Een organisatie met meerdere vestigingen heeft meestal geen tekort aan AI-gebruik, maar een tekort aan overzicht. Elke vestiging maakt eigen keuzes, sluit eigen abonnementen af of laat teams zelf uitzoeken wat handig is. Het resultaat is een verzameling toepassingen die nergens in zijn geheel is opgeschreven. Voordat er iets te classificeren of te rapporteren is, moet die verzameling eerst bestaan als lijst — met per toepassing dezelfde vaste gegevens, ongeacht welke vestiging het meldt.
Voor elke toepassing legt u in principe vast: de naam en leverancier, de vestiging of afdeling waar hij wordt gebruikt, wie de toepassing beheert of heeft aangeschaft, waarvoor hij wordt ingezet, welke gegevens erin worden ingevoerd, en of de toepassing zelfstandig beslissingen neemt of alleen ondersteunt. Dat laatste onderscheid bepaalt grotendeels het risiconiveau: een tool die tekst herschrijft, valt anders te beoordelen dan een systeem dat sollicitanten selecteert of kredietaanvragen beoordeelt.
Bij meerdere vestigingen komt daar een extra veld bij: of de toepassing lokaal is aangeschaft of centraal is uitgerold. Dat onderscheid is nodig om te zien of eenzelfde risico op meerdere plekken los van elkaar is ontstaan, of dat één beslissing zich over de hele organisatie heeft verspreid.
De eerste plek waar u zou zoeken is de IT-afdeling, en die lijst is een goed startpunt — maar niet het eindpunt. Waarom de IT-lijst niet klopt bij een organisatie met meerdere vestigingen legt uit dat centraal beheerde licenties maar een deel van het gebruik dekken. Vestigingen die zelf een creditcard gebruiken voor een abonnement, of teams die een gratis versie van een tool inzetten, verschijnen nergens in een centrale administratie. Het overzicht dat u opbouwt, moet dus meerdere bronnen combineren, niet één.
Naast de IT-lijst geven financiële gegevens een ander soort signaal. Wat inkoop- en licentiegegevens verraden bij een organisatie beschrijft hoe facturen, abonnementen en creditcarduitgaven per vestiging aanwijzingen geven over toepassingen die buiten de centrale inkoop zijn afgesloten. Dit is met name bij meerdere vestigingen relevant: lokale inkoop verloopt vaak via andere kanalen dan centrale IT, en juist daar ontstaat het grootste deel van het onvolledige beeld.
Geen enkele lijst — technisch of financieel — vertelt u waarvoor een toepassing werkelijk wordt gebruikt. Dat weten alleen de mensen die er dagelijks mee werken. Hoe u het aan medewerkers vraagt zonder afrekening bij een organisatie gaat in op de voorwaarde die deze stap laat slagen of mislukken: wie voelt dat een antwoord gevolgen kan hebben, antwoordt onvolledig of niet. Bij meerdere vestigingen is dit extra van belang, omdat lokale gewoonten sterk kunnen verschillen en een landelijke enquête die verschillen makkelijk wegpoetst.
Naast gesprekken en facturen bevat de bestaande IT-omgeving vaak al aanwijzingen die niemand als zodanig heeft herkend: netwerkverkeer naar bepaalde domeinen, nieuwe browserextensies, of API-koppelingen die ergens zijn aangelegd. Welke IT-signalen bruikbaar zijn bij een organisatie met meerdere vestigingen laat zien welke van die signalen iets zeggen over AI-gebruik en welke ruis zijn. Voor een organisatie met meerdere vestigingen is dit een manier om te zien of eenzelfde patroon zich op verschillende plekken herhaalt, zonder dat elke vestiging apart is bevraagd.
Als de gegevens per toepassing zijn verzameld — herkomst, gebruiksdoel, betrokken gegevens, beheerder, vestiging — kan de classificatie beginnen. Niet elke toepassing verdient dezelfde aandacht: een tool die interne notulen samenvat, weegt anders dan een systeem dat invloed heeft op klanten of medewerkers. Die weging hangt af van wat de toepassing doet, niet van hoeveel mensen hem gebruiken of wanneer hij is aangeschaft.
Deze inventarisatie is een doorlopend proces, geen momentopname. Vestigingen voegen toepassingen toe, leveranciers wijzigen functies, en wat vandaag ondersteunend is, kan morgen zelfstandig beslissen. Het overzicht dat u opbouwt, moet daarom herhaalbaar zijn: dezelfde vragen, dezelfde velden, elke keer opnieuw langs dezelfde vestigingen.
De Responsible AI Scan is bedoeld om deze inventarisatie te structureren: dezelfde vaste velden per toepassing, aangevuld met IT-signalen, inkoopgegevens en gesprekken met medewerkers, en uitkomend in een classificatie die aansluit op de bestaande risicostructuur van de organisatie. De scan is in aanbouw. Wie hiermee wil werken zodra hij beschikbaar is, kan zich aanmelden voor de wachtlijst.
Zodra duidelijk is welke toepassingen er per vestiging draaien en wat ze doen, ligt de volgende vraag voor de hand: welk deel van het werk dat deze toepassingen ondersteunen, is eigenlijk over te nemen door AI. Dat is een andere vraag dan governance — het gaat niet om risico en aantoonbaarheid, maar om taakinhoud. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk door AI over te nemen is, en sluit daarmee aan op het overzicht dat u met deze inventarisatie heeft opgebouwd.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.