Een medewerker installeert een browserextensie die e-mails samenvat, agenda-afspraken voorstelt of concepttekst schrijft in Gmail of Outlook Web. De installatie kost een minuut en vraagt om toestemming voor toegang tot de pagina-inhoud. Die toestemming wordt gegeven zonder dat iemand leest wat er precies wordt gedeeld, hoe lang het bewaard blijft, of het model erop trained, of de leverancier het doorverkoopt. De extensie werkt, bespaart tijd, en verspreidt zich vervolgens informeel: een collega ziet het, vraagt om de link, installeert hem ook.
Browserextensies vallen buiten de meeste inkoopprocessen. Er wordt niets aangeschaft, er is geen contract, geen factuur die opvalt bij finance. De installatie verloopt via de browser zelf, vaak met een persoonlijk of werkaccount dat niet via IT loopt. Voor de medewerker is het geen 'nieuwe tool' in de zin die om goedkeuring vraagt — het is een klein hulpmiddel, vergelijkbaar met een spellingscontrole. Dat de extensie leestoegang heeft tot alle mail, inclusief bijlagen, contracten en klantgegevens, is een technisch detail dat bij de installatie werd weggeklikt.
Dit patroon is niet uniek voor mail. Dezelfde route loopt via een tool die niemand heeft goedgekeurd in bredere zin, via bedrijfsdata die in een gratis chatvenster wordt geplakt, en via een afdeling die op eigen initiatief een abonnement heeft afgesloten. De browserextensie is alleen de variant met de meest directe toegang: niet tot een enkel document, maar tot de volledige mailbox.
Een IT-lijst van goedgekeurde software vangt dit niet. De extensie staat niet in het contractenoverzicht, niet in de facturenstroom, niet in een SSO-log als die niet wordt gebruikt. De enige manier om te weten of hij er is, is het vragen — aan de mensen die hem gebruiken. En dat werkt alleen als vragen geen gevolgen heeft. Zodra een melding leidt tot een verwijt, stopt de informatie. De volgende extensie wordt dan niet gemeld, maar stiller gebruikt.
De extensie verdwijnt ook niet omdat hij nuttig is. Wie mail sneller kan afhandelen, geeft dat niet op omdat er ergens een beleidsdocument ligt dat het afraadt. Een verbod zonder alternatief verplaatst het gedrag naar een ander account, een andere browser, een privételefoon. Het probleem wordt dan onzichtbaarder, niet kleiner.
Het uitgangspunt is niet opsporen en afrekenen, maar in kaart brengen wat er is en op basis daarvan een keuze maken. Dat begint met een inventaris die niet alleen kijkt naar wat is aangeschaft, maar naar wat wordt gebruikt: hoe u een AI-inventaris opbouwt beschrijft die aanpak, inclusief de vraag hoe u mensen zover krijgt dat ze zelf melden wat ze gebruiken.
Voor elke extensie die naar boven komt, is een paar vragen relevant. Welke gegevens raakt hij — alleen wat op het scherm staat, of de volledige mailbox via een API-koppeling? Wordt de inhoud verwerkt door een extern model, en zo ja, onder welke voorwaarden? Is er een zakelijke reden voor het gebruik, of vervangt hij iets dat de organisatie al had? Wat vastgelegd moet worden per toepassing — wie de eigenaar is, welke data erin gaat, welk risiconiveau van toepassing is — staat beschreven in wat u per toepassing moet vastleggen. Dat is geen juridische exercitie op zichzelf; het is de basis om per geval te beslissen: toestaan, vervangen door een beheerde variant, of afbouwen.
Daarbij hoort ook de blik naar buiten. Niet elke AI-functie in de mailomgeving komt van een extensie die een medewerker zelf installeerde. Een leverancier van een bestaande tool kan een AI-functie hebben toegevoegd aan een update, zonder dat dit als nieuwe beoordeling werd gezien. Wat dat betekent voor bestaande contracten en verwerkersafspraken staat bij een leverancier die AI in zijn product heeft gebouwd.
Het doel van deze inventarisatie is niet het opsporen van de medewerker die de extensie installeerde. Wie daarop uitkomt, ziet de volgende extensie niet meer, omdat niemand meer meldt. Het doel is een beeld van wat er feitelijk gebeurt met mailgegevens, contractdocumenten en klantcommunicatie, zodat een bestuurder of General Counsel een onderbouwde keuze kan maken over wat blijft, wat wordt vervangen, en wat wordt afgebouwd — met een reden die aan een toezichthouder of auditor kan worden voorgelegd.
Dezelfde vraag die aan het licht brengt dat een extensie meeleest met de mail, brengt ook aan het licht hoeveel tijd die extensie feitelijk overneemt van het werk dat er eerst met de hand gebeurde. Die twee vragen liggen dicht bij elkaar: de ene gaat over risico en toezicht, de andere over waar de tijdsbesteding in het werk zelf verandert. Voor dat laatste rekent de werkscan van FTE TO AI per taak uit welk deel van het werk door AI is over te nemen, los van welke tool dat doet — een vervolgstap voor wie na de inventarisatie wil weten wat de AI die er al is, betekent voor de organisatie van het werk.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.