IT-systemen registreren gedrag, niet intentie. Dat maakt ze een bruikbaar startpunt voor een inventaris, en tegelijk een onvolledige bron. Wie een overzicht wil opbouwen van de AI die daadwerkelijk wordt gebruikt, moet weten welke signalen iets zeggen en welke een vals gevoel van volledigheid geven.
Verkeer naar domeinen van AI-aanbieders is meestal het meest concrete signaal dat beschikbaar is. Een firewall of proxy registreert welke domeinen worden benaderd, vanaf welk apparaat, en met welke frequentie. Dit toont gebruik dat niemand hoefde te melden. Het toont niet wat er in die interactie gebeurde: welke gegevens werden ingevoerd, voor welke taak, met welk resultaat. Verkeer naar een chatbot-domein kan een eenmalige test zijn of een dagelijkse werkroutine. Zonder aanvullende context blijft dat onderscheid onzichtbaar.
Facturen, abonnementen en creditcardafschrijvingen laten zien welke tools formeel zijn aangeschaft, vaak buiten de officiƫle IT-inkoop om. Een team dat een abonnement afsluit met een bedrijfskaart, laat een spoor achter dat inkoop of finance kan terugvinden. Dit signaal is betrouwbaar voor wat er is aangeschaft, maar zegt niets over gratis tools, proefversies of persoonlijke accounts die voor werk worden gebruikt. Meer over wat dit spoor concreet oplevert staat beschreven op de pagina over inkoop- en licentiesporen als bron voor een AI-inventaris.
Single sign-on-platforms en identity providers registreren welke applicaties met een bedrijfsaccount zijn gekoppeld. Dit signaal vangt tools die via OAuth toegang kregen tot bijvoorbeeld een e-mailaccount of documentenomgeving. Het is een van de weinige bronnen die ook toont welke rechten een tool heeft gekregen, niet alleen dat hij is gebruikt. De beperking: tools die zonder koppeling worden gebruikt, via een browser en een los account, blijven hierbuiten.
Software die op laptops en werkstations is geïnstalleerd, is doorgaans zichtbaar via het beheerplatform dat IT gebruikt voor patches en updates. Dit toont geïnstalleerde AI-tools, maar mist alles wat via een webbrowser draait zonder installatie. Voor de meeste AI-toepassingen die vandaag worden gebruikt, is dat een substantieel deel van het totaal.
In organisaties waar ontwikkelaars werken, is het gebruik van AI-modellen via API's een apart spoor. Beheerplatformen van cloudleveranciers en API-gateways registreren welke sleutels actief zijn en welk volume ze verwerken. Dit signaal is vaak het meest onderschat: een los script dat een model aanroept voor een interne taak, valt buiten elk gesprek over "AI-tools" omdat het niemand als zodanig herkent.
Elk van deze bronnen toont een deel van het gedrag, geregistreerd door een systeem dat daarvoor niet is ontworpen. Geen van deze signalen legt vast waarom een tool wordt gebruikt, voor welke taak, met welk type gegevens, of wie er verantwoordelijk voor is. Dat is de reden waarom een inventaris die alleen op techniek steunt, een vertekend beeld geeft. Waarom de lijst die IT aanlevert structureel niet overeenkomt met wat er werkelijk wordt gebruikt, staat toegelicht op de pagina over waarom de IT-lijst niet klopt.
Technische signalen zijn een aanleiding om te vragen, niet een vervanging voor het vragen zelf. Een medewerker die een tool gebruikt om conceptteksten te maken, een analyse te versnellen of code te controleren, weet dingen die geen log vastlegt: waarom hij die tool koos, wat hij ermee doet, en wat hij zou missen als het werd afgesloten. Dat gesprek levert alleen iets op als het zonder afrekening wordt gevoerd. Hoe dat in de praktijk wordt aangepakt, staat op de pagina over vragen stellen zonder dat het als verantwoording voelt.
De waarde van netwerkdata, inkoopsporen, identity-logs en gesprekken met medewerkers ontstaat pas wanneer ze samen worden gelegd in een vaste structuur: welke toepassing, welke rol, welk risiconiveau, welke eigenaar. Zonder die structuur blijft het een verzameling losse waarnemingen. Hoe die opbouw stap voor stap verloopt, staat beschreven op de pagina over het opbouwen van een AI-inventaris, en wat er precies per toepassing moet worden vastgelegd staat op de pagina over de vastleggingsvelden per AI-toepassing.
Een volledig overzicht van welke AI wordt gebruikt, beantwoordt de vraag naar overzicht en risico. Het beantwoordt niet de vraag hoeveel van het werk zelf door AI is over te nemen, en waar dat per taak concreet uitpakt. Zodra duidelijk is welke tools in welke rol worden ingezet, ligt die vervolgvraag voor de hand. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk door AI over te nemen is, als aanvulling op het overzicht dat de Responsible AI Scan oplevert.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.