De OESO maakt van haar AI-beginselen een checklist: Due Diligence Guidance for Responsible AI

De OESO AI-beginselen kennen een eigenaardig lot: eindeloos geciteerd, zelden geoperationaliseerd. Ze gaven de wereld haar eerste intergouvernementele definitie van een AI-systeem — dezelfde die de AI-verordening overnam — maar ze vertelden een onderneming wat ze moest waarderen, niet hoe daarnaar te handelen. In februari 2026 dichtte de OESO dat gat. Haar Due Diligence Guidance for Responsible AI is geen nieuwe beginselverklaring; het is een procedure. Ze neemt de abstracte verbintenissen en giet ze in dezelfde zesstappenlus van gepaste zorgvuldigheid die de OESO ondernemingen al voorhoudt op het gebied van arbeid, milieu en mensenrechten.

Eén procedure boven op twee bestaande instrumenten

De guidance rust op twee eerder aangenomen documenten. Het eerste is de Aanbeveling van de Raad inzake AI — de "AI-beginselen" — herzien in mei 2024. Het tweede zijn de OESO-richtlijnen voor multinationale ondernemingen inzake maatschappelijk verantwoord ondernemen (de "MNE-richtlijnen"), geactualiseerd in 2023, die ondernemingen al verplichten tot risicogebaseerde gepaste zorgvuldigheid op de nadelige effecten van hun activiteiten, uitdrukkelijk ook die rond "wetenschap, technologie en innovatie". De nieuwe tekst ontleent zijn geraamte aan de OESO Due Diligence Guidance for Responsible Business Conduct uit 2018 en sluit aan op de VN-richtsnoeren voor het bedrijfsleven en mensenrechten (UNGP's) en de ILO-verklaring inzake multinationals. Hij werd op 26 januari 2026 goedgekeurd en gedeclassificeerd door de Digital Policy Committee en de Investment Committee van de OESO en de maand daarop gepubliceerd.

Niets hiervan is bindend. De MNE-richtlijnen en de bijbehorende MVO-normen zijn, in de woorden van de OESO zelf, "vrijwillige beginselen" — aanbevelingen van overheden aan ondernemingen die "verder kunnen gaan dan waartoe ondernemingen wettelijk verplicht zijn". Dat is de vertrouwde houding van de internationale laag: het verdrag van de Raad van Europa bindt staten, de G7 Hiroshima-gedragscode is vrijwillig, en de OESO levert het bindweefsel ertussen.

De zes stappen

De procedure is één bewust iteratieve lus:

1. Verankeren van maatschappelijk verantwoord ondernemen in beleid en

beheersystemen.

1. Identificeren en beoordelen van werkelijke en potentiële nadelige effecten.
2. Beëindigen, voorkomen en mitigeren van nadelige effecten.
3. Volgen van de uitvoering en resultaten van de zorgvuldigheidsactiviteiten.
4. Communiceren hoe effecten worden aangepakt.
5. Voorzien in of meewerken aan herstel waar passend.

De OESO benadrukt dat de stappen gelijktijdig lopen, niet na elkaar: zorgvuldigheid is "doorlopend, proactief en reactief". De opvallende toevoegingen ten opzichte van de meeste AI-risicokaders zitten aan de uiteinden van de lus — betekenisvolle betrokkenheid van belanghebbenden bij het beoordelen van effecten, en herstel wanneer schade is opgetreden. Juist die elementen worden volgens de OESO "minder volledig behandeld in bestaande kaders".

Wie wat verschuldigd is: drie groepen in de waardeketen

In plaats van de aanbieder/gebruiksverantwoordelijke-tweedeling van de AI-verordening sorteert de guidance ondernemingen naar wat ze feitelijk doen, en legt de plicht over de hele "waardeketen":

• Groep 1 — leveranciers van AI-input: het stroomopwaartse segment, dat data,

rekenkracht, hardware of annotatiediensten levert.

• Groep 2 — wie AI-systemen ontwerpt, ontwikkelt, inzet en bedient: plannen,

modellen bouwen of aanpassen, testen en valideren, inzetten (ook open-source- distributie) en monitoren in gebruik.

• Groep 3 — gebruikers van AI-systemen: de stroomafwaartse "reële economie" —

fabrikanten, verkopers en financiële instellingen die AI in hun bedrijfsvoering gebruiken en AI-risico's moeten afwegen tegen de andere risico's die ze al beheersen.

Het kader is risicogebaseerd en evenredig: het zegt mkb-bedrijven zich te richten op de meest relevante risico's binnen hun vermogen, en grotere ondernemingen hun kleinere zakenrelaties te helpen aan dezelfde verwachtingen te voldoen.

De echte bijdrage: een interoperabiliteitslaag

De guidance is het nuttigst niet als zoveelste regelboek, maar als kaart tussen de regelboeken die al bestaan. Elke van de zes stappen opent met een "roadmap van verwante bepalingen in bestaande kaders" — een kruistabel die toont waar dezelfde verwachting elders opduikt. Alleen al voor de stap van de effectbeoordeling verwijst de tabel naar artikel 9(2) van de AI-verordening (risicobeheer) en artikel 55(1) (GPAI met systeemrisico), artikel 34 van de digitaledienstenverordening (DSA), de artikelen 8–9 van de EU-richtlijn corporate sustainability due diligence (CSDDD), de HUDERIA/COBRA-methode van de Raad van Europa, de G7 Hiroshima-gedragscode, ISO/IEC 42001 en ISO 31000 / ISO/IEC 23894, plus IEEE 7000 en de ASEAN-, Australische en Canadese leidraden. De OESO benadrukt dat dit "geen gelijkwaardigheidskader" is — de reikwijdte van elk instrument verschilt — maar de bedoeling is helder: een bedrijf dat één serieus kader heeft ingevoerd, ziet regel voor regel hoever het de andere al haalt.

Waarom een vrijwillig instrument toch bijt

Twee kenmerken houden dit weg van een papieren exercitie. Het eerste zijn de Nationale Contactpunten (NCP's) — het klachtenmechanisme dat de MNE-richtlijnen uniek maakt. Elke aangesloten overheid houdt een NCP waar een vakbond, ngo of getroffen partij een "specifieke melding" kan indienen met de stelling dat een onderneming de richtlijnen heeft geschonden. Een NCP is geen rechter en kan niet beboeten, maar het onderzoekt, bemiddelt en publiceert — een reputatie- en quasi-verantwoordingskanaal dat nu uitdrukkelijk tot AI-gedrag reikt. De guidance stelt dat ze NCP's kan helpen "bij het bevorderen van de MNE-richtlijnen en bij beslissingen over verantwoordelijkheid voor vermeende schendingen". Het tweede is convergentie: doordat de OESO dit positioneert als "een gemeenschappelijk referentiepunt voor AI-risicokaders in verschillende jurisdicties", wordt het de taal waarin een multinational één zorgvuldigheidsproces documenteert en overal tegelijk verdedigt.

Voor een organisatie die al een risicobeheersysteem onder de AI-verordening of een ISO/IEC 42001-managementsysteem bouwt, is de praktische lezing bemoedigend: de OESO heeft in feite bevestigd dat dit werk dubbel telt. De twee werkelijk nieuwe vragen zijn om belanghebbenden in de effectbeoordeling te betrekken en om een herstelroute klaar te hebben vóór, niet na, de eerste schade. Dit is dezelfde niet-bindende laag waar het nieuwe Wetenschappelijk Panel van de VN en de OESO-beginselen zitten — de plek waar de volgende generatie bindende regels stilletjes haar vocabulaire samenstelt.