De IT-afdeling houdt bij wat is aangeschaft, geïnstalleerd of geautoriseerd. Dat is nuttige informatie, maar het beantwoordt een andere vraag dan de vraag die een bestuurder, CIO of General Counsel eigenlijk stelt. De IT-lijst toont wat is goedgekeurd. De vraag die telt, is wat wordt gebruikt.
Tussen die twee zit ruimte. Een medewerker die een gratis AI-tool in de browser gebruikt, staat nergens geregistreerd. Een team dat een taalmodel raadpleegt via een browserextensie, verschijnt niet in een licentieoverzicht. Een afdeling die een chatbot heeft ingebouwd in een spreadsheet-macro, komt niet voor in een asset-register. Niets van dit alles is per definitie tegen de regels. Het is alleen onzichtbaar voor de lijst waarop bestuur en toezicht vertrouwen.
De kloof tussen de lijst en de praktijk ontstaat niet doordat iemand nalatig is. Ze ontstaat doordat AI-toepassingen makkelijk toegankelijk zijn geworden, vaak zonder aanschafproces, zonder factuur, zonder IT-betrokkenheid. Een medewerker die een taak sneller wil doen, zoekt een oplossing en vindt die vaak binnen een paar minuten, buiten elk formeel kanaal. Dat gedrag is voorspelbaar en het levert een reëel probleem op: niemand met overzicht over de organisatie weet dan nog welke AI daadwerkelijk met welke gegevens werkt.
De IT-lijst is niet waardeloos. Ze is het beginpunt van een inventaris, niet het eindpunt. Wat inkoop- en licentiegegevens verraden laat zien dat facturen en contracten vaak meer onthullen dan het asset-register zelf: een proefabonnement dat is blijven doorlopen, een licentie die is afgesloten door een afdeling zonder overleg met IT, een API-koppeling die maandelijks wordt gefactureerd zonder dat er een formele goedkeuring aan ten grondslag ligt. Daarnaast zijn er IT-signalen die bruikbaar zijn om schaduw-AI op te sporen: netwerkverkeer naar bekende AI-domeinen, nieuwe browserextensies, ongewone pieken in dataverkeer naar externe diensten. Geen van deze bronnen is op zichzelf compleet. Samen geven ze een beeld dat de officiële lijst niet biedt.
Technische signalen tonen dat iets gebruikt wordt, maar zelden waarom of waarvoor precies. Die context krijgt u alleen door het te vragen aan de mensen die het gebruiken. Dat werkt alleen als de vraag niet wordt gesteld als opsporing. Wie bang is voor een sanctie, geeft geen eerlijk antwoord, of geeft geen antwoord. Hoe u het aan medewerkers vraagt zonder afrekening beschrijft hoe die vraag zo gesteld kan worden dat mensen wel vertellen wat ze daadwerkelijk gebruiken, en waarom, zonder dat ze het gevoel hebben zichzelf te verraden.
Een inventaris is meer dan een lijst van toepassingen. Per toepassing legt u vast: wie het gebruikt, voor welke taak, met welke gegevens, en of de uitkomst een rol speelt in een besluit dat gevolgen heeft voor iemand buiten de organisatie. Die laatste vraag bepaalt het risiconiveau en daarmee welke governance-eisen gelden. Wat u per toepassing moet vastleggen beschrijft dat format in detail. Voor organisaties met meerdere afdelingen, vestigingen of dochterbedrijven komt daar een extra laag bovenop: dezelfde toepassing kan in de ene afdeling een lage impact hebben en in een andere een besluit over klanten raken. Hoe u een AI-inventaris opbouwt bij een organisatie met meerdere onderdelen gaat in op die schaal, en op waarom de IT-lijst daar nog verder achterblijft bij de werkelijkheid dan bij een enkele afdeling.
Een inventaris die is opgebouwd uit meerdere bronnen — de IT-lijst, inkoopgegevens, technische signalen en gesprekken met medewerkers — geeft een bestuurder iets waarmee hij kan verantwoorden wat er speelt, in plaats van te vertrouwen op een register waarvan hij weet dat het incompleet is. Dat is geen garantie dat alles in beeld is; onzichtbaar gebruik kan nooit volledig worden uitgesloten. Het is wel een basis die aantoonbaar is opgebouwd, met een duidelijke methode, in plaats van een lijst die toevallig bestaat.
Een inventaris laat zien welke AI-toepassingen er zijn en wie ze gebruikt. Ze laat niet zien hoeveel van het onderliggende werk die toepassingen daadwerkelijk overnemen, en hoeveel ruimte er nog is om taken over te dragen. Dat is een andere vraag, met een ander instrument: de werkscan van FTE TO AI rekent per taak uit welk deel van het werk door AI is over te nemen, op basis van wat die taak feitelijk inhoudt in plaats van op basis van de naam van de functie.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.