AI-governance: beleid voor AI onder de EU AI Act

Overzicht

Dit document beschrijft het AI governance framework van Noveu. Alle AI-functionaliteit opereert binnen strikte grenzen voor privacy, transparantie en menselijke controle.

Principes

1. Waar data staat

Primaire klantdata (mail, bestanden, identiteit) staat in een Hetzner-datacenter in Falkenstein (Duitsland): geen US-cloudproviders (geen AWS/Azure/GCP) voor primaire data
Embeddings en vector-opslag draaien op onze eigen infrastructuur in Falkenstein (BAAI bge-m3 via zelf-gehoste Text-Embeddings-Inference + pgvector); geen externe embedding-API of vector-database
LLM-tekstgeneratie: de tekst laten alle AI-functies sinds 29 augustus 2026 schrijven door Mistral AI, een Frans bedrijf; volgens Mistral staan die gegevens standaard in de EU. Naar Mistral gaan bij de assistent je vraag, tot vijf eerdere beurten, de gevonden passages met hun bronadres en wat de assistent voor je opzoekt, zoals mails, tickets en facturen; bij de mailhulp afzender, onderwerp en tekst van de mail. Dit gebeurt onder AVG met een Mistral DPA. Google Gemini (VS) is per die datum uitgefaseerd als AI-verwerker.
E-mailadressen, telefoonnummers, IBAN's, IP-adressen, BSN's en webadressen in de tekst die met http of https beginnen, vervangen wij vooraf door plaatshouders
Volledige controle over data lifecycle

2. Transparantie

Uitlegbare AI beslissingen waar mogelijk
Logging van alle AI interacties (gepland)
Duidelijke labeling van AI-gegenereerde content
Audit trail voor compliance (gepland)

3. Menselijke Controle

Human-in-the-loop voor kritieke beslissingen
Override mogelijkheid voor alle AI suggesties
AI staat standaard uit: Noveu zet AI per organisatie aan. In een organisatie waar AI aanstaat, kunnen alle leden de assistent gebruiken, gasten niet. Een schakelaar waarmee je organisatie AI zelf aan- of uitzet, is er nog niet.

4. Privacy by Design

Minimale data verwerking (data minimization)
Pseudonimisatie waar mogelijk
Strikte toegangscontrole tot AI logs (gepland)
Recht op uitleg en bezwaar

AI Componenten

Assistenten

Assistent	Functie	Data Access
Mail Assistant	Samenvattingen, suggesties	Inbox van gebruiker
Document AI	Analyse, extractie	Geüploade documenten
Search AI	Semantisch zoeken	Openbare pagina's van noveu.eu en door een lid toegevoegde webadressen of pdf's
Support Bot	FAQ, triage	Kennisbank

Models

Model	Type	Locatie	Gebruik
LLM (Mistral)	Taal	Mistral (Frans bedrijf); volgens Mistral standaard in de EU	Text generatie
Embeddings (BAAI bge-m3)	Vector	On-premise, eigen EU-infra (TEI)	Zoeken
Vector-opslag (pgvector)	Vector store	On-premise, eigen EU-infra	Retrieval
OCR	Vision	EU datacenter	Document verwerking

RAG (Retrieval Augmented Generation)

┌──────────────┐     ┌──────────────┐     ┌────────────────────┐
│ Gebruiker    │ ──► │ Query Engine │ ──► │ Vector Store       │
│ vraag        │     │ (EU-hosted)  │     │ (pgvector, on-prem │
│              │     │              │     │  EU; bge-m3 TEI)   │
└──────────────┘     └──────┬───────┘     └────────────────────┘
                            │
                            ▼
                  ┌─────────────────────┐
                  │ LLM (Mistral,       │
                  │  Frans bedrijf;     │
                  │  locatie: zie de    │
                  │  tabel hierboven)   │
                  │ + Retrieved Context │
                  └──────┬──────────────┘
                            │
                            ▼
                     ┌──────────────┐
                     │ Antwoord     │
                     │ met bronnen  │
                     └──────────────┘

Dataverwerking

Wat wel wordt verwerkt

Klantinhoud voor de AI-functies; wat er per functie naar Mistral gaat, staat bovenaan bij LLM-tekstgeneratie
Interactie logs voor audit (gepland)
Prestatiemetrics voor optimalisatie

Wat NIET wordt verwerkt

❌ Delen met andere partijen dan de sub-verwerkers
❌ Profilering voor advertenties

Retentie

Data Type	Retentie	Reden
AI interactie logs	90 dagen (gepland)	Audit en debugging
Gegenereerde content	Geen	Niet opgeslagen
Embeddings	Tot verwijdering	Functionaliteit
Feedback	1 jaar	Verbeteringen

Risicobeoordeling

AI Act Classificatie

Onder de EU AI Act classificeert Noveu AI als:

Beperkt risico: Transparency verplichtingen
Geen hoog risico: Geen automatische besluitvorming in kritieke gebieden

Mitigaties

Risico	Mitigatie
Hallucination	RAG met bronverwijzing
Bias	Diverse trainingsdata, monitoring
Privacy	Zoeken op eigen infrastructuur, plaatshouders voor persoonsgegevens, TLS voor transport
Misbruik	Rate limiting, content filtering
Lock-in	Open model architectuur

Configuratie per Organisatie

AI staat standaard uit: Noveu zet AI per organisatie aan. In een organisatie waar AI aanstaat, kunnen alle leden de assistent gebruiken, gasten niet. Een schakelaar waarmee je organisatie AI zelf aan- of uitzet, is er nog niet.

Gepland, nog niet te gebruiken: per organisatie instellen welke AI-functies actief zijn, wie ze mag gebruiken, welke gegevens de AI mag benaderen en welk logniveau en welke bewaartermijn gelden.

Audit en Compliance

Logs

Logging van AI interacties is gepland. Een logregel krijgt dan deze vorm:

{
  "timestamp": "2026-01-15T10:30:00Z",
  "userId": "user-uuid",
  "action": "mail_summary",
  "inputType": "email",
  "outputType": "text",
  "modelVersion": "1.2.3",
  "tokensUsed": 1500,
  "latencyMs": 850
}

Rapportages

Maandelijks AI usage report
Kwartaal governance review
Jaarlijkse audit assessment (gepland)

Certificeringen

Noveu zelf is nog niet gecertificeerd. De stand per 14 oktober 2026:

ISO 27001 (informatiebeveiliging): nog niet behaald; een gapanalyse loopt, zonder planning. Het primaire datacenter (Hetzner Falkenstein) is wel ISO 27001-gecertificeerd
AI Act: voorbereidend, geen behaalde conformiteitsstatus

Incidenten

Meldingsproces

AI incident gedetecteerd
Automatische pauzering indien kritiek
Notificatie aan security team
Root cause analyse
Correctieve actie
Communicatie naar klant

Categorieën

Categorie	Voorbeeld	Response
Privacy	Data lekkage	Onmiddellijk
Safety	Schadelijke output	Met voorrang
Quality	Inaccurate output	Volgens de SLA
Performance	Trage response	Volgens de SLA

Versie: 1.5

Wijziging 1.1 (31-08-2026): LLM-tekstgeneratie loopt sinds 29 augustus 2026 via Mistral (Frans bedrijf); volgens Mistral standaard in de EU; Google Gemini (VS) is per die datum uitgefaseerd als AI-verwerker. De sectie Certificeringen noemt ISO 27001 en SOC 2 nu als roadmap in plaats van als behaalde certificering.

Wijziging 1.3 (14-10-2026): SOC 2 staat niet meer in de lijst met certificeringen en bij ISO 27001 staat alleen dat een gapanalyse loopt, zonder planning. De stand van de lijst is die van 14 oktober 2026.

Wijziging 1.4 (15-10-2026): de AI-beschrijving volgt de gemeten stand. Bij Mistral staat de locatie nu als opgave van Mistral zelf, niet als eigen meting, ook in het schema. Nieuw zijn wat er per functie naar Mistral gaat, de plaatshouders en wat de zoekindex bevat (openbare pagina's van noveu.eu en wat een lid zelf toevoegt). De assistent stond aan voor alle leden, niet voor gasten, en een werkende schakelaar was er nog niet: de belofte van een uitknop voor AI is weg, de instellingen per organisatie (functies, gebruikers, gegevens, logniveau) staan als gepland, en de toestemming bij klantinhoud en de lokale verwerking als privacymaatregel zijn weg. Weg zijn ook de belofte van activering per klant, de zinnen over training tot er een meting onder ligt, en de regels dat er niets naar derden of buiten de EU gaat.

Wijziging 1.5 (15-10-2026): AI staat standaard uit en Noveu zet AI per organisatie aan. In een organisatie waar AI aanstaat, kunnen alle leden de assistent gebruiken, gasten niet; een schakelaar waarmee de organisatie AI zelf aan- of uitzet, is er nog niet. Gewijzigd zijn de regel bij menselijke controle en het blok Configuratie per Organisatie.

AI Governance Beleid