What is the AI Evidence Chain™?

The AI Evidence Chain™ is RaaSify.AI's seven-stage framework for producing audit-ready evidence of AI governance. The stages are Business Intent, Data, Build, Validation, Deployment, Monitoring and Incident Response. It was created by Ma Cherie Cortez, PhD, and is a registered trademark (BOIP Reg. No. 1551399).

What is the difference between an AI audit trail and AI logging?

Logging records what happened inside a system. An audit trail also records the decisions people made around it: why the system was adopted, who approved it, how it was tested and what was done after an incident. Logs are one input to the Monitoring stage. They are not the whole trail.

Does a small business need an AI audit trail?

Yes, if AI influences decisions about people, such as hiring, lending or customer service, or if a customer, investor, partner or board member asks how you govern AI. Legal duties under the EU AI Act depend on the risk tier of each system and on whether you are its provider or deployer. A basic trail is still worth keeping for lower-risk tools, because it is what you show when someone asks.

How long should AI records be kept?

For high-risk systems under the EU AI Act, automatically generated logs must be kept for at least six months (Article 19 for providers, Article 26(6) for deployers). Providers must keep technical documentation for 10 years (Article 18). Other laws, contracts and sector rules can require longer. Logs often contain personal data, so the retention period also has to respect data protection law.

Do I need software to build an AI audit trail?

No. A spreadsheet and a shared folder are enough for a company with a handful of AI tools. Governance platforms earn their cost when you have many systems, several teams, or systems you build yourself. Decide after the inventory, when you know what you have.

Do I need a consultant to build an AI audit trail?

Not always. If you use a handful of low-risk AI tools and someone inside the company has time to own the work, you can start on your own. Outside help is worth it when AI influences decisions about people, when a customer, auditor or regulator has asked for evidence, when you face a deadline, or when nobody in-house can judge what counts as sufficient evidence. A fixed-scope assessment is usually enough to find out which case you are in.

Should I map to the EU AI Act, ISO/IEC 42001 or the NIST AI RMF?

They do different jobs. The EU AI Act is law for organizations that provide or use AI systems in the EU. ISO/IEC 42001 is a certifiable management system standard. The NIST AI RMF is a voluntary framework from the US National Institute of Standards and Technology. The AI Evidence Chain™ maps to all three, so one set of evidence can serve whichever applies to you.

When do the EU AI Act high-risk obligations apply?

Stand-alone high-risk systems listed in Annex III must comply by 2 December 2027. High-risk AI embedded in regulated products under Annex I must comply by 2 August 2028. Both dates were moved by the Digital Omnibus on AI in 2026. The delay does not cover prohibited practices, general-purpose AI model obligations or the general transparency rules.

AI-governance

Hoe bouw je een AI-auditspoor op: de 7-stappen AI-bewijsketen™

Mijn lieve Cortez
6 oktober 2026

Hoe bouw je een AI-auditspoor op? | AI Evidence Chain™

Hoe bouw je een AI-auditspoor op: De 7-stappen AI-bewijsketen™ voor kleine bedrijven

Een AI-beleid beschrijft wat er moet gebeuren. Een auditlogboek bewijst wat er daadwerkelijk is gebeurd.

Kort antwoord: Een AI-auditspoor is de verzameling gegevens waarmee iemand buiten uw team kan reconstrueren hoe een AI-systeem is goedgekeurd, welke gegevens het gebruikt, hoe het is getest, wie het in gebruik heeft genomen en hoe het zich sindsdien heeft gedragen. De AI Evidence Chain™ is het zevenstappenraamwerk van RaaSify.AI voor het opbouwen van dat spoor: Bedrijfsdoel, Gegevens, Bouw, Validatie, Implementatie, Monitoring en Incidentrespons.

De meeste richtlijnen voor AI-audit trails zijn geschreven voor bedrijven met een platformteam. Ze gaan over onveranderlijke logarchieven, cryptografische hashes en correlatie-ID's. Dat is nuttig als je AI-producten ontwikkelt. Maar het helpt een bedrijf van 40 mensen dat Microsoft Copilot, ChatGPT en de AI-functies in de HR- en CRM-software beheert, niet.

Deze handleiding is bedoeld voor dat bedrijf. Het behandelt wat een auditor, toezichthouder of klant zal vragen, de zeven fasen die ze zullen controleren, waar auditsporen doorgaans tekortschieten en hoe u kunt controleren of uw eigen auditspoor standhoudt bij een ondervraging.

Wat is een AI-auditlogboek?

Een AI-auditspoor is gedocumenteerd bewijsmateriaal, bewaard gedurende de hele levensduur van een AI-systeem, dat antwoord geeft op vijf vragen:

Wat doet het systeem, en waarom gebruiken we het?
Welke gegevens worden ingevoerd en mogen we die gebruiken?
Hoe werd het geconfigureerd en getest voordat mensen er gebruik van gingen maken?
Wie heeft het goedgekeurd en wie is verantwoordelijk voor het controleren van de resultaten?
Wat is er sindsdien gebeurd, inclusief wanneer het misging?

Een auditspoor is uitgebreider dan een logboek. Een logboek registreert gebeurtenissen binnen het systeem. Een auditspoor registreert ook de menselijke beslissingen die daarbij een rol spelen: de goedkeuring, de testaftekening, de maandelijkse evaluatie en de opvolging van incidenten.

Een bedrijf kan complete logboeken hebben en toch geen auditspoor, omdat niemand kan aantonen wie heeft besloten dat het systeem geschikt was voor gebruik.

Waarom is een AI-beleid niet voldoende?

Een beleid is een intentieverklaring. Toezichthouders, auditors en klanten toetsen of het beleid daadwerkelijk is nageleefd.

De vraag luidt meestal als volgt: "Laat me zien hoe dit AI-systeem beslissingen neemt en bewijs dat je het in de gaten houdt." Een beleidsdocument kan die vraag niet beantwoorden. Een gedateerde goedkeuring, een testverslag en drie maanden aan evaluatienotities wel.

Drie groepen stellen die vraag:

Regulatoren. De EU-wetgeving inzake kunstmatige intelligentie (AI) vereist technische documentatie, registratie, menselijk toezicht en monitoring voor AI-systemen met een hoog risico. Voor op zichzelf staande systemen met een hoog risico gelden deze verplichtingen vanaf 2 december 2027, nadat de digitale omnibus over AI de datum had verschoven van 2 augustus 2026.
Accountants. ISO/IEC 42001 is een norm voor managementsystemen. Certificering is gebaseerd op gedocumenteerde informatie, interne audits en managementbeoordelingen, niet alleen op het beleid zelf.
Klanten. Grotere klanten en partners vragen steeds vaker hoe u AI beheert voordat ze een contract tekenen. Een overtuigend antwoord vereist concrete voorbeelden.

De extra tijd is geen pauze. Het is de mogelijkheid om bewijsmateriaal te verzamelen voordat iemand erom vraagt.

Wat is de AI Evidence Chain™?

De AI Evidence Chain™ is een zevenstappenkader voor AI-governance, ontwikkeld door Ma Cherie Cortez, PhD, oprichtster van RaaSify.AI. Het creëert een traceerbaar overzicht van de gehele levenscyclus van een AI-systeem, zodat elke door AI ondersteunde beslissing kan worden verdedigd tegenover een toezichthouder, een auditor of een raad van bestuur.

Het wordt een keten genoemd omdat elke fase afhankelijk is van de voorgaande. Een monitoringsrapport heeft weinig zin als niemand kan aantonen waarvoor het systeem is goedgekeurd. Eén ontbrekende schakel breekt de keten.

De zeven fasen zijn:

Zakelijke intentie. Waarom elk AI-systeem bestaat, waarvoor het wordt gebruikt, wie de eigenaar is en wie het heeft goedgekeurd. Dit omvat elk systeem dat in gebruik is, inclusief schaduw-AI en de AI-functies in software waar u al voor betaalt.
Gegevens. Welke gegevens worden aan elk systeem geleverd, waar komen ze vandaan (de herkomst van de gegevens) en of dat gebruik rechtmatig en gepast is.
Bouwen. Hoe het systeem is gebouwd of geconfigureerd, en de documentatie van die configuratie.
Geldigmaking. Hoe het systeem vóór de ingebruikname is getest op nauwkeurigheid, vertekening en veiligheid, met resultaten die u kunt laten zien.
Inzet. Wie gaf toestemming voor de ingebruikname, onder welke voorwaarden, en welke waarborgen en menselijk toezicht waren er van kracht?
Monitoring. Hoe het gedrag in de praktijk na de lancering wordt bijgehouden en wie dit beoordeelt.
Incidentafhandeling. Wat gebeurt er als het systeem een probleem veroorzaakt: wie onderneemt actie, wie wordt ingelicht en wat wordt vastgelegd?

De meeste organisaties kunnen een paar van deze fasen wel beschrijven in een gesprek. Maar slechts weinig organisaties kunnen bewijs leveren voor alle zeven fasen. Die kloof tussen kennis over governance en het kunnen bewijzen ervan, wordt overbrugd door een audit trail.

Waar lopen AI-auditsporen doorgaans vast?

Elke fase beantwoordt een vraag die een auditor, toezichthouder of klant kan stellen. De tabel toont de vraag en hoe een tekortkoming er doorgaans uitziet bij een klein bedrijf.

De AI Evidence Chain™ koppelt elke fase aan de relevante artikelen van de EU AI-wetgeving, de clausules van ISO/IEC 42001 en de functies van het NIST AI Risk Management Framework, zodat één set bewijsmateriaal voor alle drie de systemen volstaat. Deze clausule-voor-clausule koppeling, toegepast op uw eigen systemen, is wat de AI Evidence Chain™ Audit levert.

Hoe bouw je een auditlogboek voor AI op?

Je bouwt een AI-auditspoor systeem voor systeem op door voor elk van de zeven fasen in de juiste volgorde bewijsmateriaal te verzamelen. In grote lijnen:

Kies één systeem. Begin met het AI-systeem dat de grootste impact heeft op uw klanten of medewerkers.
Leg de bedrijfsdoelstellingen vast. Waarom het systeem bestaat, wie de eigenaar is en wie het heeft goedgekeurd.
Traceer de gegevens. Wat erin gaat, waar het vandaan komt en of je het mag gebruiken.
Documenteer de bouw. Hoe het systeem is geconfigureerd en wat er sinds de lancering is veranderd.
Bewaar het bewijs van validatie. Hoe het werd getest voordat mensen erop vertrouwden.
Leg de beslissing over de inzet vast. Wie heeft de livegang goedgekeurd, onder welke voorwaarden, en wie houdt toezicht op de resultaten?
Monitoren en reageren. Bekijk hoe het systeem zich gedraagt volgens een vast ritme en noteer wat er gebeurt als er iets misgaat.

Herhaal dit vervolgens voor het volgende systeem. Wat bij elke stap als voldoende bewijs geldt, hangt af van de risicocategorie van het systeem en van de regels die op u van toepassing zijn. Daar ligt de meeste beoordeling.

Kan een klein bedrijf een AI-auditspoor opzetten zonder een compliance-team?

Ja. Een klein bedrijf heeft geen compliance-afdeling of logplatform nodig om te beginnen. Het heeft drie dingen nodig: een aangewezen eigenaar voor elk AI-systeem, één centrale plek voor de gegevens en een maandelijkse evaluatie die daadwerkelijk plaatsvindt. Deze KPI's voor AI-governance bieden een meetbaar kader voor die evaluatie.

Voordat je iets bouwt, moet je eerst je huidige situatie in kaart brengen. Kies het AI-systeem dat de grootste impact heeft op je klanten of medewerkers en beantwoord zeven vragen, één per fase:

Kunt u aangeven wie het heeft goedgekeurd en waarom het bedrijf het gebruikt?
Weet je welke gegevens erin terechtkomen en of je die gegevens op deze manier mag gebruiken?
Kunt u laten zien hoe het er nu uitziet en wat er sinds de lancering is veranderd?
Is er een verslag van hoe het is getest voordat mensen er gebruik van gingen maken?
Is er een specifieke persoon verantwoordelijk voor het controleren van de output?
Heeft iemand de prestaties van het systeem in de afgelopen drie maanden bekeken?
Als het morgen een probleem veroorzaakt, weet iedereen dan wat te doen en waar het wordt geregistreerd?

Elke "nee" is een gebroken schakel in de keten. De meeste bedrijven vinden er meerdere. Veel bedrijven ontdekken ook meer AI dan ze hadden verwacht: organisaties vinden doorgaans 30-40% meer AI-systemen dan ze dachten te hebben na een grondige inventarisatie.

Hoe weet je of je AI-auditlogboek werkt?

Voer de test van zes maanden uit. Kies een door AI ondersteunde beslissing van zes maanden geleden en probeer deze te reconstrueren aan de hand van alleen de gegevens, zonder iemand te vragen wat hij of zij zich herinnert.

Je moet kunnen aantonen welk systeem is gebruikt, hoe het destijds was geconfigureerd, welke gegevens het bevatte, wie het gebruik ervan heeft goedgekeurd, wie de output heeft beoordeeld en of er daarna iets mis is gegaan. Elke vraag die je niet kunt beantwoorden aan de hand van een document is een kapotte link.

Vijf veelgemaakte fouten leiden tot het mislukken van wandelroutes:

Een gereedschap kopen voordat de inventarisatie wordt gedaan. Een logplatform kan geen systemen registreren waarvan niemand weet.
Bewijsmateriaal bewaren in inboxen en hoofden. Als de goedkeuring in het e-mailadres van één persoon staat, wordt deze verwijderd zodra die persoon vertrekt.
Alleen de geslaagde tests worden opgeslagen. Mislukte tests en de daaropvolgende oplossingen vormen het sterkste bewijs dat de validatie daadwerkelijk heeft plaatsgevonden.
De AI van de leverancier beschouwen als het probleem van de leverancier. Volgens de EU-wetgeving inzake kunstmatige intelligentie heeft een bedrijf dat een systeem met een hoog risico gebruikt, eigen verplichtingen als implementeerder, waaronder menselijk toezicht, monitoring en het bijhouden van logboeken.
Het één keer doen. Een spoor dat stopt op de dag van de lancering bewijst dat het systeem op de dag van de lancering werd bestuurd.

Veelgestelde vragen

Wat is de AI Evidence Chain™?

De AI Evidence Chain™ is het zevenstappenplan van RaaSify.AI voor het genereren van auditklaar bewijs van AI-governance. De stappen zijn: Bedrijfsdoel, Data, Bouw, Validatie, Implementatie, Monitoring en Incidentrespons. Het is ontwikkeld door Ma Cherie Cortez, PhD, en is een geregistreerd handelsmerk (BOIP Reg. No. 1551399).

Wat is het verschil tussen een AI-auditlogboek en AI-logging?

Logs leggen vast wat er binnen een systeem gebeurt. Een audit trail registreert ook de beslissingen die mensen eromheen hebben genomen: waarom het systeem is ingevoerd, wie het heeft goedgekeurd, hoe het is getest en wat er na een incident is gedaan. Logs zijn één input voor de monitoringfase. Ze vormen niet het volledige traject.

Heeft een klein bedrijf een auditlogboek voor AI nodig?

Ja, als AI beslissingen over mensen beïnvloedt, zoals bij het aannemen van personeel, het verstrekken van leningen of de klantenservice, of als een klant, investeerder, partner of bestuurslid vraagt hoe u AI beheert. De wettelijke verplichtingen onder de EU-AI-wetgeving hangen af van de risicocategorie van elk systeem en of u de leverancier of de implementeerder bent. Het is nog steeds de moeite waard om een basisregistratie bij te houden voor tools met een lager risico, omdat u die kunt laten zien wanneer iemand ernaar vraagt.

Hoe lang moeten AI-gegevens bewaard worden?

Voor systemen met een hoog risico onder de EU AI-wetgeving moeten automatisch gegenereerde logbestanden ten minste zes maanden worden bewaard (artikel 19 voor aanbieders, artikel 26(6) voor implementeerders). Aanbieders moeten technische documentatie tien jaar bewaren (artikel 18). Andere wetten, contracten en sectorregels kunnen langere bewaartermijnen vereisen. Logbestanden bevatten vaak persoonsgegevens, dus de bewaartermijn moet ook voldoen aan de wetgeving inzake gegevensbescherming.

Heb ik software nodig om een auditlogboek voor AI op te bouwen?

Nee. Een spreadsheet en een gedeelde map zijn voldoende voor een bedrijf met een handvol AI-tools. Governanceplatforms zijn pas rendabel als je veel systemen, meerdere teams of zelfgebouwde systemen hebt. Neem een beslissing na de inventarisatie, wanneer je precies weet wat je hebt.

Heb ik een consultant nodig om een AI-auditspoor op te zetten?

Niet altijd. Als u een handvol AI-tools met een laag risico gebruikt en iemand binnen het bedrijf tijd heeft om het werk op zich te nemen, kunt u zelf aan de slag. Externe hulp is de moeite waard wanneer AI beslissingen over mensen beïnvloedt, wanneer een klant, auditor of toezichthouder om bewijsmateriaal heeft gevraagd, wanneer u met een deadline te maken heeft, of wanneer niemand binnen het bedrijf kan beoordelen wat als voldoende bewijsmateriaal geldt. Een beoordeling met een afgebakende scope is meestal voldoende om te bepalen in welke situatie u zich bevindt.

Moet ik de AI-richtlijnen van de EU, ISO/IEC 42001 of het NIST AI RMF als uitgangspunt nemen?

Ze vervullen verschillende functies. De EU AI-wetgeving is van toepassing op organisaties die AI-systemen leveren of gebruiken in de EU. ISO/IEC 42001 is een certificeerbare norm voor managementsystemen. Het NIST AI RMF is een vrijwillig raamwerk van het Amerikaanse National Institute of Standards and Technology. De AI Evidence Chain™ is gekoppeld aan alle drie, zodat één set bewijsmateriaal kan worden gebruikt voor de situatie die voor u relevant is.

Wanneer zijn de verplichtingen met betrekking tot risicovolle AI-systemen uit de EU-wetgeving van toepassing?

Op zichzelf staande systemen met een hoog risico die in bijlage III worden vermeld, moeten uiterlijk 2 december 2027 aan de eisen voldoen. AI met een hoog risico die is ingebed in gereguleerde producten onder bijlage I, moet uiterlijk 2 augustus 2028 aan de eisen voldoen. Beide data zijn in 2026 verschoven door de Digital Omnibus over AI. De uitstelregeling heeft geen betrekking op verboden praktijken, verplichtingen ten aanzien van algemene AI-modellen of de algemene transparantieregels.

Waar moet je beginnen?

Begin met de zelfcontrole van zeven vragen en de zesmaandelijkse test van één systeem. Als daaruit blijkt dat er tekortkomingen zijn, of als u liever wilt dat de tekortkomingen voor u worden opgespoord, dan is de AI Evidence Chain™ Audit precies wat u nodig heeft.

Het betreft een beoordeling van uw AI-systemen met een vaste scope, die vier weken duurt en alle zeven fasen omvat, afgestemd op de EU AI-wetgeving, ISO/IEC 42001 en het NIST AI RMF. U ontvangt een complete AI-inventarisatie, een fasegewijs rapport over de tekortkomingen en een stappenplan met prioriteiten voor de verbetering. Er is geen verplichting om na afloop verder te gaan.

Als je al weet dat het pad binnen een bepaalde deadline aangelegd moet worden, dan... De 90-daagse governance-sprint bouwt het op. Als het bestaat en elke maand in leven moet worden gehouden, dan is dat AI Governance as a Service.

Plan uw AI Evidence Chain™ Audit-beoordelingsgesprek in.

Over de auteur

Ma Cherie Cortez, PhD, is de oprichtster van RaaSify.AI en de bedenker van de AI Evidence Chain™. Ze heeft 27 jaar wereldwijde ervaring in IT-leiderschap, waaronder werk op het gebied van AI-governance voor bedrijven als Philips, AB InBev, DLL en Lloyds Banking Group. Die ervaring zet ze nu in voor kleine en middelgrote bedrijven die zich voorbereiden op de EU AI-wetgeving en ISO/IEC 42001. RaaSify.AI is een door EXIN gecertificeerde trainingspartner.

AI Evidence Chain™ is een geregistreerd handelsmerk van Ma Cherie Cortez, PhD. BOIP-registratienummer 1551399, geregistreerd op 25 augustus 2026.

Bronnen