De risico's van AI in het bedrijfsleven, in Zwitserland

De risico's van AI in bedrijven zijn niet eendimensionaal. Ze vallen uiteen in vier afzonderlijke categorieën, elk met eigen oorzaken, gevolgen en beheersingsmiddelen. Dit overzicht begrijpen is de eerste stap vóór elke inzet.

Zwitserland heeft nog geen specifieke AI-wet. De gekozen aanpak is technologische neutraliteit: bestaande wetten zijn van toepassing. Concreet betekent dit dat drie rechtscorpora het gebruik van AI in bedrijven direct reguleren.

De nieuwe Federale Wet op de Gegevensbescherming (nLPD, in werking getreden in september 2023) is rechtstreeks van toepassing op AI-verwerkingen. Ze verplicht tot transparantie over het doel en de gegevensbronnen, een impactanalyse bij hoge risico's en het recht op menselijke toetsing van geautomatiseerde beslissingen (art. 21 nLPD). Sancties kunnen oplopen tot 250'000 CHF en brengen persoonlijke aansprakelijkheid van bestuurders met zich mee.

Het Verbintenissenrecht (art. 41 CO) verplicht de gebruikende onderneming tot vergoeding van schade veroorzaakt door een AI-systeem dat zij exploiteert. De onderneming is verantwoordelijk, niet het systeem. De Federale Wet op de Productaansprakelijkheid (LRFP) kan eveneens van toepassing zijn indien de AI als gebrekkig onderdeel wordt aangemerkt.

De Europese AI Act, aangenomen in maart 2024 en progressief in werking getreden tot 2026, raakt rechtstreeks Zwitserse bedrijven die actief zijn op de Europese markt of waarvan de AI-systemen in de EU worden ingezet. De wet deelt AI in vier risiconiveaus in (onaanvaardbaar, hoog, beperkt, minimaal) en legt documentatie-, audit- en CE-markeringsverplichtingen op voor hoog-risicosystemen.

Generatieve AI produceert statistisch waarschijnlijke, maar niet noodzakelijk correcte resultaten. Het fenomeen van hallucinaties, waarbij het model met stelligheid onjuiste informatie genereert, is gedocumenteerd in alle grote huidige modellen. In een professionele context kan dit leiden tot slecht opgestelde contracten, foutieve financiële analyses, onjuiste klantantwoorden of gebrekkige medische beslissingen.

Operationele afhankelijkheid is een risico dat vaak wordt onderschat. Wanneer een kritisch proces volledig steunt op een AI-systeem van een externe leverancier, kan een storing, een wijziging van de gebruiksvoorwaarden of een tariefverhoging de bedrijfsvoering ontwrichten. Zonder continuïteitsplan is de kwetsbaarheid structureel.

Een model getraind op historische gegevens erft de vooroordelen van die gegevens. In de context van werving, kredietverstrekking, verzekeringsprijsstelling of prestatie-evaluatie kan een bevooroordeeld algoritme leiden tot discriminerende beslissingen in de zin van het Zwitserse en Europese recht, zelfs zonder kwade opzet.

Het ontbreken van menselijk toezicht op deze beslissingen vergroot het risico: de discriminatie is niet zichtbaar in het proces, maar verschijnt pas in de resultaten. In Zwitserland verplicht de nLPD dat geautomatiseerde beslissingen met aanzienlijke juridische gevolgen voor een persoon onderworpen zijn aan een recht op menselijke toetsing.

De meeste consumentengerichte AI-tools (ChatGPT, Copilot, Gemini) verwerken gegevens op servers in de Verenigde Staten. Wanneer een medewerker vertrouwelijke informatie, klantgegevens, bedrijfsgeheimen of persoonsgegevens in deze tools invoert, verlaten deze gegevens het bedrijfsdomein en mogelijk de Zwitserse en Europese jurisdictie.

De wereldwijde rekenkracht blijft sterk geconcentreerd in de Verenigde Staten, waardoor Europa structureel afhankelijk is van Amerikaanse hyperscalers. Deze realiteit creëert een soevereiniteitsrisico dat Zwitserse bedrijven, met name in gereguleerde sectoren (financiën, gezondheidszorg, verzekeringen, overheid), niet langer kunnen negeren.

Gegevenshosting is een veiligheidscriterium, niet alleen een voorkeur. Alternatieven bestaan, waaronder open-source modellen gehost op Europese infrastructuur, waarmee gevoelige gegevens kunnen worden verwerkt zonder ze buiten de EU te versturen.

Veel Zwitserse bedrijven hebben AI geadopteerd, maar de strategie blijft vaak achter. Adoptie zonder governance is op zichzelf een risico: gebruik prolifereert op ongecoördineerde wijze, verantwoordelijkheden blijven onduidelijk en er is geen kader dat definieert welke gegevens met welke tools mogen worden gedeeld.

Vendor lock-in is een vorm van strategische afhankelijkheid. Wanneer de processen van een bedrijf steunen op een propriëtaire AI-tool, wordt overstappen naar een alternatief kostbaar, riskant en technisch complex. Uiteindelijk beschikt de leverancier over marktmacht die de onderhandelingspositie van het bedrijf uitholt.

Een tekort aan interne competenties is een van de grootste belemmeringen voor een gestructureerde adoptie. KMO's kunnen doorgaans niet zelfstandig een AI-governanceteam samenstellen. Externe begeleiding, of het nu gaat om advies, training of technische dienstverlening, is dan ook een risicoverminderende factor, geen luxe.

Zwitserland kiest voor een aanpak van technologische neutraliteit: geen enkele AI-wet, maar toepassing van bestaande sectorale wetten. Concreet zijn in 2025-2026 de volgende teksten rechtstreeks van toepassing op AI-gebruik in bedrijven:

De FDPIC (federale autoriteit voor gegevensbescherming) heeft bevestigd dat de nLPD rechtstreeks van toepassing is op AI-verwerkingen, zonder ambiguïteit. De autoriteit houdt met name toezicht op gevallen van gezichtsherkenning, gedragsmonitoring en verwerking van gevoelige gegevens door geautomatiseerde systemen.

Voor bedrijven met blootstelling aan de EU komt de AI Act als extra regelgevingslaag. De eerste verboden (onaanvaardbaar risiconiveau) zijn in februari 2025 in werking getreden. De verplichtingen voor hoog-risicosystemen gelden progressief tot augustus 2026.

Het beheren van AI-risico's vereist geen volledige stilstand of algehele herinrichting. Het vraagt een gestructureerde aanpak, proportioneel aan de omvang en sector van de organisatie. Hier zijn de prioritaire stappen die door Zwitserse beoefenaars op dit gebied zijn geïdentificeerd.

Voor Zwitserse bedrijven die bedrijfs-AI-tools, klantenportalen, interne software of AI-agenten willen inzetten zonder hun gegevens aan Amerikaanse hyperscalers over te dragen, biedt Kleap een aanpak gebaseerd op drie principes.

Eerste principe: Europese infrastructuur. De implementaties steunen op Hetzner (Duitsland, ISO 27001 gecertificeerd) en open-source modellen waarvan de gegevens de EU niet verlaten en niet worden hergebruikt voor de training van modellen van derden.

Tweede principe: begeleiding. Kleap verkoopt geen tool, maar biedt een resultaat geleverd door een team. Drie wegen zijn beschikbaar: sleutelklare realisatie via partneragentschap Lionscreative, koppeling met een gespecialiseerde dienstverlener, of begeleide implementatie via Kleap Enterprise.

Derde principe: traceerbaarheid. De acties van geïmplementeerde AI-systemen zijn auditeerbaar. Bestuurders kunnen beslissingen documenteren om te voldoen aan de nLPD-vereisten en zich voor te bereiden op AI Act-naleving.