Elgar startte deze rubriek als een kijkje onder de motorkap. Dit keer open ik de motorkap van iets dat we bij ICTRecht de afgelopen maanden zelf hebben gebouwd: het AI Lab. Een interne plek waar collega’s hun eigen AI-applicaties kunnen neerzetten, zonder dat er per initiatief een nieuw IT-project hoeft te starten.
Wie zelf weleens iets met Claude heeft gebouwd, kent het gevoel. De app werkt binnen een middag maar bij de uitrol begint het eigenlijke werk.
Het lastige deel zit om de AI heen
Code produceren is het makkelijkste onderdeel geworden (los van de kwaliteit). Wat overblijft is alles wat een jurist nooit heeft geleerd en met goede ondersteuning ook niet hoeft te leren. Waar staat de code? Hoe komt een nieuwe versie bij de gebruikers? Wie mag erin? En waar blijven de gegevens?
Ons uitgangspunt: haal die vragen weg bij de bouwer en beantwoord ze één keer, in het platform. Elke app die daarna wordt gebouwd, profiteert ervan.
Van laptop naar productie
Bij ICTRecht krijgen juristen nu de kans om hun eigen apps te bouwen en in gebruik te nemen. Wel onder voorwaarden. Het platform regelt de techniek eromheen, en iedere bouwer houdt zich aan een paar vaste spelregels over code, gegevens en toegang. Elk project start vanuit een gestandaardiseerde basis: een vaste tech stack die IT heeft vastgesteld. Dat maakt de ontwikkeling voorspelbaar, ook voor IT als die later moet meekijken.
Alle code staat op één centrale plek, gesynchroniseerd en onder versiebeheer. Elke wijziging is terug te vinden, met wie hem deed en wanneer. Gaat er iets mis, dan zet je de vorige versie terug.
Vanaf die plek gaan de applicaties rechtstreeks naar een server die we zelf beheren, in eigen huis. Bouwt een collega een verbetering en zet hij die weg, dan wordt de nieuwe versie automatisch uitgerold. Daar komt geen ticket of handmatige installatie aan te pas.
Voor juristen is die eigen server minstens zo belangrijk als het versiebeheer. Gegevens die door deze apps gaan, blijven op infrastructuur waarvan we precies weten waar die staat en wie erbij kan.
Richt je op de inhoud
Eén huisregel is in het lab onwrikbaar: apps bouwen zelf geen enkele vorm van authenticatie, ook geen registratiescherm of wachtwoordherstel.
Toegang regelen we centraal, in drie lagen. Het lab is alleen bereikbaar via een VPN. Daarna logt iedere collega in via Single Sign On, met hetzelfde account waarmee hij de rest van de dag werkt. Waar een app dat vraagt, gelden daarbovenop aparte rechten en rollen per applicatie. Omdat dit allemaal in het platform zit, hoeft de bouwer zelf niets te regelen voor inloggen of autorisatie. Juist dat is het stuk code dat foutloos moet zijn zodra een app met klantgegevens werkt. Zo kan de inhoudsexpert zelf zijn proces vormgeven, zonder zich druk te maken over de technische details.
Dat levert iets op wat met een traditioneel IT-project soms lastig te bereiken is. Een jurist die dagelijks met een proces werkt, weet waar het knelt en wanneer een uitkomst juridisch klopt. Die kennis komt rechtstreeks in de app terecht, zonder vertaalslag via een functioneel ontwerp of een lange lijst met eisen. Omdat de bouwer zelf gebruiker is, blijft de feedbackloop kort. Problemen die hij zelf tegenkomt, lost hij dezelfde week nog op.
Elke app vertelt wat hij verwerkt
Een app die vandaag draait, moet over een jaar ook nog beheerd worden, ook als de bouwer inmiddels iets anders doet. Elke app bevat een korte, verplichte beschrijving: wie is eigenaar, in welke fase zit de app, verwerkt hij persoonsgegevens of klantgegevens, en hoe vertrouwelijk is de informatie.
Daarnaast krijgt elke app een korte demovideo en een grenskaart. De video laat in een paar minuten zien wat de app doet. De grenskaart maakt zichtbaar waar de app sterk in is en waar hij tekortschiet, hoeveel menselijk toezicht nodig is en voor welke taken hij geschikt is. Zo weet een collega vóór het eerste gebruik waar hij op moet letten en ligt vast wat de eigenaar van de app belooft.
Ik heb vaak genoeg meegemaakt hoe een verwerkingsregister achteraf bij elkaar gezocht moet worden. Hier ligt die informatie vast op het moment dat de app live gaat.
Moet elke organisatie nu een eigen app store?
Moet nu elke organisatie een interne app store met agents opzetten? Ik denk het niet. Voor veel kantoren zijn een paar goed gekozen tools en heldere afspraken over het gebruik daarvan ruim voldoende.
De vraag naar op maat gemaakte agents begint echter wel te groeien en dat vraagt om een verantwoorde opzet. En dan moet je een paar vragen kunnen beantwoorden voordat de eerste daarvan met klantgegevens live gaat. Waar staat de code, en kun je terug naar een vorige versie? Op welke infrastructuur draait de app, en wie beheert die? Wie regelt de login, en is dat de bouwer zelf? En weet je welke zelfgebouwde tools persoonsgegevens of klantgegevens verwerken, zonder dat je het iedereen hoeft te vragen?
