Veel governance-initiatieven starten met een nieuw proces: een formulier, een goedkeuringsstap, een comité dat AI-gebruik moet beoordelen voordat het van start gaat. De aanname is dat medewerkers dit proces zullen volgen omdat het bestaat. In de praktijk gebeurt dat zelden. Wie een taak sneller kan doen met een tool die hij zelf heeft gevonden, vraagt geen toestemming aan een comité waarvan hij de agenda niet kent en de doorlooptijd niet kan inschatten. Hij gebruikt de tool en zwijgt erover.
Dat is geen onwil. Het is een rationele reactie op een proces dat naast het werk staat in plaats van erin. Een tweede proces vraagt tijd, oplevert onzekerheid over de uitkomst, en biedt geen zichtbaar voordeel voor wie het volgt. De kans dat het genegeerd wordt is dan groter dan de kans dat het wordt opgevolgd.
Het gevolg is niet dat er geen AI wordt gebruikt. Het gevolg is dat er AI wordt gebruikt buiten het zicht van wie verantwoordelijk is. De IT-lijst met goedgekeurde tools blijft dan een beschrijving van wat ooit is aangevraagd, niet van wat wordt gebruikt. Tussen die twee lijsten kan een aanzienlijk verschil bestaan, en niemand die alleen naar de goedgekeurde lijst kijkt, kan dat verschil zien.
Dit raakt direct aan de vraag wie verantwoordelijk is als een AI-toepassing een fout maakt. Een bestuurder die aansprakelijkheid wil kunnen beleggen, moet weten welk systeem een beslissing heeft beïnvloed. Als dat systeem nooit is geregistreerd omdat de registratieprocedure werd overgeslagen, ontbreekt die basis op het moment dat ze nodig is.
De methode die wij hanteren start niet met een goedkeuringsproces maar met een inventarisatie die vraagt in plaats van controleert. Het verschil is klein in vorm en groot in effect. Een medewerker die wordt gevraagd wat hij gebruikt en waarvoor, zonder dat dit gevolgen heeft voor hemzelf, heeft geen reden om het antwoord te verzwijgen. Een medewerker die weet dat een eerlijk antwoord kan leiden tot een verbod of een correctie, heeft alle reden om het antwoord aan te passen.
Dit is een kwetsbaar punt in de methode en dat benoemen wij liever dan het te verzwijgen. Een inventarisatie zonder afrekening levert een eerlijker beeld op dan een audit met consequenties, maar zij levert geen garantie dat elk gebruik wordt gemeld. Wie een tool gebruikt waarvan hij vermoedt dat die problematisch is, kan nog steeds zwijgen, ook zonder directe dreiging. De inventarisatie verlaagt de drempel om te melden; zij verwijdert die drempel niet volledig. Wat de methode wel biedt, is een grotere kans op een volledig beeld dan een proces dat vooraf al straf suggereert.
Een tweede proces wordt genegeerd. Een aanvulling op een bestaand proces heeft meer kans om te blijven bestaan. Daarom classificeren wij AI-gebruik naar rol en risiconiveau binnen de risicostructuur die een organisatie al hanteert, in plaats van een nieuwe structuur ernaast te zetten. Wat als hoog risico wordt geclassificeerd, komt op dezelfde plek terecht als andere hoge risico's binnen het bestaande risicoregister. Dat betekent ook dat de vraag hoe vaak opnieuw geclassificeerd moet worden geen nieuwe kalender vergt, maar aansluit op de bestaande cyclus van risicobeoordeling.
Deze aansluiting lost niet alles op. Een AI-register dat eenmalig is opgesteld, veroudert zodra iemand een nieuwe tool in gebruik neemt zonder dit te melden. Daarom is de vraag hoe een AI-register actueel blijft net zo belangrijk als de eerste inventarisatie. Een register dat niet wordt onderhouden, is na verloop van tijd weer een beschrijving van het verleden.
Toezicht op AI-gebruik wordt vaak voorgesteld als een technische kwestie: een systeem dat monitort, een dashboard dat meldt. Maar toezicht dat werkt begint bij mensen die begrijpen waarom melden zin heeft en die weten wat er met hun antwoord gebeurt. Dat is een vraag over gedrag, niet alleen over techniek, en zij hangt samen met wat menselijk toezicht in de praktijk betekent op de werkvloer, en met wat AI-geletterdheid voor medewerkers concreet inhoudt. Zonder dat begrip blijft elk proces, hoe goed ontworpen ook, een formulier dat mensen invullen omdat het moet, niet omdat het iets oplevert.
Deze aanpak levert geen volledige zekerheid dat alle AI-toepassingen worden gevonden. Zij verlaagt de drempel om te melden en sluit aan bij bestaande structuren, maar een organisatie die voor het eerst inventariseert, moet er rekening mee houden dat een deel van het gebruik onzichtbaar blijft, al is dat deel na een zorgvuldige inventarisatie doorgaans kleiner dan ervoor.
Een inventarisatie van AI-gebruik laat zien wat er draait en wie het gebruikt, maar zij zegt nog niets over hoeveel van het onderliggende werk daadwerkelijk door AI kan worden overgenomen. Die vraag ligt een stap verder en wordt beantwoord door de werkscan van FTE TO AI, die per taak berekent welk deel van het werk over te nemen is. Wie eenmaal weet welke tools er in de organisatie worden gebruikt, kan met die scan onderzoeken wat dat gebruik betekent voor de inrichting van het werk zelf.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.