Een overzicht van goedgekeurde software vertelt u wat is aangeschaft, niet wat wordt gebruikt. Tussen die twee zit een verschil dat groter wordt naarmate AI-tools laagdrempeliger worden: een browserextensie, een gratis account, een chatbot die iemand op eigen initiatief inzette om een taak sneller te doen. Wat inkoop- en licentiegegevens verraden is een startpunt, maar geen eindpunt. De rest van het antwoord zit bij de mensen die het werk doen.
Als u vraagt "gebruikt u AI-tools die niet zijn goedgekeurd", krijgt u meestal geen volledig antwoord. Niet omdat mensen iets willen verbergen, maar omdat de vraag een risico impliceert. Wie toegeeft een tool te gebruiken die niet op de lijst staat, verwacht een gevolg: een waarschuwing, een gesprek met een leidinggevende, een aantekening in een dossier. Dat vooruitzicht is genoeg om iemand te laten zwijgen, ook als het gebruik onschuldig is en zelfs nuttig.
Het gevolg is een vertekend beeld. Niet omdat er niets gebeurt, maar omdat wat gebeurt niet wordt gemeld. Een inventaris die alleen op meldingen steunt, registreert vooral wat toch al bekend was.
De vraag zelf verandert niets als de context ongewijzigd blijft. Wat wel werkt, is een aantal elementen samen: de vraag komt los van een individueel beoordelingsmoment, de antwoorden worden niet herleid tot een naam in een rapportage die naar boven gaat, en het doel wordt vooraf uitgelegd — het gaat om een overzicht van de organisatie, niet om een oordeel over een persoon.
Dat betekent niet dat er geen enquête of gesprek plaatsvindt. Het betekent dat de vraag wordt gesteld binnen een kader waarin "ja, ik gebruik dit" geen aanleiding is voor een correctie. Pas dan verschuift het antwoord van wat iemand denkt dat u wilt horen naar wat er werkelijk gebeurt.
De opbrengst van een goed gevoerd gesprek is niet een lijst met namen van tools. Het is een set gegevens die per toepassing herleidbaar is naar een taak of proces: welke toepassing, voor welk deel van het werk, met welke gegevens, en wie er verder mee te maken heeft. Dat is dezelfde structuur als wat u per toepassing moet vastleggen wanneer een toepassing via inkoop of IT in beeld komt — alleen is de bron hier de gebruiker, niet het contract.
Concreet betekent dit: een naam van de toepassing, een korte beschrijving van waarvoor die wordt gebruikt, een inschatting van hoe vaak, en een aanduiding van het type gegevens dat erin wordt ingevoerd. Geen technische specificaties, geen leveranciersbeoordeling op dit moment — dat komt later, bij de classificatie. Op dit punt gaat het om zicht krijgen, niet om oordelen.
Deze gesprekken zijn een van de kanalen naast de technische signalen die u apart raadpleegt. Wat u vanuit gebruikers ophaalt, legt u naast welke IT-signalen bruikbaar zijn als los spoor, en pas bij het samenvoegen ontstaat een vollediger beeld dan beide bronnen los opleveren. Een toepassing die in de netwerklogs opduikt maar door niemand wordt toegelicht, blijft een vraagteken. Een toepassing die in een gesprek wordt genoemd maar geen digitaal spoor achterlaat, is even reëel — en misschien juist daardoor makkelijker over het hoofd gezien.
De volgorde en herhaling van dit soort bevragingen hangt af van de organisatie: hoeveel afdelingen, hoeveel gelaagdheid in de rapportagelijnen, hoeveel eerdere ervaring met dit type inventarisatie. Bij een organisatie met meerdere vestigingen of een gelaagde structuur werkt hoe u het aan medewerkers vraagt zonder afrekening net iets anders dan bij een enkele locatie met een platte structuur, simpelweg omdat het aantal tussenlagen waarin het "niet afrekenen" overeind moet blijven groter is.
Een eerlijk antwoord van medewerkers is de grondstof voor de rest van de inventaris. Zonder die grondstof classificeert u een lijst die u zelf al kende, en dat is geen inventarisatie maar een bevestiging. Met die grondstof kunt u verder naar hoe u een AI-inventaris opbouwt op een schaal die verder gaat dan één afdeling of één vestiging, met input uit meerdere richtingen tegelijk.
De toon van de vraag bepaalt dus mede de kwaliteit van het antwoord. Dat is geen kwestie van een handigere formulering, maar van een structuur waarin het beantwoorden geen risico met zich meebrengt.
Zodra duidelijk is welke toepassingen daadwerkelijk in gebruik zijn en voor welke taken, verschuift de vraag van "wat gebruiken we" naar "wat betekent dat voor het werk zelf". Dat is een andere vraag, met een ander instrument. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk door AI over te nemen is, op basis van de taken die u al in kaart heeft gebracht via deze inventaris. Waar de Responsible AI Scan het gebruik en de risico's in beeld brengt, kijkt de werkscan naar de arbeidsinhoud: welke taken zich lenen voor overname, en in welke mate. Die twee vragen liggen dicht bij elkaar, maar zijn niet uitwisselbaar.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.