Er is een moment waarop een medewerker een probleem heeft en een oplossing zoekt. Een tekst die sneller moet, een dataset die overzichtelijker moet, een klant die vandaag nog antwoord wil. Het IT-loket duurt te lang, of er is geen loket. Dus wordt er een account aangemaakt, een extensie geïnstalleerd, een abonnement genomen op een creditcard die niemand controleert. Niet uit onwil. Uit werkdruk.
Dit is hoe schaduw-AI ontstaat. Niet als opstand tegen het beleid, maar als praktische respons op een gat in het beleid. En het verdwijnt niet vanzelf, want de reden waarom het ontstond — een taak die met AI sneller gaat dan zonder — blijft bestaan zolang het beleid geen alternatief biedt. Verbieden verandert de taak niet. Het verandert alleen of u weet dat de tool gebruikt wordt.
Een overzicht van goedgekeurde software zegt iets over wat is aangevraagd en toegekend. Het zegt niets over wat wordt gebruikt. Tussen die twee lijsten zit een verschil dat groter wordt naarmate AI-tools toegankelijker worden: geen installatie, geen inkooptraject, alleen een browser en een account. Een browserextensie met toegang tot uw mail valt buiten elk inkoopproces en buiten elk overzicht, terwijl de toegang die ze heeft net zo gevoelig is als een goedgekeurd systeem. Wie alleen naar de IT-lijst kijkt, kijkt naar een deel van de werkelijkheid en noemt het geheel.
De enige manier om te weten wat er werkelijk gebruikt wordt, is het vragen. Niet als controlevraag met een sanctie aan het eind, maar als inventarisatie zonder gevolgen voor wie meewerkt. Zodra medewerkers vermoeden dat een eerlijk antwoord tot een gesprek met een leidinggevende leidt, verdwijnt de informatie niet — die gaat gewoon ondergronds. Dezelfde tool blijft draaien, alleen minder zichtbaar. Een organisatie die de omvang van schaduw-AI wil kennen, moet dus eerst de voorwaarde regelen waaronder ze het antwoord krijgt. Dat is geen kwestie van vertrouwen inboeten, het is een kwestie van volgorde: eerst zicht, dan pas beleid.
Als de inventarisatie eenmaal is opgehaald, ontstaat er iets bruikbaars: een lijst van tools naar rol en risiconiveau, niet naar goed of fout. Een tool die tekst herschrijft voor intern gebruik draagt een ander risico dan een tool die klantgegevens verwerkt of beslissingen voorbereidt. Sommige van die tools zijn ontstaan uit een individueel gebruik dat is uitgegroeid tot afdelingsstandaard — zie een afdeling met een eigen abonnement — en verdienen eerder formalisering dan een verbod. Andere zijn eenmalig opgezet voor een project dat is afgerond, maar de toegang staat nog open; dat is het patroon dat wordt beschreven bij een proefopstelling die nooit is uitgezet. De classificatie bepaalt wat nodig is: soms niets, soms een aanpassing, soms overname in de bestaande governance-structuur.
Het doel van deze aanpak is niet om iedereen die een tool startte zonder toestemming aan te wijzen. Het doel is om te weten wat er draait, wie het gebruikt, en welk risico daaraan vast zit — zodat een bestuurder, CIO of General Counsel die vraag kan beantwoorden als hij gesteld wordt, intern of extern. Dat vraagt een vaste manier van inventariseren die niet stopt bij één ronde, want er komen steeds nieuwe tools bij. Hoe die inventarisatie in de praktijk wordt opgebouwd, inclusief de vraag wie hem uitvoert en hoe vaak, staat beschreven in hoe u een AI-inventaris opbouwt.
De governance-structuur zelf — welke regels gelden voor welk risiconiveau, welke termijnen en verplichtingen daarbij horen — is een apart onderwerp met een eigen actuele inhoud, die hier niet wordt herhaald. Wat op deze pagina telt, is het mechanisme: zicht krijgen zonder de informatiestroom af te sluiten, en dat zicht vertalen naar een classificatie die aansluit op wat de organisatie al aan risicobeheer heeft ingericht.
De inventaris die schaduw-AI blootlegt, doet dat vaak niet alleen bij losse tools. Ze legt ook bloot dat een leverancier AI heeft toegevoegd aan een systeem dat al in gebruik was, zonder dat daar een apart gesprek over is gevoerd — het patroon achter een leverancier die AI in zijn product bouwde — en dat gevoelige bedrijfsinformatie soms gewoon wordt ingeplakt in een openbaar chatvenster, zoals beschreven bij bedrijfsdata in een gratis chatvenster. Al deze vormen delen dezelfde oorsprong: een taak waarvoor AI sneller werkt dan het bestaande proces.
Die constatering leidt logisch naar een andere vraag, los van goedkeuring en risico: welk deel van het werk zelf is geschikt om door AI te worden overgenomen. De werkscan van FTE TO AI rekent dat per taak uit, op basis van wat het werk feitelijk inhoudt, en laat zien waar automatisering een reëel deel van de tijd kan overnemen — als opstap naar een gesprek over wat daarmee gepland kan worden, niet als vervanging van de governance-vraag die op deze pagina centraal staat.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.