat het heel belangrijk is. Cassandra: Als je kijkt naar de workforce van TomTom, dan hebben we denk ik 60% zijn software engineers. Cassandra: 40% niet-engineers, maar er zit natuurlijk ook heel veel andere disciplines tussen, zoals finance, HR, marketing. Cassandra: En waar ik zelf altijd van ben, is dat mensen gewoon moeten begrijpen wat je bedoelt. Cassandra: Dus je gaat echt terug naar een soort van basis. Cassandra: Mijn filosofie is altijd, stel, je schrijft bijvoorbeeld een privacy notice. Cassandra: Als je het niet kan uitleggen aan een kind van vijf, dan is het denk ik toch gewoon te moeilijk. Cassandra: En dat is niet alleen intern, maar natuurlijk ook voor externe gebruikers. Cassandra: En los daarvan. Cassandra: De juridische kwaliteit moet natuurlijk altijd gewaarborgd zijn. Cassandra: Maar het kan echt wel gecombineerd worden met wat meer en janke taal of gewoon duidelijkheid. Cassandra: Ja, oké. Cassandra: Dus ook kijken gaan uitroepen naar alle andere inderdaad, die dit soort teksten aanleveren. Cassandra: Richting consumenten, maar ook richting interne organisaties, probeer aan te sluiten bij je doelgroep. Cassandra: Om het inderdaad meer toepasbaar te maken. Cassandra: Ja, en ik denk ook gewoon dat uiteindelijk, als het goed is, elk bedrijf dat iets doet met persoonsgegevens op een grote schaal, heeft als goed, dus ook een visie en een missie. Cassandra: En dat begint ook met principes, bijvoorbeeld, als je kijkt naar TomTom producten, of het nou gewoon in onze eigen hardware is of in een auto. Cassandra: Dan zeggen we eigenlijk ook, als basisprincipe, wij hoeven niet te weten wie de eindgebruiker is. Cassandra: Dus als wij bepaalde data krijgen, die wellicht gevoelig is, dus bijvoorbeeld locatiegegevens. Cassandra: Dan willen we op geen enkele manier dat daaraan bijvoorbeeld account of andere real-time identifiers zijn verbonden. Cassandra: Algemene patronen. Cassandra: Ja, waardoor je herstel dat het in verkeerde handen komt, waardoor dan ook heel makkelijk ter leiden is tot een specifieke bestuurder of een specifiek voertuig. Cassandra: En dat is ook gewoon een heel banaal principe. Cassandra: Maar dat helpt wel door eigenlijk binnen iedereen in de organisatie die verantwoordelijkheid draagt voor het verwerken van persoonsgegevens, om met dat principe in het achterhoofd bepaalde technische maatregelen toe te passen om de data nog steeds bruikbaar te houden, maar ook weer te die koppelen van de realiteit. Niels: Je geeft aan 60% zijn engineers. Niels: Hoe zorgen we dat die compliance en dat soort basisguidelines tussen de oren zit. Niels: Gevoelsmatig zit daar ook vaak een afstand tussen van we willen gave dingen bouwen en dan willen we binnen de kaders doen. Niels: En de wil is er altijd. Cassandra: Klopt. Niels: Maar hoe zorgen we dat top of mind is? Cassandra: Nou, ik denk dat er meerdere middelen voor zijn. Cassandra: En ook niet alleen voor privacy, maar ook bijvoorbeeld voor AI governance. Cassandra: Ik denk dat het altijd begint met een bepaalde maat van awareness. Cassandra: Dus afhankelijk van iemands senioriteit jobprofile binnen de organisatie. Cassandra: Wil je gewoon dat er AI kent ook AI literacy. Cassandra: En dat die gewoon bewust zijn van de verwachtingen en bepaalde do's en don'ts. Cassandra: Als we bijvoorbeeld AI toepassen in hun dagelijkse werk. Cassandra: Daarvoor specifiek voor AI, omdat dat binnen ons bedrijf, en bedrijfspreden, strategie is, is er voor iedere tomtommer een learning track ontwikkeld. Cassandra: Dus dat is ook niet one size fits all. Cassandra: Daar maken we heel duidelijk een onderscheid tussen de engineers die gewoon veel meer doen op het gebied van coding en de rest van de business. Cassandra: En afhankelijk van hoe ervaring je bent, heb je ook zeg maar een beginnersniveau, een intermediate en een gevorderd niveau. Cassandra: En we zeggen dan ook bijvoorbeeld van ja, wil jij toegang hebben tot bepaalde AI tooling, wil je bepaalde licenties kunnen gebruiken, dan verwachten we ook dat je in ieder geval deze kennis hebt. Cassandra: Dat is één ding. Cassandra: Ik denk dat een andere hele belangrijke tracker is zeg maar de lifecycle. Cassandra: Wij maken wij ontwikkelen software. Cassandra: Dus producten hebben bij onze lifecycle, data heeft een lifecycle, AI heeft een lifecycle. Cassandra: Het goede is dat je, en met name als je bij ons kijkt met volgens mij dan 100 verschillende softwarecomponenten of softwareproducten die licenceerbaar zijn, hebben die ook allemaal een owner, een product manager. Cassandra: En daar in dat opzicht vinden we het ook belangrijk dat gedurende die lifecycle compliance wordt gemonitord. Cassandra: Of dat nou weer gaat uit vanuit privacy oogpunt of bijvoorbeeld omdat dat specifieke product ergens op de wereld wordt gereguleerd. Cassandra: Ja, ook daarvoor hebben we gewoon checklist en deliverables opgesteld. Cassandra: Die mensen moeten aanleveren om zeg maar een product te kunnen releasen of commercieel te kunnen verkopen. Cassandra: Dus je hebt gewoon een aantal gateways inderdaad, waarin je dat kan toetsen, dat klinkt heel goed en heel mooi om te horen dat ownership. Niels: Want dat zie ik in de praktijk is dat heel lastig om te implementeren. Niels: En ja, dat is wel een hele belangrijke onderdeel daarvan inderdaad. Niels: Zie je daarbij ook dat checklists en dergelijke vaak nog papier, zie je ook steeds meer in code landen. Niels: Dus policy-as-code. Niels: En wat is jullie ervaring of jouw ervaring mee? Cassandra: Nou, ik denk met name als je kijkt naar AI governance. Cassandra: Dat zou je wel moeten. Cassandra: Dan zijn toch manuele workflows en van die, traditionele assessments. Cassandra: Nou, lijkt alsof het heel oud is, maar toen GDPR kwam, deed iedereen het nog. Cassandra: En inderdaad ook nog met externe tooling. Niels: Maar dat dat gewoon niet meer werkt, omdat use cases zijn eindeloos, technologie update dagelijks. Cassandra: En ik denk dat je daarin gewoon veel meer naar proactief, schaalbaar, dus een soort van augmented governance moet gaan. Cassandra: Waarbij je komen kan zeggen, goh, bepaalde controls en guardrails, die gaan we gewoon in het systeem inbouwen, technisch integreren. Cassandra: Bijvoorbeeld de ontdekking van Shadow AI. Cassandra: Je kan natuurlijk traditie. Cassandra: Heel veel bedrijven doen het nog. Cassandra: En Shadow AI, ik kom vaak tegen. Niels: Maar wat betekent Shadow AI voor jou? Cassandra: Nou, Shadow AI is denk ik gewoon ongeautoriseerd gebruik van de AI dat niet is goedgekeurd. Cassandra: Dus dat niet volgens de normale processen van bijvoorbeeld vendorvetting of via een inventory is aanmeld. Cassandra: En het is ook het verkeerde gebruik van toegestaande AI. Cassandra: Want als jij natuurlijk gewoon zeggen van goh, deze AI zou werkt prima voor het samenvatten van e-mails of het fine tunen van policies. Cassandra: Maar niet voor het nemen van beslissingen waar hele grote groepen klanten bij betrokken zijn, dan moet je natuurlijk ook zorgen dat dat niet wordt overschreden. Cassandra: Dus dat is shadow AI. Cassandra: En dan zie je dat natuurlijk. Cassandra: En ik moet zeggen, wij zijn ook nog niet 100% daar, maar heel veel bedrijven zijn begonnen met zo'n AI inventory. Cassandra: Dus iedereen moet manueel gaan invoelen van welke tool heb je interesse. Cassandra: Voor welke use case wil je het gebruiken, wie is de vendor, kan je gewoon aangeven dat bijvoorbeeld inputdata niet wordt gebruikt voor trainingsdoeleinden, is het allemaal zit het allemaal goed aan de achterkant. Cassandra: Ja, dat blijft natuurlijk een manueel proces. Cassandra: En uiteindelijk wil je dat soort, zeg maar, discovery wil je ook gaan automatiseren. Cassandra: Moet je automatiseren. Cassandra: Daar is wat mij betreft gewoon geen andere route voor. Niels: Je stelt ook dat privacy geen rem is op innovatie, maar een strategisch voordeel. Niels: Hoe moet ik dat zien? Niels: En wanneer ben je tegen iemand aangelopen die zijn van nee, ik kijk er heel anders tegenaan. Niels: En hoe heb je die toch mee kunnen nemen in dat beeld. Cassandra: Ik denk dat het misschien zou ik eerst toelichten wat ik ermee wil zeggen. Cassandra: Ik denk traditioneel, ik noemde mezelf ook even de toezichthouder, maar dat was een beetje dat ik een slip of te tong om het zo moeten zeggen. Cassandra: Ik denk dat je altijd gewoon moet bedenken dat je als compliance of als legal privacy jurist, dat je gewoon dingen mogelijk wil maken. Cassandra: En je ziet natuurlijk dat in bepaalde bedrijven is compliance een soort laatste vinkje. Cassandra: Voordat als een product morgen op de markt komt, kijk even naar de checklist. Cassandra: Compliance moet ook iets vinden en dan zit je gewoon echt achteraan. Cassandra: Maar ik denk dat je zelf het meest effectief is als je jezelf in plaats van bij de achterdeur, gewoon positioneert bij de voordeur. Cassandra: Door eigenlijk gewoon aan te geven van, goh, weet je, wij hebben ook gewoon een hele strategische component. Cassandra: En daar zijn heel veel goede argumenten voor. Cassandra: Vroeger was dat vooral, zeker voor internationale bedrijven, het enorme palet van wet en regelgeving. Cassandra: Maar nu komt er natuurlijk ook politiek bij. Niels: Complexiteit groeit. Cassandra: Zeker. Cassandra: Initiatieven binnen Europa, zoals digitale soevereiniteit. Cassandra: En ik denk dat het aan jou is als compliance officer om gewoon een soort evangelist te zijn van je eigen functie. Cassandra: Jij moet het verhaal vertellen. Cassandra: En ja, voldoende zichtbaarheid krijgen en zorgen voor een podium. Cassandra: En ook mensen eigenlijk overtuigen dat wat je aan hen vraag, dat dat ook gewoon uiteindelijk een win-win is. Cassandra: Een voorbeeld ook weer binnen TomTom. Cassandra: Zoals ik al zei, wij bedienen heel veel automotive klanten. Cassandra: Sinds GDPR krijgen wij gewoon heel eigenlijk voor elk project de vraag. Cassandra: TomTom, je krijgt een bepaalde data, vertel maar, wat gebeurt er behind the scenes? Cassandra: Ook als onderdeel van een deal bijvoorbeeld. Cassandra: Dat kan gewoon een trigger zijn om gewoon te zeggen, oké, maar dan moet wij ook gewoon in staat zijn om al die dataflows te mappen en te weten waar data wordt opgeslagen, wie de toegang toe heeft, welke externe partijen daarbij betrokken zijn. Cassandra: Dus een beetje zeg maar aanschrijven bij strategische initiatieven of de behoeften van klanten, kan zeker in de zakelijke markt ook een goede trigger zijn. Cassandra: Ja, dat helpt denk ik om jezelf meer op de kaart te zetten. Cassandra: En dan vroeg je over over weerstand inderdaad. Cassandra: Wij was tegen weerstand aangelopen dat je toch heb gezegd van ja, nee, het is wel echt strategisch belangrijk, inderdaad, dat we nu al aan tafel zitten. Cassandra: Ja, kijk, weet je, het kunnen natuurlijk altijd discussie zijn. Cassandra: Want uiteindelijk, als ik mezelf bijvoorbeeld in de schoenen van managementboard zet. Cassandra: Dan heb ik natuurlijk ook kosten en snelheid. Niels: Het zal het een afweging met allerlei factoren. Cassandra: Precies, precies, dus uiteindelijk heb ik daarin ook niet het laatste woord. Niels: Maar goed, ik denk nogmaals, het helpt denk ik heel erg om gewoon mee te denken vanuit degene die tegenover je zit. Cassandra: Kijk, dreigen of gaan zeggen, het risico is een boete van 20 miljoen, dan verlies je wat mij betreft je eigen geloofwaardigheid. Niels: Daar help je niemand mee. Cassandra: Nee, nee, maar het op een juiste manier vertalen. Cassandra: En te pitchen en gewoon ja, weet je, te zorgen dat je eigen functie voldoende serieus wordt genomen, is wat mij betreft primair een taak die bij mij ligt. Cassandra: En ja, ik zie het in dat opzicht wel veranderen, ook door de markt waarin wij opereren. Cassandra: En wat zie je veranderen? Cassandra: Nou, wat ik al zei, dat de vragen van klanten steeds complexer worden. Cassandra: Ik ben zelf in 2018 begonnen bij TomTom. Cassandra: Dus zes maanden nadat de GDPR live was. Cassandra: Als je dan weer het voorbeeld. Cassandra: Als je dan weer het voorbeeld neemt van automotive, op dat moment krijg je eigenlijk twee vragen, doe je iets met persoonsgegevens, ja of nee, en ben je een GDPR compliant. Cassandra: Op dit moment, alleen als het gaat over privacy, kan je het makkelijk vertalen naar honderd vragen. Cassandra: Ook gerelateerd aan security, als je dat erbij neemt, is het nog veel groter. Cassandra: Dus ook die bedrijven gaan een soort volwassenheidsproces door. Cassandra: En ja, ook vanuit ook andere invloeds of invloeden zoals he? Bijvoorbeeld cyberincidenten die aan de orde van de dag zijn. Cassandra: Lezen af en toe ook in krantbedrijven die worden getroffen door een cyberincident, wat gewoon niet meer gaat om een paar tienduizenden euro's, maar gewoon om miljoenen euro's. Cassandra: En als je het hele ecosysteem meeneemt, kan soms miljarden zijn. Niels: Ja, ik vind het wel heel mooi zegt. Niels: Het is een stukje volwassenheidsgroei. Niels: En dat zit hem sowieso in hoe kijk je tegen het vakgebied aan. Niels: Maar ook er zit ook heel veel techniek aan vast om dat in te kunnen regelen. Niels: En daar moet je wel de gesprek over kunnen voeren. Niels: Want anders weet je niet wat er voor nodig is om het toch op orde te gaan brengen met elkaar inderdaad. Cassandra: En het is ook niet mijn feestje, om het zo moet zeggen. Cassandra: Ik kan niks. Cassandra: Een stem erin, waarom het belangrijk is, en je kan ze ook helpen de richting te geven, wat wel kan als bepaalde zaken niet kunnen. Niels: En ik denk dat dat heel erg gemist is als je alleen maar als het einde van het proces nog even een check wil doen. Niels: En daar is het niet voor. Niels: TomTom, wereldwijde organisatie, je noemde het zelf ook al alle verschillende wetgevingen. Niels: Dat brengt nog extra complexiteit met zich mee. Niels: Hoe ga je ermee om? Niels: Want heb je dan een raamwerk voor iedere land, iedere regio. Cassandra: Nou, kijk, ik denk dat het ook goed is om te beseffen dat je er soms gewoon dat er ook gewoon tegenstrijdigheden kunnen bestaan. Cassandra: Kijk, wij hebben een hoofdkantoor hier in Nederland, dus eigenlijk onze hele business, alles wat wij doen, is dermate gecentraliseerd in Europa, dat GDPR ook voor ons buiten Europa geldt. Cassandra: Dan heb je natuurlijk bijvoorbeeld bepaalde landen, waar bijvoorbeeld bewaartermijnen veel langer moeten zijn, of waar inzageverzoeken op een heel andere manier worden behandeld. Cassandra: In dat opzicht hebben wij eigenlijk GDPR als een soort kompas. Cassandra: Maar als we strenger moeten zijn, zijn we ook wel strenger. Cassandra: Ja, dat betekent als je het helemaal heel ver doorvoert, kan je natuurlijk gewoon zeggen dat je een soort aparte infrastructuur in specifieke landen moet optuigen. Cassandra: Ook bijvoorbeeld vanuit datalokalisatie, veiligheid. Cassandra: Ja, ook dat is weer een afweging van, is de business in dat lokale land voldoende belangrijk om dat rechtvaardigen. Niels: Wat is de risico, risicobereidheid. Cassandra: Ja, en ook gewoon de commerciële kansen die we daar zien. Cassandra: Maar ja, zover moet je inderdaad wel gaan. Cassandra: Dus wij proberen wel zoveel mogelijk alles te integreren met één standaard met bepaalde afwijkingen. Cassandra: Maar ook dat brengt weer mee dat je alles toch wel weer moet gaan centraliseren, zeg maar in één ruleboek. Niels: Ja, zo'n grote playbook om erheen te gaan zien. Niels: En hoe zet je zelf AI in bij jouw compliance werk? Cassandra: Ja, ik ben er in ieder geval volop mee bezig. Cassandra: Ik denk dat dat voor heel veel professionals geldt dat je als het gaat om het schrijven van policies of het doen van voorstellen, presentaties, e-mails. Cassandra: Dat AI een enorme winst kan opleveren, maar wij willen ook wel gewoon veel meer standaard werkprocessen met behulp van AI gaan laten uitvoeren. Cassandra: Ook omdat we ook daarin kan je natuurlijk zeggen, hoe betrouwbaar is de mens. Cassandra: Als jij bijvoorbeeld heel veel privacy impact assessments of AI assessment gaat reviewen en je hebt heel veel historische data, dan hoop je dat je op basis van historische kennis misschien nog denkt. Cassandra: Ik heb dezelfde use case eerder voorbij zien komen, wat heb ik toen precies aangeven, dat kan je natuurlijk volledig outsourcen naar AI. Cassandra: In dat opzicht is het is het gewoon geweldig, wat mij betreft qua dat het heel veel bulkwerk relatief simpel werk kan wegnemen, waardoor ik meer tijd heb voor de echte complexere zaken. Cassandra: Of zaken waar gewoon de menselijke relatie nog gewoon echt een rol speelt. Cassandra: Dus als het gaat om redelijk gestandaardiseerde processen bulkwerk. Cassandra: Kijk wij daar zeker ook naar. Cassandra: En zijn we daar ook wel bezig omdat veel meer met AI te laten doen. Niels: Ja, en wat je zegt inderdaad, als één iemand heel veel van die assessments doet, dan heeft die persoon alle kennis. Niels: Dat is ook in een bedrijfsrisico. Niels: Dat wil je altijd bij minimaal twee, maar liever nog meer mensen hebben inderdaad en hoe kan techniede bij ondersteunen. Niels: Dus goed op te horen dat je ermee bezig zijn. Niels: Volgens mij niet zeker inderdaad, in de voorbereiding kwam ik al steven LLM's menselijke taal niet werkelijk begrijpen. Niels: Maar mensoordeel in juridisch werk onmisbaar blijft. Niels: En ik vroeg me af inderdaad, wat bedoel je daar precies mee? Niels: Als je dat zegt. Niels: Dus LLM's kunnen wel menselijke taal, maar het juridische aspect, blijft essentieel mensenwerk. Cassandra: Ja, ik denk dat je uitzonderingen daar gelaten, dat je natuurlijk altijd nog als boodschapper als man of als compliance collega, gewoon een bepaalde betekenis kan toevoegen naar de output, om het zo maar te zeggen. Niels: Ja, dus in context kunnen plaatsen. Cassandra: Ja, kijk, ik merk bijvoorbeeld ook bij sommige van mijn werkzaamheden. Cassandra: Als ik dat bijvoorbeeld vragen aan een LLM. Cassandra: En dan krijg ik bijvoorbeeld suggesties of aanbevelingen die bijvoorbeeld heel erg Amerikaans zijn. Cassandra: Waar ik echt duidelijk kan merken. Cassandra: Oké, dit is dit is werkt prima voor een Amerikaans bedrijf, maar ik werk bij een Nederlands bedrijf. Cassandra: En die cultuur, dat cultuur aspect, dat zit er gewoon niet in meegenomen. Niels: Maar je wel genoeg voor je vak weten om dat ook te herkennen. Niels: Dus daar is een keer belangrijk inderdaad. Cassandra: Dat is waar. Cassandra: Maar daarvan kan je zeggen, oké, ik krijg bijvoorbeeld zes aanbevelingen, allemaal prachtig. Cassandra: Zouden bij een Amerikaans bedrijf zo werken, maar als ik het even vertaal naar Nederland en de cultuur waarin wij werken, dan hou ik het bijvoorbeeld op drie en dan ga ik daar ook gewoon vol op inzetten. Cassandra: Ik denk dat dat is gewoon een schifting waar je zelf inderdaad door je ervaring en kennis gewoon op waarde kan toevoegen. Cassandra: In plaats van ja letterlijk kopiëren wat er uit een LLM-model komt. Niels: Ja, dat absoluut niet doen. Niels: Altijd valideren, controleren en vervolgens kijken, past het binnen jouw omgeving, jouw context, jouw organisatie, jouw ambitie en visie inderdaad. Niels: Ik ga een hele moeilijke vraag stellen. Niels: Ik weet van tevoren, want dat is vooruitkijken. Niels: Als je kijkt naar compliance, de AI die erbij komt, waar zie je het heen gaan? Niels: Het vakgebied. Cassandra: Nou, wat ik zeg, ik denk dat heel veel werkprocessen waar nu een stukje automatisering zit, bijvoorbeeld de assessment template zit in de tool, maar het wordt ook door mensen ingevuld door mensen bekeken door mensen goedgekeurd. Cassandra: Ik denk dat je daar op een gegeven moment echt wel AI kan gaan inzetten. Cassandra: Zelfs denk ik voor het geven van input. Cassandra: Wat dat is uiteindelijk ook allemaal informatie die ergens in je organisatie als goed is, is opgeslagen. Cassandra: Dat kan je denk ik gewoon vroeg of laat gaan automatiseren. Cassandra: Ik denk zelf. Cassandra: Ik denk dat compliance professionals altijd altijd nodig zullen zijn. Cassandra: Met name voor gewoon de complexere aspecten. Cassandra: En met name denk ik waar gewoon compliant samenvalt met business strategie. Cassandra: Dus vooruitkijken. Cassandra: We hebben bijvoorbeeld een bepaald businessmodel. Cassandra: We bedienen bepaalde markten, maar misschien ga je politieke ontwikkelingen allemaal nieuwe wetgeving als gevolg daarvan. Cassandra: Waar gaat het heen? Cassandra: Je moet wel of niet ergens investeren. Cassandra: Hoe zit het met zaken doen met bepaalde klanten die nu nog misschien gewaard is, maar in de toekomst niet meer. Cassandra: Daar ga jij als professional, wat mij betreft nog steeds het verschil maken. Cassandra: Dat kan je nooit, of in ieder geval ik het nu kan zien, niet uitsourcen naar AI. Cassandra: Dus die menselijke kant, zal wat mij betreft altijd belangrijk blijven. Niels: En als een compliance officer of juridische directeur nu luistert en morgen één concrete stap wil zetten om van kostenpost of checklist af te komen naar strategische enabelen. Niels: Welke stap zou je ze dan adviseren? Cassandra: Bekijk de strategie van je bedrijf. Cassandra: Dus waar staat jouw bedrijf voor. Cassandra: En probeer voor jezelf te bedenken, op welke manier kan ik daar waarde toevoegen vanuit mijn professionele rol. Niels: Dus eigenlijk stap een stukje naar achter, neem je vakgebied mee, kijk naar het bredere verhaal en daarin jouw vasgebied een mooie plek. Cassandra: Je moet het grotere plaatje. Niels: Ja, mooi. Niels: Ik zit even kijken, je had het net over een beetje anonimisering. Niels: Dat is technisch best wel heel lastig om dat voor elkaar te krijgen. Niels: Wat komt er bekijken vanuit compliance oogstuk om dat goed te doen. Niels: En dat vraag ik ook een klein beetje voor. Niels: Dat is ook een vaak gebied waar ik heel vaak in. Cassandra: En om misschien complexer te maken, die is een technische realiteit van anonimiseren en het is juridische realiteit. Cassandra: Ik denk dat je ook als je het hebt over echte anonieme data, dat wordt natuurlijk steeds moeilijker. Cassandra: Ook als je kijkt naar bijvoorbeeld de standaarden van GDPR, die ga ik natuurlijk naar de opties die technisch gezien mogelijk zijn. Cassandra: Met AI kan je denken, misschien wordt wij spreken alle datapersoonsgegrijvers, want het is vast wel ergens een tool die zo slim is die bepaalde data weer terug kan herleiden tot de persoon. Cassandra: Datzelf heb je natuurlijk ook gewoon technisch bepaalde belemmeringen waar je tegenaan loopt. Cassandra: Ik denk ook wel dus daarin sluit het wel aan. Cassandra: Ik denk wel, wat je een concept wat heel dichtnaast zit, is zeg maar het pseudonymiseren. Cassandra: Je zorgt eigenlijk dat alle direct identificeerbare informatie verdwijnt, je pas bepaalde technische maatregelen toe. Cassandra: Dat kan je wel weer dat is allemaal niet onroepelijk, zoals bij anonimisatie is. Cassandra: Maar je kan daar denk ik ook nog gewoon heel veel mee voorkomen. Cassandra: Bijvoorbeeld als data in verkeerde handen valt of het dan herleidbaar is tot een persoon. Beide: Word moeilijker gemaakt, het wordt moeilijker gemaakt, inderdaad. Cassandra: En ik denk dat je uiteindelijk, als je het bijvoorbeeld bekijkt vanuit incidentmanagement. Cassandra: Denk ik ook. Cassandra: We zien overal dat er gewoon data lekken zijn aan de orde van de dag. Cassandra: En dat is echt niet alleen maar bij bedrijven die hun huishouding niet op orde hebben, kan iedereen overkomen. Cassandra: Precies. Cassandra: En ik denk ook dat je dan 100% risico preventie, dat je daar niet naar moet streven, het gaat denk ik veel meer over aantoonbare beheersing. Cassandra: Ben je gewoon in controle dat op het moment dat jij bijvoorbeeld een datalek constateert, dat je het gewoon kan containen. Cassandra: Dus heb je een goed incident responsplan, dat je gewoon kan zorgen dat het alleen maar in een bepaald systeem zit en blijft. Cassandra: En dat je het meteen na één seconde bij wijze van spreken merkt dat er iemand bijvoorbeeld is binnengedrongen. Cassandra: En heb jij ook je organisatie per architectuur zo ingericht dat bijvoorbeeld vanuit identity en access management ook niet iedereen toegang heeft tot alles. Cassandra: Dus de credentials die bijvoorbeeld zijn gebruikt. Cassandra: Daar zitten ook al gewoon bepaalde beperkingen aan. Cassandra: En ik denk vanuit die gedachte, die aantoonbare beheersing, om het zo maar te zeggen. Cassandra: Ik denk dat je gewoon veel meer ook, als het gaat over het gebruik van sensitieve data. Cassandra: En anonimiseren dat het gewoon veel meer die kant op gaan van aantoonbare beheersingen, om het zo te zeggen. Niels: En waar zit dan het misschien helemaal goed begrepen, het juridische aspect van anonimisering dan op. Cassandra: Nou, juridisch is anonimisering. Cassandra: Wat de GDPR zegt eigenlijk van ja, als het met redelijke technische middelen niet meer kan worden herleidt, dan wordt het goedgekeurd als administrative. Cassandra: Ja, precies, maar goed, ook die lat komt natuurlijk steeds hoger te liggen. Cassandra: Maar wat ik zeg, het is ja, voor mij, wat mij betreft vooral een feestje voor juristen om daar heel erg over in discussie te gaan en het verschil met pseudonymiseren. Cassandra: Maar ik denk dat je veel meer moet kijken vanuit risicocontrole en preventie. Cassandra: En mitigering. Niels: Ja, en ook een stukje fundament op orde hebben, inderdaad. Niels: En dat is niet alleen technisch, maar ook wat je zegt, de processen en de respons teams ook. Cassandra: En verantwoordelijkheden duidelijk beleggen. Niels: Ja, ownership, wat je al noemde, inderdaad, allemaal belangrijke onderdelen daarvan. Cassandra: Als je in de schoenen van een compliance officer bij een middelgroot Europese bedrijf zou stappen, dus even geen TomTom, of geen groot legal team, geen dedicated budget, misschien wel daarvoor. Niels: En de CEO zegt, we moeten nu AI inzetten of we verliezen marktaandeel, hoe begin je. Cassandra: Ik denk dat je het belangrijkste is, denk ik om ook dat je dan ook kan overtuigen dat zeg maar zonder plan van aanpak, dat dat ook niet de juiste benadering is om uiteindelijk de potentie uit AI te halen. Cassandra: En dat je gewoon denk ik ook voor zo'n bedrijf zou willen dat de verwachtingen duidelijk zijn, dat je gewoon ja goedgekeurd AI-tools hebt. Cassandra: Dus je begin met whitelisten. Cassandra: En ik zou gewoon zeggen, begin met een heel klein risico managementproces. Cassandra: Het is helemaal uiteindelijk de AI-act. Cassandra: Als je daar echt in gaat graven, zeker voor hoog risico's, heb je enorm veel vereisten. Cassandra: Maar als je gewoon kijkt naar de basis, is zijn de vragen gewoon heel simpel wat mij betreft. Cassandra: Is de tooling veilig, wordt jouw data niet gebruikt, bijvoorbeeld voor het trainingsdoeleinde of voor productverbetering. Cassandra: Hoe zit het met de output? Cassandra: Met name ook als je output kan krijgen waar je bijvoorbeeld intellectueel eigendom op wil hebben. Cassandra: Hoe zit de architectuur in elkaar? Cassandra: Kan je bijvoorbeeld een onderscheid maken tussen testen en productie. Cassandra: Dus dat je bijvoorbeeld een proof of concept doet voor AI die je misschien wel wil gebruiken met aan de hand van dummy data, of niet al te gevoelige data. Cassandra: Het zijn vrij, zeg maar, ja, wat mij betreft vrij simpele of common sense oplossingen. Cassandra: En dan heb je een basis. Niels: Ja, dat klinkt heel mooi inderdaad. Niels: En inderdaad, geen hele grote zaken die ervoor nodig zijn. Niels: Maar wel even, ik noem dat soms even stilstaan voordat je gaat rennen, zodat je in ieder geval weet waar je heen gaat rennen. Niels: Go slow to go fast. Niels: Dus dat betekent echt even stilstaan, inderdaad. Niels: En niet op het risico dat je achterloopt, maar wat is er nodig om voorop te komen en eigenlijk even omdraaien, inderdaad, heel mooi hoe je dat toch even mooi praktisch maakt, inderdaad naar de vertaling daarvan. Niels: Als je heel eerlijk bent, wat is het moeilijkste dat je ooit hebt moeten loslaten in je werk? Niels: Een overtuiging, een aanpak, nieuwe technologie. Niels: En hoe ben je dat dan aangegaan? Cassandra: Dat is een filosofische vraag. Cassandra: Die zat niet in de voorbereiding. Cassandra: Ja, een overtuiging aanpak. Cassandra: Of iets wat je aan de technologie overgelaten hebt, wat je ervoor het zelf deed. Cassandra: Een andere procesaanpak. Cassandra: Ik denk, als je kijkt naar compliance werk, het is natuurlijk wel steeds veel meer geworden. Niels: Breder ook. Cassandra: De regelgeving, er is alleen maar meer regelgeving bijgekomen en het wordt niet minder. Cassandra: Dus ik denk, misschien dat ik en dat was denk ik ook omdat het toen natuurlijk een stuk jonger was, het idee dat je alles kan lezen, alles kan weten, bepaalde controle hebt, die moet je denk ik loslaten. Cassandra: Dus natuurlijk natuurlijk met behulp van AI kan je dat ook meer delegeren als je op de juiste manieren doet. Cassandra: Maar ik denk ook daarin, ga je eigenlijk van ja, 100% controle naar veel meer risico gerichte benadering. Cassandra: Op basis van een bepaald bedrijfsmodel, waar zitten de echte risico's voor welke bepaalde producten, voor welke bepaalde markten. Cassandra: Waardoor kan je in de toekomst misschien wel mischeps worden geraakt omdat door bijvoorbeeld GEOpolitieke ontwikkelingen. Cassandra: Dat zijn denk ik gewoon hele belangrijke vragen die relevant blijven. Cassandra: Maar ja, het idee dat ik alles wel bij kon houden en bij komt lezen, dat heb ik wel losgelaten. Niels: Ik ook hoor, dat moest wel, want het gaat allemaal zo snel in de technologie, maar ook waar het impact kan hebben. Niel: Maar wat ik je ook hoor zeggen is inderdaad, blijf vraag stellen. Niels: En ik denk dat dat een capability is die bij veel meer mensen nog meer naar de voorgrond moeten worden gebracht, is het kritisch denken. Niels: En breder kijken dan je eigen werk van, inderdaad, en dat hoor ik heel mooi terug in jouw verhaal. Niels: Dus dat is heel erg belangrijk. Niels: En ook kleine stapjes hoor ik ook zeggen. Niels: Dus maak het makkelijk, maak het verhaal naar de gebruikers, dat dit kan toepassen in het eigen werkgebied en eigen proces. Cassandra: En wacht niet op perfecte moment, want het is toch nooit. Niels: Nee, er is geen perfect moment. Cassandra: Het is gewoon even trial and error, maar als je ergens begint. Cassandra: Ook op een manier die je makkelijk die flexibel is en wat je makkelijk kan aanpassen. Cassandra: Ja, dan kan je na verloop van tijd, bijvoorbeeld na twee jaar denken, oh, ik heb echt wel iets opgebouwd. Cassandra: En het is echt wel gewoon stapje voor stapje iets bijgekomen. Cassandra: Maar het is ja, het is nooit een perfecte situatie. Niels: Nee, en de wereld verandert continu. Niels: Dus ook met verandering om kunnen gaan, moet je ook meenemen in hoe je het aanpakt. Niels: Hele mooie tips die je met ons mogen delen. Niels: En ik hoop dat de tips ook inderdaad bij de gasten bij je tak naar voren komen. Niels: Wij hebben in ieder geval heel mooi helder beeld gekregen. Niels: Hoe kan je starten, waar moet je op letten, wees kritisch, kijk ook bij de strategie. Niels: De context bepaalt ook heel veel. Niels: En daar heb je als compliance en met behulp van AI echt een goed verhaal. Niels: Dankjewel daarvoor. Niels: Heel veel plezier met het geven van je presentatie en ook nog bij de sessie op de Data Expo. Niels: Dankjewel dat je het met ons wilde delen. Niels: Leuk dat je weer luistert naar deze aflevering van de AIToday Live. Niels: Vergeet je niet te abonneren op onze podcastkanaal, dan mis je geen aflevering. Niels: Daarnaast hebben we ook een mooi stellingenspel die online te vinden is. Niels: Dus wil je met elkaar hierover in gesprek. Niels: Download, download deze dan, speel deze digitaal. Niels: En tot de volgende keer.