Een team wil sneller werken en zet een AI-tool aan, meestal om iets concreets te testen: een samenvatting, een eerste concept, een classificatie. Er is geen goedkeuringstraject omdat het "nog maar een proef" is. De proef werkt, of werkt goed genoeg, en verdwijnt in het dagelijkse proces zonder dat er ooit een besluit is genomen om hem te houden. Er is geen moment geweest waarop iemand welbewust koos: dit nemen we op in onze AI-inventaris, hiervoor is een eigenaar, dit valt onder dat risiconiveau. Er was alleen een moment van beginnen, en dat moment schrijft zich vast in een werkwijze die niemand meer heeft aangeraakt.
Een proefopstelling stopzetten vraagt een besluit. Doorgaan vraagt niets. Zolang niemand een incident meldt of een externe partij vraagt naar bewijs van controle, is er geen aanleiding om terug te komen op iets dat allang gewoon werk is geworden. De mensen die de tool gebruiken hebben er geen belang bij om het onder de aandacht te brengen: het werkt, het bespaart tijd, en melden voelt als het risico lopen dat het wordt afgepakt. Zo blijft een tijdelijke oplossing structureel, niet omdat niemand het weet, maar omdat niemand de vraag stelt die tot afsluiten zou leiden.
Het ligt voor de hand om te denken dat een overzicht van goedgekeurde software dit zichtbaar maakt. Dat overzicht laat zien wat is aangeschaft, niet wat wordt gebruikt. Een proefopstelling loopt vaak buiten dat kanaal: een gratis account, een browserplugin, een los abonnement op een teamkaart. Hetzelfde patroon speelt bij een browserextensie met toegang tot uw mail, bij een afdeling met een eigen abonnement buiten de centrale inkoop, en bij bedrijfsdata die in een gratis chatvenster wordt geplakt zonder dat daar een contract met verwerkersvoorwaarden achter staat. Geen van deze situaties staat op een IT-lijst, want geen ervan is ooit als project aangemeld.
De enige manier om te weten wat er werkelijk draait, is het vragen. Niet als controle achteraf, maar als opening: wat gebruikt u, waarvoor, en sinds wanneer. Wie die vraag stelt met de dreiging van sancties op de achtergrond, krijgt geen antwoord of een onvolledig antwoord. Medewerkers die een tool gebruiken die niemand heeft goedgekeurd, hebben iets te verliezen bij eerlijkheid en niets te winnen. Dat is precies de spanning die aan de orde komt bij medewerkers die een tool gebruiken die niemand heeft goedgekeurd: zonder een uitnodiging die veilig is om op te antwoorden, blijft de proefopstelling ondergronds, en verdwijnt hij niet, hij wordt alleen stiller.
Een inventaris zonder consequenties voor de melder is de eerste stap, niet de conclusie. Na het zichtbaar maken volgt classificatie: wat is dit, welke rol speelt het in een proces, en welk risiconiveau past daarbij. Een samenvattingstool voor interne notities vraagt een ander regime dan een tool die meebeslist over klantacceptatie of personeelsbeoordeling. Die classificatie hoort aan te sluiten op de risicostructuur die er al is, niet op een nieuw kader ernaast. Een tweede, informeel proces dat naast het bestaande proces wordt genegeerd, is precies waarom een tweede proces naast het bestaande wordt genegeerd een herkenbaar patroon is: mensen volgen het pad met minder weerstand, en dat pad wordt zichtbaar pas als iemand ernaar vraagt.
Daarna komt de vraag wie er nog naar kijkt. Een proefopstelling die is losgelaten in het dagelijkse werk heeft meestal geen eigenaar meer die uitkomsten beoordeelt voordat ze worden gebruikt. Dat is waar wat menselijk toezicht in de praktijk betekent relevant wordt: niet als abstract principe, maar als concrete vraag wie de output leest voordat die een klant, een dossier of een besluit raakt.
Een bestuurder die hierover wordt bevraagd — door een toezichthouder, een auditor, een raad van commissarissen — heeft twee opties: zeggen dat het overzicht compleet is, of zeggen dat het proces bestaat om het compleet te maken en te houden. De tweede optie is eerlijker en, op de langere termijn, sterker, omdat een organisatie die actief inventariseert iets aantoonbaars heeft, ook wanneer de inventaris nog niet af is. Het punt is niet dat er nooit meer een ongeautoriseerde proefopstelling ontstaat. Het punt is dat er een mechanisme is dat ze vindt voordat een incident dat voor u doet.
Als eenmaal zichtbaar is welke AI er ongepland is ontstaan, ontstaat vaak een andere vraag: als dit team dit al deed, zonder dat iemand het organiseerde, wat zou er dan gebeuren als we het wél organiseren? Dat is een andere vraag dan governance, en die hoort bij de werkscan van FTE TO AI, die per taak berekent welk deel van het werk redelijkerwijs door AI is over te nemen. Waar deze pagina beschrijft hoe u grip krijgt op wat er al draait, beschrijft die scan wat er, met dezelfde nuchtere blik naar taken en risico's, nog opgebouwd kan worden.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.