De ICT-sector heeft een positie die geen andere sector heeft: hier wordt de AI niet alleen gebruikt, hier wordt hij ook gebouwd, geïntegreerd en doorverkocht. Een ontwikkelaar die een taalmodel aan een applicatie koppelt, een consultant die een AI-functie in een klantproject verwerkt, een team dat een open-source model finetunet — dat zijn geen uitzonderingen, dat is het dagelijkse werk. De verhouding tussen wat de organisatie zelf besluit en wat een individuele medewerker of team er zelf bij zet, ligt in deze sector anders dan in een bank of een bouwbedrijf. Waar in andere sectoren AI een toevoeging is op bestaande processen, is AI in de ICT-sector vaak onderdeel van het product zelf. Dat betekent dat governance niet alleen gaat over interne tools, maar ook over wat er in software zit die aan derden wordt geleverd.
In veel sectoren is de IT-afdeling degene die zicht heeft op wat er draait. In de ICT-sector is die aanname zwakker dan elders, precies omdat vrijwel iedereen zelf de technische kennis heeft om een API-key aan te vragen, een model te downloaden of een AI-functie in een codebase te verwerken zonder dat daar een aanvraag, een licentie of een goedkeuringstraject aan voorafgaat. Een developer die een taalmodel gebruikt om code te genereren, een architect die een AI-agent test in een sandbox, een salesteam dat een demo bouwt met een extern model — die keuzes worden op projectniveau gemaakt, niet op bestuursniveau. Een inventaris die begint bij de ingekochte licenties, mist daarom een substantieel deel van wat er werkelijk gebeurt. De vraag is niet of er schaduw-AI is, maar hoeveel van de productieomgeving er inmiddels op steunt zonder dat iemand dat heeft vastgelegd.
De technische middelen om AI-gebruik te detecteren bestaan, maar ze zien vaak alleen wat via bedrijfsnetwerken en beheerde apparaten loopt. In een sector waar veel werk plaatsvindt in eigen ontwikkelomgevingen, persoonlijke accounts en klantprojecten met eigen infrastructuur, is dat een beperkt beeld. De meest volledige informatie komt van de mensen die het werk doen. Dat werkt alleen als de vraag zonder afrekening wordt gesteld: iemand die weet dat een eerlijk antwoord tot een sanctie leidt, antwoordt niet eerlijk. Hoe u voorkomt dat medewerkers een tool gebruiken die niemand heeft goedgekeurd begint dan ook niet bij controle, maar bij een uitnodiging om te melden wat er al gebeurt. Dat is een andere volgorde dan de meeste organisaties gewend zijn, en in de ICT-sector is die volgorde extra belangrijk, omdat het wantrouwen tussen ontwikkelteams en compliance-afdelingen hier vaak al aanwezig is.
Niet elk AI-gebruik in de ICT-sector vraagt om dezelfde aandacht. Een model dat interne documentatie samenvat, ligt anders dan een model dat meebeslist over toegangsrechten of dat als onderdeel van een geleverd product bij een klant draait. De classificatie naar rol en risiconiveau is daarom niet iets dat één keer gebeurt, maar iets dat moet meebewegen met wat een team bouwt. Dat is een andere dynamiek dan in sectoren met stabielere processen, zoals te lezen is in de beschrijvingen van governance in de financiële dienstverlening of de energiesector, waar AI-toepassingen meestal binnen een vaste operationele structuur blijven. In de ICT-sector verandert de toepassing soms sneller dan de classificatie kan bijhouden, wat betekent dat de governance-structuur zelf ruimte moet hebben voor herbeoordeling, niet alleen voor eenmalige goedkeuring.
Een risico dat in de ICT-sector eigen kleur krijgt, is het gebruik van gratis of publieke AI-tools voor werk dat eigenlijk vertrouwelijk is: broncode, klantgegevens, interne architectuur, contractvoorwaarden. Een ontwikkelaar die snel een stuk code laat controleren door een publiek model, denkt niet aan wat er met die invoer gebeurt. Hoe u voorkomt dat bedrijfsdata in een gratis chatvenster terechtkomt beschrijft dat mechanisme, en het is in deze sector relevanter dan in de meeste andere, omdat de gegevens die weglekken vaak niet alleen persoonsgegevens zijn, maar ook intellectueel eigendom en klantcode. Een governance-structuur die daar niets over vastlegt, laat het risico bij de individuele medewerker liggen, terwijl de blootstelling bij de organisatie ligt.
Een bestuurder of General Counsel in de ICT-sector heeft vaak al risicokaders voor informatiebeveiliging, softwarekwaliteit en leveranciersbeheer. AI-governance werkt beter als die aansluit op die bestaande structuur dan als het een apart traject wordt dat niemand herkent. Dat geldt hier sterker dan in sectoren zoals de vastgoedsector of de bouw, waar AI-governance vaak nog op een blanco vel begint. In de ICT-sector is er meestal al een risicotaal aanwezig; het werk is die taal uit te breiden zonder ze te vervangen.
De Responsible AI Scan brengt in kaart wat er in de organisatie aan AI draait, inclusief wat buiten de officiële lijst om is ontstaan, en koppelt daar een classificatie naar rol en risiconiveau aan. De uitkomst is een governance-set die aansluit op de bestaande structuur, niet een nieuw kader ernaast. De tool die dit ondersteunt, is nog in aanbouw. Wie hier gebruik van wil maken, kan zich aanmelden voor de wachtlijst; er wordt op dit moment nog niets geleverd buiten die inschrijving.
Zodra zichtbaar is welke AI-toepassingen er zijn en welk risiconiveau daarbij hoort, volgt vanzelf de volgende vraag: welk deel van het werk dat nu nog door mensen wordt gedaan, is geschikt om aan die toepassingen over te laten. Dat is een andere vraag dan governance, en die wordt beantwoord door de werkscan van FTE TO AI, die per taak berekent welk deel van het werk over te nemen is door AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.