Een organisatie met meerdere vestigingen heeft zelden één plek waar beslissingen over software vallen. De ene vestiging sluit een licentie af, de andere gebruikt een gratis versie van hetzelfde hulpmiddel, en een derde heeft een lokale IT-partner die zonder overleg iets heeft ingericht. Een AI-inventaris die dat wil vatten, moet dus niet uitgaan van één bronbestand, maar van meerdere bronnen die elkaar aanvullen en tegenspreken.
Elke vestiging heeft een eigen geschiedenis van inkoop, eigen leveranciers en vaak een eigen mate van zelfstandigheid in IT-keuzes. Wat op het hoofdkantoor een uitzondering is, kan op een andere locatie de standaard zijn geworden zonder dat iemand dat heeft vastgelegd. Een centrale inventaris die alleen het hoofdkantoor bevraagt, mist daarmee per definitie een deel van het beeld. Waarom de IT-lijst niet klopt legt uit waarom een centrale registratie zelden overeenkomt met wat er daadwerkelijk wordt gebruikt, en dat probleem wordt groter naarmate er meer vestigingen zijn.
De basis is voor elke vestiging hetzelfde: welke toepassing wordt gebruikt, door wie, voor welke taak, en op basis van welke gegevens. Daarnaast is relevant of de toepassing lokaal is ingekocht of centraal beschikbaar is gesteld, en of er een aanbieder achter zit die zelf al vastlegt hoe het systeem werkt of dat de vestiging het systeem zelf heeft samengesteld of aangepast. Dat onderscheid bepaalt namelijk wie verantwoordelijkheid draagt voor wat er precies gebeurt. Wat u per toepassing vastlegt beschrijft dat in detail, en dezelfde vastlegging geldt ongeacht de locatie: alleen de manier waarop u de informatie ophaalt, verschilt per vestiging.
Bij één vestiging is het overzichtelijk om rond te vragen. Bij meerdere vestigingen is dat niet meer werkbaar zonder structuur. Twee bronnen zijn dan bruikbaar naast elkaar. De eerste is wat de IT-omgeving zelf al laat zien: inkooprecords, licentiebestanden en technische signalen die wijzen op gebruik van AI, ook als niemand dat gebruik expliciet heeft gemeld. Wat inkoop- en licentiegegevens verraden laat zien welke aanwijzingen daarin te vinden zijn, en welke IT-signalen bruikbaar zijn gaat in op de technische kant daarvan: welk verkeer, welke abonnementen en welke integraties wijzen op AI-gebruik dat nergens formeel is vastgelegd.
De tweede bron is de medewerker zelf. Geen enkele technische scan vangt waarom iemand een tool gebruikt, voor welke taak precies, of hoe vaak. Dat weet alleen degene die het werk doet. Bij meerdere vestigingen betekent dit dat u een manier nodig heeft om die vraag overal op dezelfde manier te stellen, zonder dat de ene vestiging zich meer gecontroleerd voelt dan de andere. Hoe u het vraagt zonder afrekening beschrijft waarom die voorwaarde bepalend is voor de betrouwbaarheid van wat u ophaalt: wie bang is voor een consequentie, antwoordt onvolledig of helemaal niet, en dat effect is niet per se gelijk verdeeld over vestigingen met verschillende culturen of managementstijlen.
Een toepassing die op vestiging A is ingekocht en op vestiging B informeel is overgenomen, blijft dezelfde toepassing met dezelfde rol en hetzelfde risiconiveau. De inventaris moet dus niet per vestiging apart worden geclassificeerd, maar per toepassing, met een aantekening waar en door wie die wordt gebruikt. Zo voorkomt u dat dezelfde tool op twee plekken verschillend wordt beoordeeld, en dat een risico dat op de ene locatie al is gesignaleerd, op de andere onopgemerkt blijft. Ook relevant is of de vestiging zelf iets heeft gebouwd of ingericht op basis van een AI-model, of dat zij enkel een kant-en-klaar product afneemt. Bent u aanbieder of gebruiker helpt dat onderscheid maken, en dat onderscheid kan per vestiging verschillen, ook bij gebruik van dezelfde onderliggende technologie.
Als de gegevens uit de vestigingen binnen zijn, is de volgende stap ze samen te voegen tot één lijst zonder dubbelingen, met per toepassing een duidelijke rol, een risico-inschatting en een aanduiding van waar die wordt gebruikt. Dat overzicht vormt de basis om te bepalen welke governance-maatregelen nodig zijn en waar die het eerst aandacht vragen. Hoe dat overzicht precies wordt opgebouwd en onderhouden, hangt af van de omvang en structuur van de organisatie; een vaste blauwdruk voor elke situatie bestaat niet.
Een inventaris van AI-gebruik brengt in beeld wat er wordt gedaan en waarmee. Een vervolgvraag die daar vaak op aansluit, is welk deel van dat werk feitelijk door AI is over te nemen, en welk deel mensenwerk blijft. Die vraag wordt beantwoord door de werkscan van FTE TO AI, die per taak berekent welk deel voor overname in aanmerking komt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.