De CISO van een gemeente wil weten of het AI-beleid werkt. Copilot is de voorkeursroute, dat is een jaar geleden besloten, en hij wil zien of mensen die route ook nemen. De FG hoort het plan en zegt één ding: niet per persoon. De voorzitter van de OR stelt dezelfde week de vraag die elke OR stelt: zien jullie straks wat ik doe?
Alle drie hebben gelijk, en ze hebben elkaar niet in de weg. De vraag van de CISO gaat over tools en over de organisatie: welke worden geopend, hoe vaak, en loopt het gebruik via de aangewezen route. Die vraag is te beantwoorden met tellingen, zonder dat er iemand in de data voorkomt. Dat is wat AI-governance zonder medewerkers te monitoren betekent: je meet het gebruik, niet de mensen, en je richt het zo in dat die grens niet afhangt van goede bedoelingen.
Wat is het verschil tussen inzicht in gebruik en toezicht op personen?
Inzicht in gebruik zegt: deze dienst is deze maand driehonderd keer geopend in de organisatie, en over deze dienst is nog geen besluit genomen. Toezicht op personen zegt: deze medewerker opende deze dienst op deze momenten. De twee kunnen uit dezelfde waarneming komen. Het verschil is één veld, en dat veld bepaalt of je een verwerking over medewerkers hebt, welke bewaartermijn logisch is, of de ondernemingsraad instemmingsrecht heeft, en of mensen de meting gaan omzeilen. Hoe dat ene veld werkt, staat uitgewerkt in AI-monitoring versus medewerkersmonitoring.
Toezicht is niet verboden. Een werkgever mag onder voorwaarden controleren, met een doel, niet verder dan nodig en vooraf uitgelegd; wat daarbij komt kijken staat in mag mijn werkgever controleren of ik AI gebruik. Het punt hier is een ander: voor de governancevraag heb je dat toezicht niet nodig, dus hoef je de voorwaarden ervan ook niet te dragen.
Waarom volstaan geaggregeerde cijfers?
Omdat een besluit over een tool niet beter wordt van een naam. Loop de vragen langs die een organisatie stelt als ze het dagelijkse AI-gebruik wil besturen, zoals wat is AI-governance ze uitwerkt.
Welke tools zijn in gebruik? Een lijst met domeinen en een telling. Waarover is nog geen besluit genomen? Diezelfde lijst naast het register. Welke gevoelige gegevens komen langs? Tellingen per gegevenstype en per app, zonder de tekst zelf. Weten mensen wat er is besloten? Het aantal meldingen en wat erna gebeurde. Loopt het gebruik via de aangewezen route? Het aandeel via toegestane tools, met de trend. Kun je dat aantonen? Diezelfde cijfers, gekoppeld aan een maatregel.
Geen van die zes heeft een persoon nodig. Of de transcriptietool een besluit nodig heeft, hangt af van wat hij verwerkt en hoe breed hij wordt gebruikt, niet van wie hem opende. Welke cijfers daaruit een bestuur echt iets vertellen, staat in AI-gebruik meten; welke velden je daarvoor minimaal nodig hebt in welke gegevens heb je echt nodig om AI-gebruik te meten.
Eén vraag vraagt wel om een persoon: wie deed dit, bij een concreet incident. Dat is een onderzoeksvraag met een eigen procedure en een eigen grondslag, en hij hoort niet in de meting te zitten. Wie de meting alvast op dat onderzoek inricht, maakt van elke telling een potentieel dossier.
Wat leg je vast voordat je meet?
Het doel. De AVG vraagt in artikel 5 dat persoonsgegevens voor een vooraf bepaald en omschreven doel worden verzameld en niet verder worden verwerkt op een manier die daarmee onverenigbaar is. Een telling zonder gebruikers-id valt daar op de server grotendeels buiten, maar het principe is ook zonder de wet verstandig: een meting met een doel op papier kan later niet stilzwijgend iets anders worden.
Schrijf het doel in één zin die geen middel bevat. "Weten welke AI-tools in gebruik zijn en of het gebruik via toegestane tools loopt, zodat we per tool kunnen besluiten" is een doel. "Zicht op wat medewerkers doen" is dat niet. Schrijf er ook bij wat de cijfers niet mogen worden: een middel om iemand aan te spreken, of een bron voor een beoordeling.
Daar hoort een grondslag bij, en voor de meeste organisaties een korte afweging in drie stappen. Hoe die gaat, en waarom toestemming van medewerkers het zelden is, staat in AI-governance, de AVG en het gerechtvaardigd belang.
Waar houdt aggregatie op te beschermen?
Bij kleine groepen. Een telling zonder id kan toch iemand aanwijzen als de groep klein genoeg is. "Eén persoon opent dagelijks een transcriptietool" is in een organisatie van vierhonderd een anoniem cijfer en in een team van drie een naam. Het id ontbreekt in beide gevallen; wat verschilt is de groep waarover wordt geteld.
Dat is de reden om twee dingen te doen. Cijfers op organisatieniveau als standaard, en bij elke uitsplitsing een ondergrens in aantal mensen en in aantal dagen. De dagen zijn net zo belangrijk als de mensen: een afdeling van twintig waarvan er op één dag één iemand werkte, is die ene dag ook een persoon.
Het is ook de reden om eerlijk te zijn over wat aggregatie belooft. Geen gebruikers-id in de data is een structurele waarborg: er is niets dat een export, een gewijzigde instelling of een supportverzoek alsnog per persoon kan laten zien, want het veld bestaat niet. Maar "nooit herleidbaar" is een belofte die geen enkele telling kan waarmaken, omdat herleidbaarheid ook uit de context komt. Zeg daarom tegen medewerkers en de OR wat er structureel niet wordt vastgelegd en welke ondergrens geldt, en zeg niet meer dan dat.
Zo zien de vijf keuzes er naast elkaar uit, met de plek waar elke keuze zit:
| Ontwerpkeuze | Wat hij voorkomt | Waar hij zit |
|---|---|---|
| Het doel vooraf, in één zin zonder middel | Dat de cijfers later een ander doel krijgen | Afspraak, op papier |
| Alleen domein, dag, aantal en categorie | Dat de meting meer zegt dan de vraag | Ontwerp van de meting |
| Geen gebruikers-id, geen inhoud, geen pad | Dat een export of instelling alsnog per persoon toont | Techniek, in de gegevensstroom |
| Ondergrens voor uitsplitsingen, standaard uit | Dat een kleine groep een persoon wordt | Instelling, vastgelegd in de regeling |
| Het ontwerp voorleggen aan de OR | Dat de grens afhangt van wie er toevallig beheerder is | Medezeggenschap, met de instellingen erbij |
De derde rij is de enige die niet terug te draaien is met een klik. Dat is geen toeval: de keuzes die in de techniek zitten, hoef je niet elk kwartaal opnieuw te bewaken.
Wat is de rol van de ondernemingsraad?
De Wet op de ondernemingsraden geeft de OR in artikel 27 instemmingsrecht bij regelingen over het verwerken van persoonsgegevens van medewerkers en bij voorzieningen die gericht zijn op of geschikt zijn voor het waarnemen van gedrag of prestaties. Een meting per persoon valt daar zonder discussie onder. Een telling zonder id is minder eenduidig, en de verstandige route is om haar toch als regeling voor te leggen. Wanneer dat wel en niet moet, en wat er in zo'n regeling hoort, staat in wanneer moet de ondernemingsraad betrokken worden bij AI.
Voor dit artikel is één ding van belang: wat de OR te zien krijgt. Niet een belofte dat privacy wordt gerespecteerd, maar het ontwerp. Welke velden, of er een id aan hangt, wie het dashboard ziet, en welke instellingen vaststaan. Een OR die dat heeft gezien, is later de beste bewaker van de grens, omdat elke wijziging van die instellingen terug naar tafel gaat.
Hoe ziet dat eruit in de praktijk?
De gemeente richt de meting in op domein, dag en telling, zet inzicht per afdeling uit, schrijft het doel op en legt het geheel voor aan de OR. Na zes weken ziet het beeld er zo uit. Copilot wordt het meest geopend, zoals gehoopt. ChatGPT en Perplexity komen dagelijks voor. En er staan drie tools tussen die in geen enkel overzicht voorkwamen: een tool die raadsstukken samenvat, een vertaaltool en een transcriptietool voor vergaderingen. Over twee daarvan is nog geen besluit genomen, omdat niemand wist dat ze bestonden.
Dat is geen incident. Het is wat een eenmalige inventarisatie altijd mist, en het is werk voor de CISO en de FG samen: de samenvattool krijgt raadsstukken te zien die soms nog niet openbaar zijn, dus daar komt een besluit; de transcriptietool verwerkt stemmen en namen, dus daar ook. Niemand heeft hoeven weten wie ze opende.
Dan komt de vraag die altijd komt, na de eerste bestuursrapportage: kunnen we dit ook per team zien, want dan weten we waar de uitleg heen moet? Het antwoord is niet nee. Het antwoord is: dat is een wijziging van de regeling, met een ondergrens van vijf mensen en zeven dagen, en die gaat eerst langs de OR. Zo blijft de grens een besluit van de organisatie in plaats van een instelling die iemand op een dinsdagmiddag omzet.
Hoe dwingt het ontwerp van BeeSensible dit af?
Door de keuzes uit de tabel in de techniek te leggen waar dat kan. De extensie merkt op wanneer iemand een AI-tool opent en meldt alleen het registreerbare domein, hooguit één keer per dag per apparaat, zonder gebruikers-id, zonder pad en zonder pagina-inhoud. Hoe vaak iemand AI gebruikt (dagelijks, wekelijks, af en toe) wordt op het apparaat zelf bepaald en één keer per maand als anonieme telling per categorie gemeld. Opent iemand een tool waarover iets is besloten, dan verschijnt dat besluit in de browser, met het goedgekeurde alternatief als eerste knop, en doorgaan kan altijd; wat er daarna gebeurde wordt geteld per tool, zonder id. Markeringen van gevoelige gegevens tellen mee met hun afloop, ook zonder id; hooguit wordt er aan de serverkant een afdeling bij gestempeld.
Het dashboard leest dat als cijfers over de organisatie, en kent nergens een uitsplitsing per medewerker. Inzicht per afdeling staat standaard uit; wie het aanzet, ziet een afdeling pas vanaf vijf personen en zeven dagen, en kleinere afdelingen vallen samen in "Overig". De verantwoordingsweergave koppelt diezelfde cijfers aan maatregelen per kader, met een eerlijke status "Niet onderbouwd" waar de cijfers een maatregel niet dragen.
