Schaduw-AI: welke tools gebruikt uw team?

Maak het doel concreet: vaststellen welke AI-toepassingen worden gebruikt voor werk, welke gegevens daarin terechtkomen en welke beoordeling ontbreekt. Communiceer wie de antwoorden bekijkt en hoe opvolging plaatsvindt. Vraag teams naar taken waarvoor zij nog geen goedgekeurde oplossing hebben. Daarmee ontdekt u waarom onbekend gebruik ontstaat. Een medewerker die een privétool inzet omdat een werkvoorziening ontbreekt, levert ook informatie over een organisatorisch knelpunt.

Als u technische gebruiksgegevens wilt onderzoeken, beoordeel dan vooraf noodzaak, grondslag, proportionaliteit en informatie aan medewerkers. Betrek de ondernemingsraad waar de regeling onder het instemmingsrecht valt. Een inventarisatie is geen vrijbrief voor permanente individuele observatie. Begin waar mogelijk met gegevens op applicatie- of teamniveau en gerichte uitleg. Onderzoek pas aanvullende gegevens wanneer daarvoor een concrete, zorgvuldig beoordeelde reden bestaat.

Combineer een korte vragenlijst met gesprekken en bestaande inkoopinformatie. Bespreek ook AI-functies in bekende software, notuleerassistenten, browseruitbreidingen en koppelingen die bestanden kunnen lezen. Vraag welk account wordt gebruikt en of de functie door de organisatie is ingesteld. Een betaalde dienst kan buiten centraal beheer vallen; een functie binnen bestaande software kan juist nieuwe gegevensstromen toevoegen. Beide vragen om inhoudelijk inzicht.

Beperk de eerste ronde tot wat u nodig heeft om gebruik te herkennen. Laat medewerkers geen echte prompts met klantgegevens of volledige dossiers uploaden als bewijs. Een fictief voorbeeld, een beschrijving van gegevenscategorieën en de naam van de functie zijn vaak genoeg voor de eerste beoordeling. Bespreek ontbrekende details vervolgens met de toepassingsverantwoordelijke. Zo wordt de inventarisatie zelf geen nieuwe verzameling gevoelige informatie.

Leg doel, team, gegevens, accounttype, koppelingen en ontvangers van de uitkomst vast. Noteer ook of de uitkomst een concept is of rechtstreeks een proces aanstuurt. Vermeld welke informatie nog onbekend is. Een lege cel en een bevestigd afwezig risico betekenen iets anders. Koppel bestaande contracten en beoordelingen via een verwijzing; kopieer niet alle documenten naar een tweede archief dat later uit de pas loopt.

Geef ieder item een status met een duidelijke betekenis. ‘In onderzoek’ moet bijvoorbeeld een eigenaar en eerstvolgende vraag hebben. ‘Toegestaan onder voorwaarden’ moet verwijzen naar de concrete grenzen. Vermijd een status ‘veilig’ zonder uitleg. Goedkeuring voor openbare marketingteksten zegt niets over personeelsdossiers. De tabel hieronder is een organisatorisch voorbeeld; de beoordeling van wettelijke verplichtingen blijft afhankelijk van het werkelijke gebruik.

De tabel is opzij te schuiven.

Illustratief voorbeeld: een medewerker meldt dat een browseruitbreiding klantgesprekken samenvat. Het team dacht dat de functie bij de bestaande software hoorde. Uit het gesprek blijkt dat de uitbreiding met een apart account werkt en transcripties bewaart. De proceseigenaar laat verder gebruik beoordelen, schakelt privacy en beveiliging in en verzamelt feitelijke informatie over welke gegevens waar terecht zijn gekomen. Dat onderzoek staat naast de reguliere inventarisatie.

Geef medewerkers voor zulke signalen een duidelijke meldroute. Laat hen niet op eigen initiatief alle sporen verwijderen of uitgebreide onderzoeken doen. De verantwoordelijke collega bepaalt welke informatie nodig is, welke toegang moet worden beperkt en hoe verdere verwerking wordt voorkomen. Een datalekbeoordeling en eventuele meldverplichtingen volgen hun eigen proces. De inventarisatie hoeft niet te wachten tot alle incidentvragen zijn opgelost, zolang verantwoordelijkheden helder blijven.

Bespreek per veelvoorkomende taak of een goedgekeurde omgeving bestaat, welke inrichting ontbreekt en wie een besluit neemt. Als een toepassing wordt beëindigd, regel dan ook hoe het werk verdergaat en wat met bestaande bestanden moet gebeuren. Een verbod zonder uitvoerbaar alternatief kan hetzelfde gebruik naar een minder zichtbare plek verplaatsen. Zet vragen die meerdere teams hebben om in een gezamenlijke instructie of gerichte online oefensessie.

Maak actualisering onderdeel van bestaande momenten: software-inkoop, nieuwe koppelingen, gewijzigde functies en periodiek teamoverleg. Vraag daarbij vooral wat is veranderd. Benoem één beheerder voor het overzicht en inhoudelijke eigenaren voor toepassingen. Laat een steekproef zien of de geregistreerde grenzen nog overeenkomen met het werk. Het doel is blijvend zicht op relevante keuzes, met zo weinig mogelijk afzonderlijke administratie voor medewerkers.