Een medewerker plakt een stuk tekst in een gratis chatvenster omdat het sneller werkt dan het interne systeem. Een team neemt een abonnement op een AI-tool omdat de aanvraag voor iets officieels weken zou duren. Een leverancier voegt AI-functionaliteit toe aan software die al jaren in gebruik is, zonder dat daar een gesprek over is gevoerd. Niemand van deze mensen probeert iets te verbergen. Ze proberen hun werk te doen.
Dat is de kern van schaduw-AI: het ontstaat niet uit onwil, maar uit een gat tussen wat mensen nodig hebben en wat het formele proces levert. Zolang dat gat bestaat, blijft schaduw-AI ontstaan, ongeacht hoeveel beleid er wordt geschreven.
De meeste organisaties hebben een overzicht van goedgekeurde software. Dat overzicht is een startpunt, geen weerspiegeling van de werkelijkheid. Wat mensen daadwerkelijk gebruiken, loopt daar vrijwel altijd op vooruit: de vraag hoe u bedrijfsdata in een gratis chatvenster voorkomt illustreert hoe eenvoudig een tool buiten elk zicht kan komen. Hetzelfde geldt voor een afdeling die op eigen initiatief een abonnement afsluit omdat de reguliere weg te traag voelt, of voor een browserextensie die toegang krijgt tot de mail zonder dat daar een aparte goedkeuring voor bestaat. Geen van deze situaties staat op een IT-lijst. Ze bestaan wel.
Er bestaat een neiging om schaduw-AI te behandelen als een handhavingsprobleem: verbieden, blokkeren, sanctioneren. Dat werkt averechts. Wie weet dat een eerlijk antwoord tot een probleem leidt, geeft geen eerlijk antwoord meer. De tool verdwijnt niet, hij wordt onzichtbaarder. Precies het omgekeerde van wat een organisatie nodig heeft.
Een tweede reden dat het niet vanzelf oplost: bestaande governance is vaak gebouwd voor software die je koopt en installeert, niet voor een dienst die iemand in een browser opent en morgen weer verlaat. Een proefopstelling die ooit tijdelijk bedoeld was laat zien hoe iets kleins, zonder duidelijk moment van beoordeling, jarenlang kan doorlopen zonder dat iemand zich eigenaar voelt. Zonder een proces dat dit soort gebruik structureel opmerkt, blijft het onder de radar, hoe goed de intenties ook zijn.
De enige manier om te weten wat er speelt, is het vragen. Niet als controle, maar als inventarisatie. Medewerkers die weten dat een eerlijk antwoord niet leidt tot een gesprek met HR, geven dat antwoord ook. Dat vraagt om een toon en een proces die vooraf duidelijk maken: dit gaat over overzicht krijgen, niet over iemand aanpakken.
Daarbij hoort ook aandacht voor de manier waarop nieuwe processen naast bestaande worden gezet. Een tweede proces dat naast het bestaande wordt neergelegd zonder dat het eerste wordt aangepast of ingetrokken, wordt vaak genegeerd, simpelweg omdat mensen bij hun gewoonte blijven. Een inventarisatie die als extra verplichting bovenop het werk komt, krijgt dezelfde behandeling.
Zodra duidelijk is wat er werkelijk wordt gebruikt, volgt de volgende vraag: wat doet die tool, en welk risico hoort daarbij? Een tool die tekst samenvat voor intern gebruik vraagt om iets anders dan een tool die meebeslist over klantacceptatie of personeelsbeoordeling. Die classificatie naar rol en risiconiveau is wat een inventaris omzet in iets bruikbaars: een basis waarop bestuur, CIO of General Counsel kan uitleggen wat er speelt en waarom dat te verantwoorden is.
Deze governance-laag sluit aan op de risicostructuur die een organisatie al heeft, niet op een nieuw kader ernaast. De inhoud van de regels waaraan AI-toepassingen moeten voldoen, verandert en wordt elders actueel gehouden; wat hier telt, is dat de organisatie een werkende manier heeft om te weten wat er draait, wie daarvoor verantwoordelijk is, en hoe dat aantoonbaar wordt gemaakt richting bestuur of toezichthouder.
Zodra helder is welke AI er feitelijk wordt gebruikt en met welk risico dat gepaard gaat, ontstaat vanzelf een andere vraag: welk deel van het werk zou een AI-toepassing eigenlijk kunnen overnemen, en welk deel niet. Dat is een andere vraag dan die van goedkeuring en toezicht, maar wel een die er logisch op volgt. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk over te nemen is door AI, op basis van wat een functie feitelijk inhoudt. Waar de Responsible AI Scan orde brengt in wat er al draait, brengt de werkscan in beeld wat er nog te winnen valt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.