U heeft een lijst met goedgekeurde AI-tools. De vraag is niet of die lijst klopt, maar of hij nog iets betekent. Een medewerker die een taak versnelt met een chatbot die niet op de lijst staat, meldt dat niet als incident. Hij meldt het niet omdat het geen incident voelt. Het antwoord dat u niet accepteert is dus "we hebben een AI-beleid en een goedgekeurde lijst" — want die zin zegt niets over wat er buiten die lijst gebeurt, en dat is waarschijnlijk het grootste deel.
Als CIO bent u degene die moet uitleggen waarom een AI-incident niet eerder bekend was, terwijl de rest van de organisatie ervan uitgaat dat IT overzicht heeft. Dat overzicht bestaat voor systemen die zijn aangeschaft. Het bestaat niet voor de invoegtoepassing die een team zelf heeft geïnstalleerd, de proefversie die iemand heeft geactiveerd, of het model dat via een klantenservice-tool is meegekomen. Het risico voor u is niet dat er AI wordt gebruikt — dat gebeurt toch — maar dat u er als laatste van weet, op het moment dat het al is misgegaan.
Een inventaris die klopt, verandert uw positie. In plaats van te reageren op incidenten die u niet zag aankomen, kunt u vooraf aangeven waar de risico's zitten en waarom. Dat is ook de basis om binnen de organisatie het gesprek te voeren met de General Counsel, die vanuit een ander perspectief naar dezelfde schaduw-AI kijkt, en met de risicomanager, die het wil onderbrengen in de bestaande risicostructuur in plaats van er een apart traject naast te zetten.
De IT-lijst registreert wat is aangeschaft en goedgekeurd. Schaduw-AI ontstaat waar die twee stappen worden overgeslagen: een medewerker vindt een tool, gebruikt hem, en rapporteert niets omdat er niets te rapporteren lijkt. Dat is geen nalatigheid — het is het gevolg van een aanschafproces dat niet is ontworpen om bij te houden wat mensen zelf oppikken. Hoe groter de organisatie en hoe meer teams zelfstandig werken, hoe groter het verschil tussen de lijst en de werkelijkheid kan zijn. Hoe klein dat verschil is, hangt af van hoeveel vrijheid teams hebben om zelf tools te kiezen en hoe zichtbaar dat gedrag al is — een getal daarover is er niet, alleen de richting.
De enige manier om te weten wat er werkelijk draait, is het vragen aan de mensen die het gebruiken. Dat werkt alleen als het antwoord niet leidt tot een consequentie voor degene die het geeft. Vraagt u "gebruik je AI-tools die niet zijn goedgekeurd" op een toon die naar een beoordelingsgesprek ruikt, dan krijgt u het antwoord dat de IT-lijst al gaf: nee. Vraagt u het los van afrekening, met als doel begrijpen in plaats van corrigeren, dan ontstaat een beeld dat wél overeenkomt met de praktijk. Dat onderscheid — vragen zonder gevolgen versus vragen met gevolgen — is het verschil tussen een inventaris die iets waard is en een oefening die niemand iets vertelt.
Een lijst van gebruikte tools is een startpunt, geen eindpunt. Niet elke AI-toepassing draagt hetzelfde risico. Een tool die tekst herschrijft voor intern gebruik ligt anders dan een tool die meebeslist over een klantacceptatie of een personeelsbeoordeling. Classificeren naar rol — wat doet het systeem — en naar risiconiveau — wat is de impact als het misgaat — is nodig om te weten waar u aandacht op moet richten. Zonder classificatie ziet elke AI-toepassing er in een rapportage hetzelfde uit, en dat is precies het beeld dat een bestuur niet aan boord helpt.
Als CIO heeft u vermoedelijk al een risicokader voor IT-systemen, informatiebeveiliging en leveranciers. AI-governance werkt beter als die aansluit op die structuur dan als het een los kader ernaast wordt. Dat is ook waar de compliance officer en de AI-programmaleider tegenaan lopen: te veel afzonderlijke AI-initiatieven die niet met elkaar praten, terwijl het bestuur juist één samenhangend antwoord verwacht op de vraag wat er speelt en wat daaraan wordt gedaan.
Wat schaduw-AI betekent, verschilt per sector. In de bouw speelt het anders dan in de installatiebranche, en het is de moeite waard om te zien hoe AI-governance vorm krijgt in de bouw of hoe dat eruitziet in de installatiebranche voordat u aanneemt dat één aanpak overal past.
De Responsible AI Scan die dit oplevert — inventaris, classificatie, een governance-set die aansluit op uw bestaande structuur — is in aanbouw. Wie hier nu al mee aan de slag wil, kan zich aanmelden voor de wachtlijst; er is nog geen kant-en-klaar product om aan te bieden, en dat schrijven we liever eerlijk op dan dat we iets beloven wat er nog niet is.
Zodra u weet welke AI er wordt gebruikt en met welk risico, volgt vanzelf de vervolgvraag: welk deel van het werk zelf zou een taak kunnen zijn voor AI, en welk deel niet. Dat is een andere vraag dan risicobeheer — het gaat over capaciteit, niet over blootstelling — en de werkscan van FTE TO AI rekent dat per taak uit, zodat u niet alleen weet wat er al draait, maar ook waar AI het werk zelf zou kunnen overnemen.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.