Een AI-register is op de dag dat het wordt opgeleverd al deels achterhaald. Er is een nieuwe tool bij, iemand heeft een bestaand abonnement uitgebreid met een AI-functie, een team is gestopt met iets dat op de lijst stond. Een register is geen document dat je afrondt. Het is een proces dat blijft lopen, of het valt binnen een paar maanden stil.
De vraag "hoe houdt u het actueel" is daarom belangrijker dan "hoe stelt u het op". Een eerste inventaris is een momentopname. De waarde zit in wat daarna gebeurt.
De belangrijkste oorzaak is niet slordigheid. Het is dat AI zich anders verspreidt dan andere software. Een nieuwe tool vraagt vaak geen aanschaftraject, geen IT-goedkeuring, geen budgetronde. Iemand meldt zich aan met een werk-e-mailadres en begint te gebruiken. Niemand hoeft dat te melden, en niemand voelt zich daartoe verplicht — zeker niet als de verwachting is dat melden gelijkstaat aan een verbod. Wat er gebeurt met medewerkers die een tool gebruiken die niemand heeft goedgekeurd bepaalt of die meldingen ooit binnenkomen.
Daarnaast verandert de aard van bestaande tools. Een pakket dat vorig jaar geen AI-functionaliteit had, kan die dit jaar wel hebben, standaard aangezet in een update. De leverancierslijst van IT verandert dan niet, maar het risicoprofiel van diezelfde tools wel.
Actueel houden vraagt om een herhalend ritme in plaats van een eenmalige actie. Dat ritme bestaat uit een paar elementen die terugkomen:
Een vaste vraag aan teams, op een vast moment, over wat er is bijgekomen of veranderd. Niet als controlevraag, maar als onderdeel van een terugkerend overleg — kwartaalgesprek, teamoverleg, functioneringscyclus. De vraag moet laagdrempelig genoeg zijn om een eerlijk antwoord te krijgen.
Een signaal vanuit inkoop of IT-beheer wanneer een nieuw abonnement wordt afgesloten of een bestaand contract wordt vernieuwd. Niet elk signaal leidt tot een aanpassing van het register, maar elk signaal moet wel worden bekeken.
Een herbeoordeling van bestaande items op het moment dat de context verandert: een tool krijgt een nieuwe functie, een team gaat een AI-toepassing voor een ander doel inzetten dan waarvoor die was geclassificeerd. Hoe vaak die herbeoordeling nodig is, hangt af van het risiconiveau van de toepassing en van hoe snel de omgeving verandert — daarover meer op de pagina die beschrijft hoe vaak u opnieuw moet classificeren.
Geen enkele werkwijze vangt alles. Een register dat volledig afhankelijk is van zelfmelding, mist per definitie wat mensen niet melden — uit onwetendheid, gemak, of omdat ze niet beseffen dat een tool onder de definitie van AI valt. Een register dat volledig afhankelijk is van IT-signalen, mist wat buiten IT om wordt aangeschaft, wat inmiddels het grootste deel van de schaduw-AI is.
De realistische aanpak combineert beide, wetend dat de combinatie ook niet compleet is. Een goed onderhouden register is een benadering die dichter bij de werkelijkheid komt dan geen register, niet een garantie dat alles erin staat.
Er is ook een organisatorische valkuil: een tweede proces dat naast een bestaand proces wordt gezet, wordt vaak simpelweg genegeerd, ook al is het op papier verplicht. Waarom dat gebeurt en hoe het te vermijden is, staat beschreven op de pagina over waarom een tweede proces naast het bestaande wordt genegeerd. De onderliggende les is dat actualisering het makkelijkst standhoudt wanneer die wordt ingebouwd in bestaande routines, niet wanneer die een nieuwe, aparte verplichting wordt.
Een actueel register hangt uiteindelijk af van mensen die begrijpen waarom melden nuttig is en wat er met hun melding gebeurt. Dat raakt aan een breder punt over wat AI-geletterdheid voor medewerkers betekent: wie niet weet wat onder de definitie van AI valt, meldt ook niet wat gemeld zou moeten worden. En wie bang is voor een sanctie, meldt sowieso niet — ook niet wat onder de definitie valt.
Daar hoort ook het gesprek bij over bedrijfsdata. Een medewerker die klantgegevens of interne documenten in een gratis chatvenster plakt, gebruikt vaak geen verboden tool in de strikte zin — die tool staat mogelijk nergens als "verboden" vermeld. Het risico zit in het gebruik, niet alleen in de aanwezigheid op een lijst. Wat daarmee te doen valt, staat beschreven op de pagina over wat u doet met bedrijfsdata in een gratis chatvenster.
Een laatste element van een levend register is het toezicht op wat er al in staat. Een toepassing die bij classificatie een menselijke controle vereiste, kan die controle in de praktijk verliezen zonder dat het register dat weerspiegelt. Wat toezicht in de praktijk betekent, en hoe dat verschilt van toezicht op papier, staat op de pagina over wat menselijk toezicht in de praktijk inhoudt.
Een actueel register vertelt wat er draait en met welk risico. Het vertelt niet welk deel van het onderliggende werk daadwerkelijk door AI wordt gedaan of overgenomen, en welk deel bij mensen blijft. Die vraag ligt een niveau dieper: niet welke tools er zijn, maar hoeveel van een concrete taak AI aankan. De werkscan van FTE TO AI rekent dat per taak uit, en geeft zo een beeld dat naast het register past — het een zegt wat er bestaat, het ander wat het werkelijk doet.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.