Bij één vestiging kunt u nog rondlopen en het gesprek aangaan. Bij meerdere vestigingen, met verschillende leidinggevenden en verschillende culturen rond wat wel en niet gemeld wordt, werkt dat niet meer. Dan moet u een manier vinden om dezelfde vraag overal op dezelfde manier te stellen, en dat is precies waar het meestal misgaat: de vraag wordt gesteld als controle, en dan komt er geen bruikbaar antwoord.
Als u vraagt "gebruikt u AI-tools die niet zijn goedgekeurd", vraagt u iemand om toe te geven dat hij de regels overtreedt. Het antwoord dat u dan krijgt is bijna altijd nee, ook als het niet waar is. Niet omdat mensen liegen om te liegen, maar omdat de vraag zo geformuleerd is dat een eerlijk antwoord een bekentenis wordt. Dat geldt voor de medewerker die een chatbot gebruikt om e-mails te concipiëren, en het geldt nog sterker voor de vestigingsmanager die een tool heeft aangeschaft buiten IT om, omdat het sneller ging dan een aanvraag indienen.
De vraag die wel werkt, gaat niet over toestemming maar over gebruik: welk werk doet u, en wat helpt u daarbij. Geen vraag naar overtreding, een vraag naar praktijk. Dat verandert niet alleen de toon, het verandert ook wat mensen durven te melden.
Een bruikbaar overzicht bestaat niet uit indrukken maar uit een beperkte set gegevens, consistent verzameld:
Deze vijf punten vormt u tot een vaste vragenlijst die overal hetzelfde is, zodat vestiging A en vestiging B vergelijkbare gegevens opleveren. Wat u precies per toepassing vastlegt en waarom, staat uitgewerkt op de pagina over wat u per toepassing moet vastleggen.
De vraag aan medewerkers is één bron, niet de enige. Facturen en licentieoverzichten laten vaak zien welke AI-abonnementen ergens lopen, ook zonder dat iemand het meldt; wat inkoop- en licentiegegevens verraden bij een organisatie met meerdere vestigingen is dat elke vestiging haar eigen inkooppatroon heeft, en dat afwijkingen daarin vaak eerder opvallen dan bij een gesprek. Daarnaast geven IT-signalen die bruikbaar zijn bij een organisatie met meerdere vestigingen een tweede lijn: netwerkverkeer naar bekende AI-diensten, nieuwe browserextensies, aanvragen voor API-toegang. Geen van deze bronnen is compleet op zichzelf. Samen geven ze een beeld dat betrouwbaarder is dan wat één kanaal kan opleveren, en dat maakt het ook makkelijker om de medewerker niet als enige controlepunt te belasten.
Zonder een duidelijke afspraak dat melden niet leidt tot een sanctie, blijft schaduw-AI schaduw. Dat betekent niet dat er nooit gevolgen zijn — als een toepassing een risico blijkt te zijn, moet daar iets mee gebeuren — maar dat het melden zelf nooit het startpunt van een probleem is. Die scheiding tussen melden en beoordelen moet u vooraf communiceren, niet achteraf uitleggen. Hoe u die inventarisatie stap voor stap opbouwt, inclusief de volgorde van vragen en bronnen, staat beschreven op de pagina over het opbouwen van een AI-inventaris.
Zodra een toepassing in beeld is, is de volgende vraag niet "mag dit" maar "wat is dit". Is de organisatie hier gebruiker van een extern systeem, of in bepaalde gevallen zelf aanbieder — bijvoorbeeld omdat een team een eigen model heeft getraind of een bestaand systeem ingrijpend heeft aangepast. Dat onderscheid bepaalt welke verplichtingen gelden en wie daarvoor verantwoordelijk is; het is uitgewerkt op de pagina die aanbieder- en gebruikersrollen onderscheidt. Ook binnen de rol van gebruiker kan de positie veranderen — een aanpassing, een nieuwe toepassing van bestaande data — wat te lezen is op de pagina over het moment waarop uw rol verandert. Beide vragen horen bij classificatie, niet bij het eerste gesprek met medewerkers. Eerst het overzicht, dan de indeling.
Een inventaris van wat er gebruikt wordt, vertelt u nog niet hoeveel werk daarmee samenhangt of wat er verandert als een toepassing wegvalt of juist uitgebreid wordt. Voor die vraag — welk deel van het werk in een taak door AI wordt overgenomen, en welk deel niet — is de werkscan van FTE TO AI bedoeld. Die rekent per taak uit hoe de verdeling tussen mens en AI eruitziet, op basis van de taken zoals ze nu worden uitgevoerd, niet op basis van een schatting vooraf.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.