Veel monitoring van AI-gebruik komt tot stand als apart initiatief: een nieuw formulier, een nieuwe vergadering, een nieuw dashboard. Het ziet er compleet uit op het moment van lancering. Een jaar later is het verwaterd. Niet omdat de inhoud slecht was, maar omdat het naast de bestaande structuur stond in plaats van erin.
De vraag is dus niet alleen wat er gemonitord moet worden, maar waar die monitoring landt. Een proces dat niemand hoeft te onthouden omdat het al onderdeel is van een routine die toch al draait, overleeft. Een proces dat een extra stap vraagt van mensen die al vol zitten, wordt na verloop van tijd overgeslagen. Dat is geen onwil. Het is een voorspelbaar gevolg van hoe organisaties met tijd en aandacht omgaan.
Elke organisatie heeft al een ritme: kwartaalrapportages, risicocomités, auditcycli, teamoverleggen. Als monitoring van AI-gebruik een nieuw ritme introduceert, concurreert het met alles wat er al is — en verliest meestal. Er is geen agenda-item voor, geen eigenaar die het als kernonderdeel van zijn functie ziet, geen moment waarop het vanzelf ter sprake komt.
Als monitoring daarentegen een vraag wordt die al gesteld wordt — in het bestaande risicocomité, in de bestaande interne controle, in de bestaande rapportagelijn naar het bestuur — dan hoeft niemand iets nieuws te onthouden. De vraag "welke AI-toepassingen zijn erbij gekomen of veranderd" wordt dan net zo vanzelfsprekend als "zijn er nieuwe leveranciers" of "zijn er incidenten geweest". Hoe dat aansluiten precies vorm krijgt, hangt af van hoe aansluiten op de bestaande risicostructuur bij u al is ingericht — die structuur is het aangrijpingspunt, niet iets ernaast.
Een werkend monitoringdocument is kort genoeg om herhaald gebruikt te worden en specifiek genoeg om iets te melden als er iets verandert. Het bevat in ieder geval:
De waarde van het document zit niet in de volledigheid op dag één. Die is zelden haalbaar en ook niet nodig. De waarde zit in het feit dat het bijgehouden wordt, en dat het bijhouden geen aparte inspanning vraagt bovenop wat er al gebeurt.
Monitoring is afhankelijk van wat mensen bereid zijn te melden. Zodra melden gelijkstaat aan het risico lopen om ergens op afgerekend te worden, stopt de informatie. Iemand die een taak met een AI-tool sneller aflevert dan verwacht, meldt dat niet als het gevolg daarvan intrekking van budget of een lastig gesprek is. De lijst blijft dan formeel compleet en inhoudelijk leeg — precies het probleem dat schaduw-AI in stand houdt.
De consequentie is dat monitoring alleen werkt als vragen zonder afrekening gesteld worden. Niet omdat gebruik zonder gevolgen zou moeten blijven, maar omdat de eerste stap — weten wat er speelt — een andere houding vraagt dan de tweede stap — beoordelen of het gepast is. Wie die twee stappen laat samenvallen, krijgt op geen van beide een eerlijk antwoord.
Dat onderscheid is ook waar governance en verantwoording elkaar raken. Zichtbaarheid voor het bestuur hoeft niet te betekenen dat elke afzonderlijke toepassing op tafel komt; het gaat om een niveau van rapportage dat een oordeel mogelijk maakt zonder in detail te verzanden, zoals beschreven bij een board-rapportage die op één pagina past. Wat daaronder ligt — de vastlegging van beslissingen over concrete toepassingen — hoort eerder in een oversight-besluitenlijst dan in het document dat naar boven gaat.
Of een beleidsdocument zelf wordt gelezen, is een vergelijkbare vraag: een tekst die niemand raadpleegt, biedt evenmin houvast als een monitoringproces dat niemand invult. Zie daarvoor een AI-beleid dat gelezen wordt. En voor wie zich afvraagt welk gedeelte van deze verantwoordelijkheid bij de bestuurstafel ligt en welk gedeelte bij IT-governance, is er onderscheid tussen wat een bestuurder moet weten over AI-risico en wat een CIO moet weten over AI-risico — beide vragen om andere detailniveaus binnen hetzelfde monitoringproces.
Een monitoringstructuur die aansluit op wat er al staat, levert op enig moment een betrouwbaar beeld op van welke AI-toepassingen in gebruik zijn en waarvoor. Die inventarisatie is een andere vraag dan hoeveel van het onderliggende werk daadwerkelijk door AI wordt gedaan, en met welk effect. Wie dat per taak wil laten uitrekenen — welk deel van een functie of proces zich laat overdragen aan AI, op basis van de taken zoals ze nu worden uitgevoerd — vindt dat in de werkscan van FTE TO AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.