Een AI-inventaris is geen momentopname van wat de IT-afdeling heeft aangeschaft. Het is een lopend overzicht van wat er in de organisatie daadwerkelijk wordt gebruikt om werk te doen, ongeacht of dat gebruik is goedgekeurd, aangeschaft of zelfs bekend bij de afdeling die formeel over software beslist. Wie een inventaris wil opbouwen die dat verschil dekt, moet op meer plekken zoeken dan de meeste organisaties gewend zijn.
De lijst van goedgekeurde applicaties is een logisch vertrekpunt, maar dekt alleen wat via een formeel traject is binnengekomen. AI-functionaliteit landet ook via kanalen die niet als 'nieuwe applicatie' worden herkend: een update van bestaande software, een browserextensie, een functie die door een leverancier wordt aangezet zonder aparte melding. Waarom de IT-lijst niet klopt beschrijft de mechanismen waardoor een inventaris die alleen op deze lijst steunt, per definitie onvolledig is. Dat betekent niet dat de lijst overbodig is — het betekent dat ze één bron is naast andere, niet de enige.
Facturen, abonnementen en licentietellingen vertellen een ander verhaal dan de IT-lijst, omdat inkoop vaak op afdelingsniveau plaatsvindt en niet altijd via een centraal IT-traject loopt. Een team dat een abonnement afsluit voor een tool met een AI-functie, registreert dat bij inkoop of financiën, niet noodzakelijk bij IT. Wat inkoop- en licentiegegevens verraden laat zien welke patronen in deze gegevens wijzen op AI-gebruik dat elders nog niet is opgemerkt: terugkerende kleine abonnementen, naamgeving van tools, groei in dataverkeer naar bepaalde domeinen. Dit is geen vervanging van directe navraag, maar een manier om te weten waar u die navraag het eerst moet richten.
Netwerkverkeer, DNS-logs en toegangsbeheer kunnen aanwijzingen geven over welke diensten vanaf bedrijfsapparatuur worden benaderd. Niet elk signaal is even betrouwbaar: verkeer naar een AI-leverancier kan wijzen op actief gebruik, maar ook op een achtergrondproces dat niets met de dagelijkse werkzaamheden te maken heeft. Welke IT-signalen bruikbaar zijn zet uiteen welke technische indicatoren houvast bieden en welke te veel ruis geven om als basis voor een inventaris te dienen. De uitkomst van deze signalen is een lijst van vermoedens, geen bevestigd overzicht — de bevestiging komt van de mensen die het werk doen.
Geen technisch signaal en geen inkooppost vertelt u waarom iemand een tool gebruikt, voor welke taak, en of het gebruik incidenteel of structureel is. Die informatie komt alleen naar boven als medewerkers bereid zijn hem te delen. Dat gebeurt niet vanzelf: wie vermoedt dat een antwoord op de vraag 'welke AI gebruikt u' leidt tot een verbod of een aantekening, antwoordt ontwijkend of niet. Hoe u het aan medewerkers vraagt zonder afrekening beschrijft hoe die vraag wordt gesteld op een manier die een eerlijk antwoord waarschijnlijker maakt. Dit onderdeel van de inventaris levert vaak het grootste deel van de toepassingen op die via geen andere bron zichtbaar worden.
Een inventaris die alleen namen van tools verzamelt, is niet bruikbaar voor governance. Per toepassing is meer nodig: wie de tool gebruikt en voor welke taak, welk type gegevens erin worden ingevoerd, of de uitkomst een rol speelt in een beslissing over een klant, medewerker of derde, en welke leverancier erachter zit. Wat u per toepassing moet vastleggen geeft de velden die nodig zijn om een toepassing later te kunnen classificeren naar rol en risiconiveau, zonder dat u de inventarisatie moet herhalen zodra die classificatie wordt gevraagd.
Bij een organisatie met meerdere vestigingen, business units of landen wordt de inventarisatie zelf een coördinatieprobleem: wie vraagt het, in welke volgorde, en hoe worden de uitkomsten samengevoegd zonder dat afdelingen elkaars antwoorden gaan corrigeren of afvlakken. Hoe u een AI-inventaris opbouwt bij een organisatie met meerdere onderdelen gaat in op die schaal: waar de coördinatie vastloopt en hoe de uitkomsten van verschillende onderdelen vergelijkbaar blijven.
Een inventaris die eenmaal is opgebouwd, is een foto op een moment. Om hem bruikbaar te houden voor bestuurders, CIO's en risicomanagers, moet hij worden herhaald en gekoppeld aan een classificatie die aansluit op de bestaande risicostructuur van de organisatie. Dat onderdeel — inventariseren, classificeren naar rol en risiconiveau, en de aansluiting op governance — is waar de Responsible AI Scan aan werkt. De scan is in aanbouw; wie hierin geïnteresseerd is, kan zich aanmelden voor de wachtlijst.
Een inventaris beantwoordt de vraag welke AI er wordt gebruikt. Een andere, aanvullende vraag is welk deel van het feitelijke werk — taak voor taak — zich laat overnemen door AI. Die vraag beantwoordt de werkscan van FTE TO AI, die per taak berekent welk deel van het werk over te nemen is.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.