Methode en vertrouwen
Deze pagina legt uit hoe een beoordeeld bewijspakket tot stand komt en waar de grenzen liggen. Ze is geschreven voor de operator die de dienst verkoopt en voor de klant, verzekeraar, auditor of afnemer die het pakket leest.
RIVAL legt handelingen en de huidige stand vast binnen één klantorganisatie: welke AI-tools bekend zijn en hoe ze zijn geclassificeerd, welk beleid geldt en welke versies mensen hebben bevestigd, welke claims in een review onderbouwd zijn, welke hiaten een eigenaar hebben en wat er sinds de vorige goedgekeurde review is veranderd. Het meet de aanwezigheid, datum en scope van records. Het meet geen juridische naleving en het geeft mensen geen score.
Een review begint bij een verzoek en gebruikt de claimstructuur van de AI Governance Core-release die in gebruik is. Elke claim heeft één status: actueel, verouderd, ontbrekend, niet onderbouwd of niet van toepassing. Een reviewer koppelt elke claim met de hand aan een of meer records: platformrecords, geüploade documenten, CSV-imports of ondersteunde exports van auditlogboeken. Niet-onderbouwde en niet-toepasselijke claims krijgen een vastgelegde reden. Een claim die verouderd, ontbrekend of niet onderbouwd is, is een hiaat met één eigenaar en één volgende actie.
Een mens keurt elke review goed voordat een pakket wordt gegenereerd. Met de goedkeuring liggen de review, de claims, statussen, koppelingen, scope en periode vast. RIVAL merkt uit zichzelf niets aan als goedgekeurd.
Een goedgekeurde review verandert nooit meer. Een correctie maakt een nieuwe reviewversie die naar de vorige verwijst, en elk pakket noemt de reviewversie, de datum en de inhoudsreleases die zijn gebruikt. Het pakket van een latere review toont wat er sinds de vorige goedgekeurde review is veranderd.
Het bewijsregister is bij normaal gebruik alleen aanvulbaar: de applicatie blokkeert wijzigingen en verwijderingen, en correcties maken nieuwe records die naar het gecorrigeerde record verwijzen. Het is niet cryptografisch verzegeld, niet onafhankelijk van een tijdstempel voorzien en niet onafhankelijk geverifieerd. Een pakket bewijst wat er is vastgelegd, wanneer en door wie, binnen die grenzen.
RIVAL is gebouwd voor Europese dataregels. Wat de applicatie vandaag afdwingt: elke klantorganisatie is een geïsoleerde datagrens binnen haar operator, en elke tenantgebonden query faalt zonder geverifieerde context. Transactieberichten bevatten geen trackingpixels en geen externe bestanden. Wat nog niet vastligt: de productiehosting, de opslagregio voor bewijsbestanden, de lijst met subverwerkers en de geauditeerde ondersteuningstoegang voor platformmedewerkers. We publiceren de afspraken over hosting, opslag, subverwerkers en gegevensverwerking vóór de eerste productieklant. Tot dat moment doen we daarover geen uitspraak.
RIVAL trekt geen juridische conclusie. Het legt vast dat er beleid is, dat een persoon het heeft bevestigd of dat een claim een onderbouwend record heeft. Of een organisatie aan een verplichting voldoet, blijft een oordeel van de organisatie en haar adviseurs.
RIVAL beoordeelt, rangschikt of profileert individuele medewerkers niet automatisch. Drillantwoorden bepalen wat iemand daarna oefent en worden opgeslagen bij de exacte inhoudsversie die de persoon zag. Pakketten rapporteren over claims en maatregelen van de organisatie, niet over individuele prestaties.
Een beoordeeld bewijspakket is geen certificaat, geen auditoordeel en geen garantie op naleving van welke wet dan ook. Geen verzekeraar, klant, auditor, inkoopafdeling of toezichthouder is verplicht het te accepteren. Het onderbouwt de antwoorden die een organisatie geeft, zodat die antwoorden rusten op beoordeelde records in plaats van op geheugen.
Deze methode is niet door een externe partij beoordeeld. We noemen hier pas een reviewer zodra die is aangesteld.
Methode en vertrouwen
Artikel 4 van de AI-verordening (Verordening (EU) 2024/1689), zoals in juli 2026 gewijzigd door de Digital Omnibus on AI, verplicht aanbieders en gebruiksverantwoordelijken om maatregelen te nemen die de ontwikkeling van AI-geletterdheid van hun personeel ondersteunen. Het verplicht hen niet een bepaald niveau te garanderen, en de Europese Commissie stelt dat er geen meting of certificaat is vereist en dat organisaties een intern dossier van trainingen en andere begeleidende initiatieven kunnen bijhouden. Zo'n dossier stelt op zichzelf geen naleving vast. In Nederland geldt de Cyberbeveiligingswet sinds 15 augustus 2026 voor ongeveer 8.000 organisaties, met een zorgplicht die ook hun toeleveringsketen omvat; leveranciers en hun adviseurs kunnen daarna de vragen krijgen. RIVAL ondersteunt het dossier- en reviewwerk achter zulke vragen. Het beslist niet of een organisatie compliant is, en geen van beide wetten vereist een bewijspakket.
Bronnen: Verordening (EU) 2026/1744 op EUR-Lex; vragen en antwoorden over AI-geletterdheid van de Europese Commissie, bijgewerkt op 27 juli 2026; Rijksoverheid, Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten, 7 juli 2026; Richtlijn (EU) 2022/2555, artikel 21(2)(d) voor de ketenverplichting. EUR-Lex Europese Commissie Rijksoverheid NIS2-richtlijn, artikel 21(2)(d)
