> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-nl/over-cerrix/trust-and-compliance/cerrix-ai.md). # CERRIX AI CERRIX AI is de verzamelnaam voor de AI-gestuurde mogelijkheden in het CERRIX-platform. We ontwerpen deze mogelijkheden zodat uw Organisatie bij elke stap de Beheersmaatregel behoudt: AI-output in CERRIX is altijd een voorstel, en een gebruiker in uw Organisatie neemt altijd de eindbeslissing. Deze pagina beschrijft hoe CERRIX zijn AI-functionaliteit bestuurt — de principes die we toepassen, onze positie onder de EU AI Act, hoe gegevens worden verwerkt, welke leveranciers betrokken zijn en welke zekerheid we bieden. Het maakt deel uit van het bredere [Vertrouwen & Compliance](/cerrix-documentation-nl/over-cerrix/trust-and-compliance.md) kader. ## Onze principes 1. **Mens in de lus, door ontwerp.** Elke AI-functie levert suggesties op. Een gebruiker beoordeelt, bewerkt en accepteert of wijst elke suggestie expliciet af voordat iets in CERRIX wordt geregistreerd. Er is geen autonome of geautomatiseerde besluitvorming. 2. **Expliciete opt-in.** AI-functies zijn standaard uitgeschakeld. Een Applicatiebeheerder moet ze activeren in de [AI-instellingen](/cerrix-documentation-nl/cerrix-functionaliteiten/admin-settings/ai-settings.md) en de AI-voorwaarden accepteren. De acceptatie wordt vastgelegd in een Auditspoor. 3. **Transparantie.** De CERRIX-interface maakt duidelijk wanneer content AI-gegenereerd is. Waar mogelijk zijn suggesties herleidbaar tot hun bron — bijvoorbeeld laat AI Document Extraction de exacte passage uit uw document zien waarop elke suggestie is gebaseerd. 4. **Gegevensbescherming eerst.** AI-verwerking gebruikt alleen de invoer die u verstrekt, is versleuteld tijdens transport en in rust in lijn met ons [Beveiligingsverklaring](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/security-statement.md), vindt plaats binnen de EU en wordt nooit door onze modelprovider gebruikt om zijn modellen te trainen. 5. **Verantwoordelijke verbetering.** We verbeteren AI-functies uitsluitend met geanonimiseerde en geaggregeerde gegevens, die alleen door geprivilegieerde CERRIX-medewerkers worden verwerkt. ## CERRIX AI in één oogopslag | Functie | Wat het doet | Uitvoer | | -------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------- | | [AI Risico-omschrijvingsverfijning](/cerrix-documentation-nl/cerrix-functionaliteiten/module-overview/risks/ai-risk-description-refinement.md) | Verfijnt de Risico-beschrijving die u typt tot vijf alternatieve suggesties die aansluiten bij best practices. | Suggesties — u kiest, bewerkt of verwerpt. | | [AI Beheersmaatregel-omschrijvingsverfijning](/cerrix-documentation-nl/cerrix-functionaliteiten/module-overview/controls/ai-control-description-refinement.md) | Verfijnt de beschrijving van uw Beheersmaatregel tot vijf suggesties volgens een gestandaardiseerd format (wie, wat, wanneer, hoe). | Suggesties — u kiest, bewerkt of verwerpt. | | [AI-documentextractie](/cerrix-documentation-nl/cerrix-functionaliteiten/module-overview/risks/ai-document-extraction.md) | Analyseert een document dat u uploadt (bijv. een beleid of verordening) en stelt Risico's en Beheersmaatregelen voor, elk met hun bronpassage. | Voorstellen — u keurt elk item expliciet goed of wijst het af voordat het wordt aangemaakt. | Achter de schermen gebruikt CERRIX AI momenteel OpenAI GPT-foundationmodellen, benaderd via Microsoft Foundry (voorheen Azure AI Foundry) en gecombineerd met door CERRIX ontwikkelde prompting en Workflow-orkestratie. De modelkeuze wordt beheerd door CERRIX: we kunnen nieuwere modelversies binnen dezelfde provider en verwerkingsregio overnemen zodra die beschikbaar komen, dus specifieke modelversies liggen niet vast. CERRIX traint of fine-tunet modellen niet op klantgegevens; we passen prompt engineering en Workflow-orkestratie toe op standaard foundationmodellen. Het introduceren van een andere modelprovider wordt behandeld als een wijziging in subverwerker (zie [Leveranciers en subverwerkers](#suppliers-and-sub-processors) hieronder). ## Architectuur en gegevensstroom Op hoofdlijnen volgt elke AI-aanvraag in CERRIX hetzelfde pad: 1. Een gebruiker met de juiste rol roept een AI-functie aan en levert invoer aan: de tekst die in een beschrijvingsveld is getypt, of het document dat is geüpload voor extractie. 2. De CERRIX-applicatie stuurt die invoer naar een door CERRIX beheerde Microsoft Foundry-implementatie in de **Sweden Central** Azure-regio. Dit is een regionale implementatie: inferentie en verwerking zijn gebonden aan die regio, binnen de Europese Unie. 3. Het model genereert suggesties, die worden teruggestuurd naar de CERRIX-applicatie. 4. De suggesties worden ter beoordeling aan de gebruiker gepresenteerd. De invoer, de door AI gegenereerde uitvoer en of suggesties zijn toegepast, worden opgeslagen in uw CERRIX-omgeving, naast uw andere klantgegevens. CERRIX AI draait volledig binnen de CERRIX Azure-productieomgeving die wordt beschreven in onze [Beveiligingsverklaring](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/security-statement.md). Er zijn geen leveranciers anders dan Microsoft betrokken bij AI-verwerking. ## EU AI Act CERRIX heeft zijn AI-functionaliteit beoordeeld aan de hand van de EU AI Act: * **Classificatie: minimaal risico.** CERRIX AI valt niet onder de hoogrisicocategorieën van Bijlage III van de AI Act — het voert geen biometrische identificatie uit, geen kredietscoring, geen besluitvorming over mensen, en wordt niet gebruikt in contexten van kritieke infrastructuur of rechtshandhaving. Alle uitvoer is adviserend van aard en wordt altijd door een gebruiker beoordeeld vóór registratie. * **Transparantieverplichtingen (artikel 50).** Als generatieve AI valt CERRIX AI onder de transparantievereisten van de AI Act. CERRIX voldoet hieraan door in de gebruikersinterface expliciet te maken wanneer content AI-gegenereerd is, en door alle AI-functionaliteit publiek te documenteren op deze documentatiesite. * **Doorlopende evaluatie.** De classificatie wordt opnieuw beoordeeld telkens wanneer nieuwe AI-gebruiksgevallen worden geïntroduceerd of het regelgevingskader evolueert. ## Bestuur en toezicht De AI-functionaliteit bij CERRIX wordt bestuurd via duidelijk toegewezen rollen: * **Producteigenaar** — de Chief Product Officer is verantwoordelijk voor de CERRIX AI-functionaliteit, de roadmap en het bestuur ervan, ondersteund door CERRIX Product & Engineering. * **Risicobeheer** — het informatiebeveiligings-Risico dat met AI samenhangt wordt beheerd door de Security Officer als onderdeel van het CERRIX [ISO/IEC 27001:2022](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/iso-27001.md)-gecertificeerde Information Security Management System (ISMS), geleid door ons [Strategisch informatiebeveiligingsbeleid](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/strategic-information-security-policy.md). * **Managementtoezicht** — het CERRIX-managementteam houdt toezicht op het AI-beleid en de toepassing ervan. * **Klantbeheersmaatregel** — aan uw kant beslist de Applicatiebeheerder per omgeving of AI-functies überhaupt worden geactiveerd. AI-functies volgen een risicobeheerproces over de volledige levenscyclus: ontwerp en Risico-assessment, testen en validatie als onderdeel van onze veilige ontwikkelcyclus, gecontroleerde uitrol aangekondigd via [release notes](/cerrix-documentation-nl/over-cerrix/release-notes.md), monitoring in productie (inclusief de beschikbaarheidsverplichtingen in onze Service Level Agreement en gepubliceerde root cause-analyses), en periodieke evaluatie. AI-functionaliteit wordt bestuurd door het formele CERRIX AI-beleid en bijgehouden in een intern AI-systeemregister. ## AI-geletterdheid en training AI-geletterdheid bij CERRIX is geen op zichzelf staand programma, maar onderdeel van de bewustwordings- en trainingscyclus die we al onderhouden onder onze [ISO/IEC 27001:2022](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/iso-27001.md) certificering. In de praktijk: * **Beleid en bevestiging.** Het CERRIX AI-beleid zet uiteen wat wel en niet is toegestaan bij het gebruik van AI-tools, inclusief expliciete regels voor het omgaan met vertrouwelijke en klantgegevens. Medewerkers bevestigen het beleid wanneer zij bij CERRIX in dienst treden en telkens wanneer het wordt herzien. * **Periodieke bewustwording.** AI-specifieke onderwerpen maken deel uit van onze reguliere security-bewustwordingscyclus: de Risico's van generatieve AI (onnauwkeurige of verzonnen output, datalekken via prompts, bias), en waarom menselijke beoordeling van AI-output altijd vereist blijft. * **Diepere training waar nodig.** Collega's die AI-functionaliteit ontwerpen, bouwen of testen, worden op een dieper niveau getraind, in lijn met onze veilige ontwikkelcyclus en het risicobeheerproces beschreven onder [Bestuur en toezicht](#governance-and-oversight). * **Alleen goedgekeurde tools.** Medewerkers mogen alleen AI-tools gebruiken die vooraf zijn beoordeeld en goedgekeurd. Nieuwe tools worden via diezelfde route ingediend en beoordeeld, met de Chief Product Officer en de Security Officer als de Verantwoordelijke rollen. * **Contactpunt.** Bij twijfel over toegestaan gebruik kunnen medewerkers terecht bij de Security Officer; deze vragen voeden de periodieke herziening van het AI-beleid. ## Gegevensverwerking * **Invoerscope.** CERRIX AI verwerkt alleen de invoer die u actief verstrekt: de tekst die u in een beschrijvingsveld typt, of het document dat u uploadt voor extractie. Het heeft geen toegang tot andere gegevens in uw CERRIX-omgeving. * **EU-verwerking.** AI-verwerking vindt plaats op een door CERRIX beheerde Microsoft Foundry-implementatie in de Azure-regio Sweden Central, een regionale implementatie binnen de Europese Unie. Uw gegevens verlaten de EU niet. Zie ook [Privacy & GDPR](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/privacy-gdpr.md). * **Versleuteling.** Alle gegevens zijn versleuteld tijdens transport en in rust — zie ons [Beveiligingsverklaring](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/security-statement.md). * **Opslag en bewaring.** CERRIX slaat uw invoer en de door AI gegenereerde uitvoer veilig op binnen het platform, en houdt bij of suggesties zijn toegepast, om de kwaliteit van suggesties verder te blijven verbeteren. Deze gegevens worden behandeld als klantgegevens: ze volgen de bewaartermijnen en verwijderingsvoorwaarden die zijn overeengekomen in de Gegevensverwerkingsovereenkomst, inclusief verwijdering via het standaard CERRIX-offboardingproces aan het einde van het contract. * **Toegang.** Toegang tot AI-invoer en -uitvoer wordt beheerd met dezelfde toegangsbeheersmaatregelen als alle andere klantgegevens, als onderdeel van ons ISO 27001-gecertificeerde ISMS. Analyse voor functieverbetering gebruikt uitsluitend geanonimiseerde en geaggregeerde gegevens, die alleen door geprivilegieerde CERRIX-medewerkers worden verwerkt. * **Isolatie.** Uw gegevens worden nooit gedeeld met andere klanten. * **Geen modeltraining op uw gegevens.** Noch Microsoft noch de onderliggende modelproviders gebruiken uw gegevens om hun modellen te trainen. CERRIX traint of fine-tunet geen enkel model op klantgegevens; functieverbetering is uitsluitend gebaseerd op geanonimiseerde en geaggregeerde gegevens, geanalyseerd door geprivilegieerde CERRIX-medewerkers. ## AI-functies beheren Activatie van en toegang tot CERRIX AI werken op twee niveaus: * **Per omgeving.** AI-functies zijn standaard uitgeschakeld. Een Applicatiebeheerder activeert ze per CERRIX-omgeving in de [AI-instellingen](/cerrix-documentation-nl/cerrix-functionaliteiten/admin-settings/ai-settings.md), nadat de AI-voorwaarden zijn geaccepteerd. De acceptatie wordt vastgelegd in een Auditspoor, en AI kan op elk moment weer worden gedeactiveerd. * **Per gebruikersrol.** AI-functies volgen de rechten van de rol van een gebruiker. Een functie is alleen beschikbaar voor gebruikers van wie de rol de bijbehorende modulerechten bevat; bijvoorbeeld is AI Document Extraction alleen beschikbaar voor gebruikers die Risico's en Beheersmaatregelen kunnen aanmaken. Afzonderlijke AI-functies kunnen momenteel niet apart worden in- of uitgeschakeld: activatie geldt voor CERRIX AI als geheel, per omgeving. ## Leveranciers en subverwerkers CERRIX AI gebruikt **Microsoft Foundry** als onderliggende infrastructuur voor grote taalmodellen; CERRIX bepaalt welke foundationmodellen worden gebruikt. De foundationmodellen die momenteel in gebruik zijn, zijn OpenAI GPT-modellen. Deze modellen worden door Microsoft ingezet en beheerd binnen de CERRIX Foundry-implementatie; prompts en uitvoer worden niet gedeeld met OpenAI. Deze relatie wordt op dezelfde manier bestuurd als onze andere kritieke leveranciers: * Gedekt door Microsoft's Gegevensverwerkingsovereenkomst en enterprise-verplichtingen, inclusief de toezegging dat klantgegevens niet worden gebruikt voor modeltraining. * Microsoft past zijn Verantwoordelijke AI-framework toe binnen Microsoft Foundry, inclusief ingebouwde contentfilters en veiligheidsclassifiers. * Het introduceren van een extra modelprovider wordt behandeld als een wijziging in subverwerkers en volgt ons leveranciersbeheerproces, inclusief veiligheidsassessment en klantmelding in lijn met onze contractuele verplichtingen. * Leveranciersassessment en -monitoring maken deel uit van het CERRIX ISMS en houden rekening met certificeringen zoals ISO 27001 en SOC 2. Voor meer details over hoe Microsoft gegevens verwerkt binnen Microsoft Foundry, zie [Gegevens, privacy en beveiliging voor Foundry Models](https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy). ## Zekerheid Zekerheid over CERRIX AI wordt geboden via het CERRIX-zekerheidskader: * [ISO/IEC 27001:2022-certificering](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/iso-27001.md) — de scope van het ISMS omvat de ontwikkeling en exploitatie van AI-functies (veilige SDLC, wijzigingsbeheer, toegangsbeheer, gegevensbeveiliging). * [ISAE 3402 Type II](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/isae-3402-type-ii.md) zekerheidsrapport, dat de operationele effectiviteit van onze Beheersmaatregelen in de tijd dekt. * [FSQS-registratie](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/fsqs-certificate.md) — de standaard voor leverancierskwalificatie die door financiële instellingen wordt gebruikt. * [Privacy & GDPR](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/privacy-gdpr.md) — hoe CERRIX met persoonsgegevens omgaat, ook voor AI-functies. * Op verzoek beschikbaar: de DPIA, [Beveiligingsverklaring](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/security-statement.md), en [Strategisch informatiebeveiligingsbeleid](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/strategic-information-security-policy.md). Voor beveiligingsspecifieke vragen, onze [Beveiligingsfaq](/cerrix-documentation-nl/over-cerrix/trust-and-compliance/security-faq.md) behandelt veelvoorkomende onderwerpen van klantbeveiligingsteams. ## Redelijk gebruik Om AI-functies snel en betrouwbaar te houden voor elke klant, is het gebruik onderworpen aan redelijk gebruik: CERRIX kan gebruikspatronen beperken die de redelijke grenzen aanzienlijk overschrijden of de servicekwaliteit voor andere klanten beïnvloeden. ## Nieuwe AI-mogelijkheden We ontwikkelen voortdurend nieuwe AI-mogelijkheden. De principes die op deze pagina worden beschreven, waaronder beoordeling door een mens in de lus, expliciete opt-in, EU-verwerking en geen modeltraining op klantgegevens, zijn van toepassing op alle CERRIX AI-functionaliteit, inclusief toekomstige mogelijkheden. Twee verdere toezeggingen blijven onveranderd: * Nieuwe AI-functionaliteit wordt aangekondigd via de [release notes](/cerrix-documentation-nl/over-cerrix/release-notes.md) en gedocumenteerd op deze site. * AI-functies werken alleen in uw omgeving na expliciete opt-in door uw Applicatiebeheerder, en elk toekomstig AI-gebruiksscenario dat aanvullende gegevens uit uw omgeving zou gebruiken, vereist dezelfde expliciete activering. {% hint style="info" %} Vragen over CERRIX AI die hier niet worden beantwoord? Neem contact op — we nemen graag uw Risico-, Compliance- of beveiligingsteam mee door onze AI-opzet. {% endhint %} --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.cerrix.com/cerrix-documentation-nl/over-cerrix/trust-and-compliance/cerrix-ai.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.