Een lijst met namen van AI-tools is geen inventaris. Een inventaris ontstaat pas als u van elke toepassing dezelfde set gegevens vastlegt, zodat u ze naast elkaar kunt leggen, kunt classificeren en later kunt aantonen. Zonder die vaste structuur houdt u een verzameling losse feiten over die niemand meer kan vergelijken.
Per toepassing gaat het om een beperkt aantal velden die telkens terugkomen.
Naam en vorm. Is het een los abonnement, een functie binnen bestaande software, een intern gebouwd model, of een AI-functie die via een leverancier is meegekomen zonder dat iemand dat als "AI" heeft benoemd.
Wie het gebruikt. Een team, een afdeling, een individuele medewerker. Dit bepaalt niet alleen de omvang, maar ook wie u later moet spreken als er vragen ontstaan.
Waarvoor het wordt gebruikt. Niet de marketingtekst van de leverancier, maar de feitelijke taak: tekst opstellen, data samenvatten, code schrijven, klantvragen beantwoorden, besluiten voorbereiden. Dit veld bepaalt de rol die de toepassing speelt en daarmee het risiconiveau.
Welke gegevens erin gaan. Persoonsgegevens, klantdata, financiële informatie, interne documenten, of geen gevoelige data. Dit bepaalt welke governance-eisen relevant worden.
Hoe het is aangeschaft. Via een formeel traject, via een abonnement dat iemand zelf heeft afgesloten, via een leverancier die het meelevert bij een ander product. De aanschafroute vertelt u meteen iets over hoeveel toezicht er al was.
Wie er verantwoordelijk voor is. Niet wie het toevallig gebruikt, maar wie aanspreekbaar is als er iets misgaat of als u wilt weten of het nog in gebruik is.
Sinds wanneer en hoe lang al. Een toepassing die drie jaar ongemerkt draait, vraagt om een andere aanpak dan een pilot van vorige maand.
Dit zijn geen bureaucratische vinklijstjes. Het zijn de gegevens die u nodig heeft om straks per toepassing te kunnen zeggen: dit valt onder een hoger risiconiveau, dit niet, en hier is de onderbouwing.
Geen van deze velden ligt compleet klaar in één bron. U bouwt de inventaris op uit meerdere kanalen die elkaar aanvullen.
De IT-afdeling levert een startpunt, maar geen volledig beeld: waarom de IT-lijst niet klopt legt uit dat een aanzienlijk deel van het AI-gebruik buiten de systemen valt die IT beheert. Toch zijn de signalen die IT wel heeft nuttig als filter: welke IT-signalen bruikbaar zijn laat zien welke technische aanwijzingen betrouwbaar genoeg zijn om op door te vragen.
Inkoop en financiën vullen een ander deel aan. Facturen, abonnementen en licenties laten zien welke tools daadwerkelijk zijn betaald, ook als de gebruiker dat nooit heeft gemeld. Wat inkoop- en licentiegegevens verraden beschrijft welke velden uit deze bron direct in de inventaris passen.
Het laatste en meest bepalende deel komt van de medewerkers zelf. Wie de taak uitvoert, weet welk hulpmiddel daarbij wordt gebruikt, ook als dat nooit is aangevraagd of goedgekeurd. Die informatie krijgt u alleen als het vragen stellen geen gevolgen heeft voor wie antwoordt: hoe u het vraagt zonder afrekening beschrijft hoe die vraag wordt gesteld zonder dat ze aanvoelt als een controle.
Een inventaris die in één keer compleet moet zijn, komt er nooit. Toepassingen veranderen, nieuwe tools verschijnen, oude verdwijnen weer. Wat blijft, is de structuur: dezelfde velden, dezelfde vragen, dezelfde manier van vastleggen. Die structuur maakt het mogelijk om een toepassing die vandaag ontbreekt, morgen toe te voegen zonder dat u opnieuw begint.
Dat is ook waarom de volgorde waarin u de velden invult er minder toe doet dan de consistentie waarmee u ze invult. Een organisatie met meerdere vestigingen, afdelingen of dochterbedrijven loopt hier tegen een extra laag complexiteit aan, omdat dezelfde toepassing op de ene locatie anders wordt gebruikt dan op de andere: hoe u een AI-inventaris opbouwt bij een organisatie met meerdere onderdelen gaat in op hoe u die verschillen zichtbaar houdt zonder de vergelijkbaarheid te verliezen. Wie in zo'n structuur specifiek wil weten welke velden per vestiging afzonderlijk moeten worden ingevuld, vindt dat in wat u per toepassing vastlegt bij een organisatie met meerdere onderdelen.
Zodra de velden per toepassing zijn ingevuld, ontstaat de mogelijkheid om te classificeren: welke rol vervult deze toepassing, welk risiconiveau past daarbij, en welke governance-maatregelen sluiten daar logisch op aan. Die stap gebeurt op basis van wat is vastgelegd, niet op basis van een inschatting achteraf.
Deze inventaris beschrijft wat er aan AI-toepassingen bestaat en wie ze gebruikt. Ze beschrijft niet hoeveel van het onderliggende werk daadwerkelijk door die toepassing wordt overgenomen. Dat is een andere vraag, met een ander instrument: de werkscan van FTE TO AI rekent per taak uit welk deel van het werk door AI is over te nemen, op basis van de taken die u vastlegt, niet op basis van de tool die ervoor wordt gebruikt.
De AI-scan hier is nog in aanbouw. Wie een van deze instrumenten wil gebruiken zodra ze beschikbaar zijn, kan zich aanmelden voor de wachtlijst.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.