Een marketingteam heeft een schrijfassistent nodig. Een financieel analist wil een tool die spreadsheets samenvat. Niemand van hen wacht op een inkoopproces dat maanden duurt. Er is een creditcard, een e-mailadres, en binnen tien minuten is er een abonnement dat de afdeling zelf betaalt, zelf beheert en zelf gebruikt. De IT-afdeling weet er niets van. Er is geen reden om het te melden, want er is niets fout gedaan — er is alleen een probleem opgelost.
De meeste schaduw-AI begint niet met een poging om regels te ontlopen. Het begint met een taak die sneller moet, een deadline die niet wacht op een goedkeuringstraject, en een tool die toegankelijk is zonder tussenkomst van iemand anders. De afdeling die het abonneert, ziet het niet als een IT-beslissing. Het voelt als een kantoorbenodigdheid, niet anders dan een softwarelicentie die iedereen al gebruikte voordat er een central inkoopbeleid was. Dat een taalmodel bedrijfsdata verwerkt, klantgegevens leest of concepttekst genereert die naar buiten gaat, is voor de gebruiker geen governance-vraag. Het is gewoon werk.
Dezelfde dynamiek speelt bij een leverancier die AI in zijn product bouwde zonder dat daar een apart gesprek over is gevoerd: de functionaliteit verschijnt in een update, niemand tekent er iets voor, en de organisatie gebruikt het voordat iemand heeft vastgesteld wie daar verantwoordelijk voor is.
Een aankondiging dat ongeautoriseerde tools niet zijn toegestaan, verandert weinig. De afdeling die het abonnement heeft, ervaart het als een oplossing die werkt, niet als een risico dat gemeld moet worden. Een verbod zonder alternatief levert twee dingen op: het abonnement gaat ondergronds, of het team stopt ermee en het werk wordt weer trager. Geen van beide is wat een organisatie wil.
Daar komt bij dat een dergelijk abonnement zelden een eenmalige beslissing is. Het wordt onderdeel van de workflow, gekoppeld aan andere tools, gebruikt in processen die er inmiddels van afhankelijk zijn. Wat begint als een proefje wordt een vast onderdeel van hoe het team werkt — precies het patroon dat ook zichtbaar is bij een proefopstelling die nooit is uitgezet: niemand heeft besloten het permanent te maken, maar niemand heeft ook besloten het stop te zetten.
De reflex om schaduw-AI op te sporen en de gebruiker daarop aan te spreken, werkt averechts. Wie weet dat een melding tot een berisping leidt, meldt niet. Het abonnement blijft bestaan, alleen minder zichtbaar. De afdeling wordt voorzichtiger in wat ze rapporteert, niet zorgvuldiger in wat ze gebruikt.
Wat wel werkt, is vragen zonder dat er een sanctie aan vastzit. Een team dat een tool gebruikt om een taak te versnellen, heeft daar meestal een reden voor die de organisatie wil kennen: een proces dat te traag is, een taak die overbelast raakt, een behoefte die het bestaande aanbod niet dekt. Zie hoe dit wordt beschreven bij medewerkers die een tool gebruiken die niemand heeft goedgekeurd — het aanknopingspunt is niet de overtreding, maar de behoefte die erachter zit.
De eerste stap is niet handhaving, maar inventarisatie: welke tools zijn er, wie gebruikt ze, voor welke taak, en met welke gegevens. Dat gebeurt niet via de IT-lijst — die registreert wat is goedgekeurd, niet wat wordt gebruikt. Het gebeurt door te vragen, op een manier die geen dreiging bevat.
Zodra er zicht is op wat er draait, kan classificatie volgen: welke rol speelt de tool, welk risiconiveau past daarbij, en welke vorm van toezicht is passend. Niet elk abonnement dat een afdeling zelf heeft afgesloten, vormt een probleem. Een tool die openbare tekst herschrijft, zit in een andere categorie dan een tool die klantdata verwerkt zonder dat iemand weet waar die data heen gaat. Het onderscheid tussen die categorieën is precies waar menselijk toezicht in de praktijk om draait: niet elk gebruik vraagt om dezelfde mate van controle, maar elk gebruik vraagt om te weten dat het bestaat.
Daarna volgt een governance-structuur die aansluit op wat er al is — geen nieuw proces naast het bestaande risicokader, maar een uitbreiding daarvan. Een organisatie die AI-risico apart behandelt van de rest van haar risicomanagement loopt het risico dat het tweede systeem wordt genegeerd, zoals te lezen is bij een tweede proces naast het bestaande dat wordt genegeerd. De aanpak die blijft bestaan, is degene die aansluit op wat de organisatie al doet om risico te beheersen.
Een abonnement dat een afdeling zelf heeft afgesloten, is meestal een signaal dat iets sneller moet dan het huidige proces toelaat. Die vraag — welk deel van het werk zich laat versnellen, en waar dat gestructureerd kan gebeuren in plaats van ongezien — is precies waar de werkscan van FTE TO AI antwoord op geeft. De werkscan rekent per taak uit welk deel van het werk door AI is over te nemen, zodat de behoefte die tot een schaduwabonnement leidde een plek krijgt binnen een proces dat de organisatie wel kent en wel beheert.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.