Een medewerker wil een vergadering laten samenvatten, een mail laten opstellen of een agenda laten beheren. Er is een extensie voor, gratis te installeren in de browser, met een paar klikken toegang tot de mailbox. De extensie vraagt niet aan IT of dit mag. Ze vraagt aan de medewerker of hij toegang wil geven, en de meeste mensen klikken op akkoord zonder de rechten te lezen. Daarmee heeft een extern stukje software leestoegang tot correspondentie, bijlagen en contactgegevens, buiten elk zicht van de organisatie.
Dit is geen uitzondering. Het is de gewone manier waarop AI een organisatie binnenkomt: niet via een project met een opdrachtgever en een budget, maar via een individuele keuze om een taak makkelijker te maken. De extensie staat niet op een IT-lijst, want IT heeft ze niet geïnstalleerd. Ze staat niet in een risicoregister, want niemand heeft ze aangemeld. Ze werkt, en dat is voor de gebruiker genoeg reden om te blijven klikken.
Een overzicht van goedgekeurde software zegt iets over wat is aangevraagd en toegestaan. Het zegt niets over wat wordt gebruikt. Tussen die twee zit een verschil dat groter wordt naarmate AI-tools makkelijker te installeren zijn en minder zichtbaar werken. Een extensie in de browser laat geen spoor achter op het netwerk zoals een nieuwe applicatie dat zou doen. Ze loopt mee in een sessie die er verder normaal uitziet.
Wat dit oplevert is niet één datalek, maar een verspreid patroon: hier een extensie met mailtoegang, daar een gratis chatvenster waarin bedrijfsdata wordt geplakt, ergens anders een afdeling die op eigen initiatief een abonnement heeft afgesloten. Losse beslissingen, genomen zonder kwade bedoeling, die samen een schaduwlaag van AI-gebruik vormen die de organisatie niet kan overzien omdat ze er niet naar heeft gevraagd.
Een verbod op extensies met mailtoegang klinkt als een oplossing, maar een verbod dat niemand controleert is een regel op papier. De medewerker die de extensie gebruikt, deed dat omdat het werk sneller ging. Dat probleem is er nog steeds na het verbod. Hij verwijdert de extensie misschien, of hij laat ze staan en zegt er niets meer over. Beide uitkomsten zijn slechter dan wat u had voor het verbod: eerst wist u tenminste dat de extensie bestond, nu weet u het niet meer, of is de reden waarom hij bestond onopgelost.
De enige manier om te weten wat er werkelijk draait, is vragen. Niet als controle, maar als inventarisatie. Wie bang is voor een afrekening antwoordt niet eerlijk, of antwoordt helemaal niet. Dat maakt de vraag hoe u vraagt net zo belangrijk als de vraag zelf. Dit patroon, en de manier waarop een organisatie er zonder heksenjacht mee kan omgaan, wordt beschreven op de pagina over wat u doet met medewerkers die een tool gebruiken die niemand heeft goedgekeurd.
Zolang een extensie met mailtoegang buiten beeld blijft, is er ook geen toezicht op wat ze doet met de gegevens die ze verwerkt. Niet omdat niemand dat wil regelen, maar omdat toezicht alleen kan bestaan op iets dat bekend is. Voor tools die wel bekend zijn, is de vraag wat toezicht in de praktijk betekent al lastig genoeg: wie kijkt mee, hoe vaak, en wat gebeurt er met een afwijking. Die vraag wordt behandeld op de pagina over wat menselijk toezicht in de praktijk betekent. Voor een extensie die niemand heeft aangemeld, is het antwoord voor die vraag: nog niets, want de eerste stap, weten dat ze er is, heeft nog niet plaatsgevonden.
Hetzelfde patroon van iets dat langs de bestaande structuur ontstaat, in plaats van erin opgenomen te worden, speelt op grotere schaal wanneer een leverancier AI in zijn product bouwt zonder dat dit in het contract of de risicobeoordeling terugkomt; hoe dat verschijnt en waarom het langs bestaande afspraken glipt staat beschreven bij wat u doet met een leverancier die AI in zijn product heeft gebouwd. En als er wel een proces is opgezet om dit soort gebruik te melden, maar dat proces wordt genegeerd omdat het naast het bestaande werk staat in plaats van erin, dan is dat een herkenbaar patroon dat is uitgewerkt op de pagina over waarom een tweede proces naast het bestaande wordt genegeerd.
Een inventaris van extensies, abonnementen en tools die niemand heeft goedgekeurd, laat zien waar AI al meeloopt in het werk. Die informatie roept vanzelf een vervolgvraag op: als iemand al een deel van zijn taken aan AI heeft toevertrouwd, welk deel van dat werk is dat dan precies, en hoe verhoudt zich dat tot wat mogelijk of wenselijk is voor de rest van de organisatie? De werkscan van FTE TO AI rekent per taak uit welk deel van het werk door AI over te nemen is, en geeft daarmee een cijfermatig aanknopingspunt naast het governancebeeld dat een inventaris oplevert.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.