Een medewerker loopt vast op een tekst, een samenvatting, een stuk code of een e-mail die net niet goed loopt. Er is een chatvenster, gratis, direct beschikbaar, zonder wachttijd en zonder formulier. De tekst gaat erin, inclusief de naam van de klant, het contractbedrag, de personeelsdossier-passage of de broncode die erbij hoort. Het antwoord komt terug, het werk is klaar, het venster wordt gesloten. Niemand heeft hier toestemming voor gevraagd, en niemand heeft geweigerd, omdat niemand het wist.
Dit is geen incident. Het is een voorspelbaar patroon dat ontstaat op elk punt waar werkdruk groter is dan de moeite van vragen. Een deadline, een leeg antwoord op een vraag die het bedrijf niet expliciet toestaat of verbiedt, en een gratis tool die sneller is dan het interne proces: die combinatie leidt vanzelf tot dit gedrag, ongeacht de sector of de grootte van de organisatie.
Een verbod in een beleidsdocument verandert niets aan het moment waarop de deadline knelt. Het chatvenster blijft bereikbaar, de medewerker blijft onder druk staan, en de afweging tussen "snel klaar" en "volgens het boekje" valt vaker uit in het voordeel van snel klaar. Dat is geen onwil. Het is een organisatie die het makkelijker heeft gemaakt om het venster te gebruiken dan om er niet aan te beginnen.
Het patroon lijkt sterk op wat gebeurt bij een afdeling die zelf een abonnement heeft afgesloten: iemand ziet een probleem, vindt een oplossing die binnen budget en zonder goedkeuringstraject beschikbaar is, en handelt. Het verschil is dat een chatvenster geen inkoopregel nodig heeft. Er is geen factuur die opvalt, geen contract dat langs juridische zaken moet, geen abonnement dat in een overzicht staat. Het gebruik laat geen spoor achter behalve in de browsergeschiedenis van één medewerker, en soms niet eens dat.
Daardoor blijft het bestaan naast elk officieel proces dat de organisatie wel heeft ingericht. Wie een goedgekeurd alternatief bouwt maar het gratis venster niet blokkeert of onaantrekkelijk maakt, ziet precies het effect dat ook optreedt wanneer een tweede proces naast het bestaande wordt genegeerd: het nieuwe systeem wordt niet gebruikt, omdat het oude sneller aanvoelt of gewoon de gewoonte is.
Een inventaris van goedgekeurde software vertelt wat is aangeschaft. Het vertelt niets over wat wordt gebruikt. Een chatvenster in een browsertabblad, een browserextensie met toegang tot de mail, een AI-functie die ergens diep in een bestaand abonnement is bijgekomen: dit soort gebruik ontstaat buiten elk inkoopproces en verschijnt daardoor niet op de lijst die IT beheert. De lijst is niet fout, ze is alleen niet volledig, en het verschil tussen die twee is precies waar schaduw-AI leeft.
De enige manier om te weten wat er werkelijk gebeurt, is het vragen. Niet als controle, niet als voorbode van een sanctie, maar als een vraag waarop een eerlijk antwoord mogelijk is. Wie voelt dat een antwoord op "welke tools gebruikt u naast de goedgekeurde systemen" tot een gesprek met een leidinggevende leidt, geeft dat antwoord niet. Dan blijft de organisatie afhankelijk van wat toevallig opvalt: een rekening die net iets afwijkt, een collega die het per ongeluk noemt, of een klacht van een klant wiens gegevens ergens zijn opgedoken waar ze niet hoorden te komen.
Een inventaris die begint met verwijten levert geen inventaris op, maar stilte. Medewerkers die weten dat een eerlijk antwoord een probleem oplevert, gaan het venster gewoon incognito openen. Het doel is niet het gedrag van gisteren bestraffen; het doel is een actueel beeld krijgen van wat er nu draait, wie het gebruikt en waarvoor, zodat dat gebruik een plek kan krijgen in het bestaande risicokader in plaats van ernaast te blijven bestaan.
Dat geldt ook voor AI die niet via een chatvenster maar via een leverancier binnenkomt. Wanneer een leverancier AI heeft ingebouwd in een product dat al in gebruik was, verandert de aard van de gegevensverwerking zonder dat er een nieuw contract is getekend. En een proefopstelling die goed werkte, wordt zelden formeel afgesloten: die blijft draaien, ook nadat een proefopstelling nooit is uitgezet terwijl niemand meer weet wie er verantwoordelijk voor is. In alle drie de gevallen gaat het niet om kwaadwillendheid, maar om een gat tussen wat is goedgekeurd en wat werkt. Waar toezicht in de praktijk vorm krijgt op zulke plekken, wordt behandeld op de pagina over wat menselijk toezicht in de praktijk betekent; de regelinhoud zelf staat elsewhere en verandert dat niet.
Zodra duidelijk is welke AI daadwerkelijk wordt gebruikt, ontstaat een ander soort vraag: welk deel van het werk dat nu via een gratis chatvenster loopt, hoort eigenlijk bij een taak die AI gestructureerd kan overnemen, en welk deel niet. Dat onderscheid maakt de werkscan van FTE TO AI inzichtelijk: die rekent per taak uit welk deel van het werk over te nemen is door AI, zodat het gebruik dat nu verstopt zit in een browservenster een plek kan krijgen die past bij wat het werk daadwerkelijk vraagt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.