In de bestuursvergadering van een woningcorporatie staan twee agendapunten achter elkaar. De IT-manager presenteert de Copilot-uitrol: driehonderd licenties, 38 procent wekelijks in gebruik, en een voorstel voor een campagne om dat omhoog te krijgen. Daarna presenteert de functionaris gegevensbescherming de AI-risico's: zes tools in gebruik waarover nooit iets is besloten, en een voorstel voor strenger beleid. Niemand aan tafel merkt dat het over dezelfde mensen gaat.
Meer AI-gebruik en minder risico zijn geen tegengestelde agenda's. Ze kijken naar dezelfde waarneming: welke tools worden echt gebruikt, en loopt dat gebruik via de tools waarover de organisatie iets heeft besloten. Een licentie die niemand gebruikt en een tool die niemand kent zijn twee kanten van één probleem. Het besluit en de praktijk lopen niet gelijk.
Waarom lijken het twee agenda's?
Omdat ze bij verschillende mensen liggen en een andere taal spreken. De gebruikskant hoort bij IT en de directie: er is geld uitgegeven, en de vraag is of het werk er anders van wordt. De risicokant heet shadow AI en hoort bij de privacyfunctionaris en de CISO: er gaan klantgegevens door tools waarvan niemand de voorwaarden kent.
De eerste kant wil het getal omhoog, de tweede wil het omlaag. Zo lijkt het tenminste. Maar het getal dat IT omhoog wil hebben is het gebruik van de toegestane route, en het getal dat de FG omlaag wil hebben is het gebruik buiten die route. Dat is één verdeling, van twee kanten bekeken. Wat AI-governance is voor het dagelijkse gebruik begint bij die ene verdeling: welke tools worden gebruikt, en wat is daarover besloten.
Wat hebben een ongebruikte licentie en een onbekende tool gemeen?
Beide laten zien dat het besluit en de praktijk uit elkaar lopen.
De ongebruikte licentie zegt: wij hebben besloten dat dit de route is, en de helft van de organisatie loopt er niet over. Misschien omdat de tool niet doet wat mensen nodig hebben, misschien omdat niemand weet dat hij er is, misschien omdat het werk van die afdeling geen AI nodig heeft. Het getal zegt niet welke van de drie.
De onbekende tool zegt het omgekeerde: wij hebben hier niets over besloten, en mensen gebruiken het toch. Dat is zelden onwil. Iemand had een presentatie nodig, een vertaling, een samenvatting van een lang document, en pakte de tool die dat het snelst deed. Waarom medewerkers naast Copilot andere tools gebruiken is meestal een vraag over wat Copilot voor die taak niet doet.
Zet ze naast elkaar en het verschil valt weg. In beide gevallen is er werk dat mensen met AI willen doen, en een besluit dat daar niet bij aansluit. De gebruikskant noemt dat een gebruiksprobleem, de risicokant een governanceprobleem. Het is dezelfde afstand.
| Waarneming | Wat de gebruikskant erin ziet | Wat de risicokant erin ziet |
|---|---|---|
| 38 procent gebruikt de ingekochte tool | Te weinig rendement op de licenties | Waar doen de andere 62 procent hun AI-werk? |
| Zes tools zonder besluit in gebruik | Mensen zoeken zelf wat werkt | Onbekende voorwaarden, geen verwerkersovereenkomst |
| Een vertaaltool die dagelijks wordt geopend | Een behoefte die de voorkeursroute niet dekt | Klantbrieven in een tool zonder besluit |
| Aandeel gebruik via toegestane tools stijgt | De campagne werkt | Het beleid landt |
De laatste rij is de interessante. Als het aandeel via toegestane tools stijgt, zijn beide agenda's tevreden, en het is één getal.
Hoe ziet dat eruit bij de woningcorporatie?
Na de vergadering leggen de IT-manager en de FG hun cijfers naast elkaar. Van de zes tools zonder besluit vertellen er twee het verhaal: een vertaaltool die in het klantcontactcentrum dagelijks wordt geopend, en een tool die lange beleidsnota's samenvat, in gebruik bij drie afdelingen. Copilot kan beide taken, maar niemand heeft dat ooit zo gezegd, en de medewerkers hadden de andere tools al open staan voordat de licenties kwamen.
Dat is geen incident. Het laat zien waar het werk zit dat mensen met AI willen doen, en dat het besluit daar nog niet over ging. De corporatie doet drie dingen tegelijk. Over de vertaaltool wordt besloten, want daar gaan brieven met namen en adressen doorheen: niet toegestaan, met Copilot als aangewezen alternatief. Over de samenvattool ook: beperkt toegestaan, alleen met openbare nota's. En de campagne van IT krijgt een andere inhoud. Niet "gebruik Copilot meer", maar "voor vertalen en samenvatten is dit de route", op het moment dat iemand een van die tools opent.
Drie maanden later is het aandeel via toegestane tools gestegen van 54 naar 71 procent. De FG en de IT-manager presenteren het als één agendapunt.
Welke cijfers dienen beide kanten?
Dezelfde, en dat is het punt. Het aandeel van het AI-gebruik dat via toegestane tools loopt, met de trend. Het aantal tools met echt gebruik waarover nog geen besluit is genomen. Hoe vaak een melding bij een niet-toegestane tool werd getoond en hoe vaak iemand daarna het alternatief koos. En waarvoor AI wordt ingezet, want dat zegt waar training en afspraken het meest opleveren. Welke cijfers er verder iets zeggen, en waarom het aantal prompts dat niet doet, staat in AI-gebruik meten.
Geen van die cijfers heeft een naam nodig. Dat is geen bijzaak. De gebruikskant heeft er belang bij dat mensen niet naar hun privételefoon uitwijken, en de risicokant heeft er belang bij dat de meting geen medewerkersmonitoring wordt. Het onderzoek van KPMG en de Universiteit van Melbourne (2025, onder 48.000 werkenden in 47 landen) vond dat 57 procent van de werkenden AI-gebruik verborgen houdt voor de werkgever. Wie per persoon gaat meten, maakt dat percentage groter en zijn eigen cijfers slechter.
Zo ziet het register eruit waar beide kanten naar kijken: per tool het waargenomen gebruik en het besluit dat de organisatie heeft vastgelegd.
