Opgesteld door [naam van jouw bedrijf] onder eigen merk
Beheerd met RIVAL
Pakketgegevens
1. Samenvatting
De klant gebruikt vier AI-tools bij marketing, klantenservice en financiën. Twaalf claims zijn beoordeeld. Zeven zijn actueel, één is verouderd, één ontbreekt, één is niet onderbouwd en twee zijn niet van toepassing. Drie hiaten hebben een eigenaar en een deadline. Sinds de vorige goedgekeurde review is het bevestigingshiaat bij marketing gesloten en is één nieuwe tool gemeld.
2. Verzoek en scope
Noordwind Retail vroeg zijn leveranciers een securityvragenlijst in te vullen met een nieuw AI-hoofdstuk. Dat hoofdstuk vraagt wie AI-tools gebruikt, met welke data, onder welk beleid, of medewerkers zijn geïnstrueerd en hoe de leverancier dit actueel houdt. De operator bakende de review af tot de drie afdelingen die met Noordwind-data werken en tot de periode sinds de vorige review.
Deadline: 29 augustus 2026. Status bij het genereren: beantwoord.
3. Bekend AI-gebruik en maatregelen
| AI-tool | Gebruikers | Data | Beleid | Classificatie |
|---|---|---|---|---|
| Microsoft 365 Copilot | 31 mensen | Interne documenten, e-mail | AI-gebruiksbeleid v3 | Goedgekeurd |
| CRM-assistent (add-on van leverancier) | 12 mensen, marketing | Klantcontactgegevens | AI-gebruiksbeleid v3, databijlage | Goedgekeurd onder voorwaarden |
| Algemene chatbot (consumentenabonnement) | 6 mensen, klantenservice | Mag geen klantdata bevatten | AI-gebruiksbeleid v3 | Beperkt |
| Factuurextractietool | 4 mensen, financiën | Leveranciersfacturen | AI-gebruiksbeleid v3 | Onbeoordeeld, gemeld op 22 juli 2026 |
4. Claims en bewijsstatussen
Elke claim heeft één status. Actueel: er is een onderbouwend record binnen de reviewtermijn. Verouderd: het record bestaat, maar de termijn is verstreken. Ontbrekend: er is geen record of maatregel. Niet onderbouwd: er zijn records, maar die staven de claim niet. Niet van toepassing: de claim valt buiten de scope, met een reden.
| Claim | Status | Onderbouwend record | Eigenaar en volgende actie |
|---|---|---|---|
| Er is een onderhouden inventaris van AI-tools in gebruik. | Actueel | Export AI-kaart, 30 juli 2026 (E-01) | |
| Er is een geldend, geversioneerd AI-gebruiksbeleid. | Actueel | Beleid v3, van kracht 1 juni 2026 (E-02) | |
| Mensen binnen de scope hebben de huidige beleidsversie bevestigd. | Actueel | 36 van 36 bevestigingen, laatste 24 juli 2026 (E-03) | |
| Marketingmedewerkers volgden de instructie over dataverwerking. | Actueel | Export awarenessrapport, 12 afrondingen, 18 juli 2026 (E-04) | |
| Klantcontactgegevens gaan alleen in goedgekeurde tools. | Actueel | Goedkeuring CRM-assistent en databijlage, 9 juni 2026 (E-05) | |
| De consumentenchatbot is beperkt voor klantdata. | Actueel | Classificatierecord tool, 9 juni 2026 (E-06) | |
| Microsoft 365-auditrecords worden beoordeeld op AI-activiteit. | Actueel | Export auditlogboek, 1 mei tot en met 31 juli 2026 (E-07) | |
| Financiële medewerkers volgden de instructie over dataverwerking. | Verouderd | Awarenessrapport, 4 afrondingen, 3 februari 2026, buiten de termijn van zes maanden (E-08) | Eigenaar: hoofd financiën. Instructie herhalen vóór 5 september 2026. |
| De factuurextractietool heeft een vastgelegde dataregel. | Ontbrekend | Geen record. Tool gemeld op 22 juli 2026. | Eigenaar: operator. Tool classificeren en de regel toevoegen aan de databijlage vóór 29 augustus 2026. |
| Klantenservicemedewerkers gebruiken alleen de goedgekeurde tools. | Niet onderbouwd | De export van het auditlogboek toont twee sessies met de consumentenchatbot vanaf klantenserviceaccounts op 14 juli 2026 (E-07) | Eigenaar: hoofd klantenservice. Bevestigen dat er geen klantdata is ingevoerd, daarna één drill toewijzen en opnieuw laten bevestigen. |
| AI-systemen met een hoog risico zijn geregistreerd en beoordeeld. | Niet van toepassing | Reden: geen hoogrisicosysteem binnen de scope in deze periode. | |
| Door AI gemaakte publieke uitingen worden vóór publicatie gecontroleerd. | Niet van toepassing | Reden: marketing publiceerde in deze periode geen door AI gemaakte externe content. |
5. Hiaten en herstel
- De instructie over dataverwerking bij financiën is verouderd. Eigenaar: hoofd financiën. Actie: instructie herhalen. Deadline: 5 september 2026.
- De factuurextractietool heeft geen dataregel. Eigenaar: operator. Actie: tool classificeren en de databijlage uitbreiden. Deadline: 29 augustus 2026.
- Twee sessies met de consumentenchatbot vanaf klantenserviceaccounts. Eigenaar: hoofd klantenservice. Actie: bevestigen dat er geen klantdata is ingevoerd, één drill toewijzen, opnieuw laten bevestigen. Deadline: 22 augustus 2026.
6. Veranderingen sinds de vorige goedgekeurde review
- Versie 1 van 6 mei 2026 dekte 1 februari tot en met 30 april 2026 met negen claims; versie 2 dekt er twaalf.
- Gesloten: bevestigingshiaat bij marketing. Alle twaalf marketingbevestigingen vastgelegd op 24 juli 2026.
- Nieuw: factuurextractietool gemeld op 22 juli 2026; één ontbrekende claim geopend.
- Nieuw: claim over beoordeling van het auditlogboek toegevoegd en onderbouwd met de export van 1 mei tot en met 31 juli.
- Gewijzigd: instructie bij financiën is op 3 augustus 2026 van actueel naar verouderd gegaan.
7. Antwoordindex
Elke vraag uit de vragenlijst is gekoppeld aan de claims die het antwoord onderbouwen, met hun status op het moment van goedkeuring.
| Vraag | Claims | Status |
|---|---|---|
| Welke AI-tools gebruiken jullie medewerkers voor onze data? | Inventaris; goedgekeurde tools; beperkte chatbot | Actueel |
| Hebben jullie een AI-beleid, en hebben medewerkers het bevestigd? | Geldend beleid; bevestigingen | Actueel |
| Zijn medewerkers geïnstrueerd over het verwerken van onze data met AI? | Instructie marketing; instructie financiën | Actueel; verouderd, herhaling vóór 5 september 2026 |
| Hoe houden jullie toezicht op AI-gebruik? | Beoordeling auditrecords; toolgebruik klantenservice | Actueel; niet onderbouwd, actie vóór 22 augustus 2026 |
| Gebruiken jullie AI-systemen met een hoog risico voor ons werk? | Registratie hoog risico | Niet van toepassing |
8. Methode
De reviewer opende de review vanuit het verzoek, koppelde de vragen aan de claimstructuur van de gebruikte AI Governance Core-release en koppelde elke claim met de hand aan een of meer records. De records kwamen uit het platformregister, geüploade documenten, één CSV-export van het awarenessplatform en één export van het Microsoft 365-auditlogboek. De reviewer stelde elke status vast, legde redenen vast voor niet-onderbouwde en niet-toepasselijke claims, wees eigenaren toe aan hiaten en keurde de review op 12 augustus 2026 goed. Met de goedkeuring lagen de claims, statussen en koppelingen vast; dit pakket is uit die vastgelegde review gegenereerd.
9. Bewijsindex
- E-01 Export AI-kaart, 30 juli 2026, platformrecord.
- E-02 AI-gebruiksbeleid v3, van kracht 1 juni 2026, beleidsversie in het platform.
- E-03 Bevestigingsrecords, 36 van 36, laatste 24 juli 2026, platformrecords.
- E-04 Afrondingsrapport awarenessplatform, marketing, 18 juli 2026, CSV-import.
- E-05 Goedkeuring CRM-assistent en databijlage, 9 juni 2026, geüpload document.
- E-06 Classificatierecord tool, consumentenchatbot, 9 juni 2026, platformrecord.
- E-07 Export Microsoft 365-auditlogboek, 1 mei tot en met 31 juli 2026, bestandsimport.
- E-08 Afrondingsrapport awarenessplatform, financiën, 3 februari 2026, CSV-import.
10. Scope en grenzen
Dit pakket documenteert vastgelegde handelingen en de huidige stand voor de genoemde scope en periode. Het is geen juridisch oordeel, geen certificaat en geen garantie op naleving van welke wet dan ook. Het beoordeelt geen individuele persoon, en geen afnemer, verzekeraar, auditor of toezichthouder is verplicht het te accepteren. Records buiten de scope, of van na 12 augustus 2026, zijn niet opgenomen. De volgende review staat gepland voor november 2026.