Bij een woningcorporatie staat in de agenda van de IT-beheerder een herinnering: herbeoordeling AI-register. Hij opent de spreadsheet. De laatste wijziging is van acht maanden geleden, door een collega die inmiddels weg is. In de tussentijd is de vergadertool gesprekken gaan samenvatten, en niemand heeft daar een regel voor toegevoegd.
Zo veroudert een register: niet op de dag dat je hem opstelt, maar op de dag dat er iets verandert bij een leverancier of op de werkvloer. Actueel houden vraagt daarom drie dingen. Aanleidingen die een herbeoordeling afdwingen, een ritme als vangnet, en een tweede bron die de tools aanlevert die niemand heeft gemeld. Welke velden een regel heeft, staat in AI-register: wat is het en wat leg je erin vast; dit stuk gaat over wat er daarna komt.
Welke aanleidingen dwingen een herbeoordeling af?
Een herbeoordelingsdatum in de regel is een vangnet. De echte beweging komt van buiten de agenda, en die beweging heeft vijf vormen.
| Aanleiding | Wat er verandert | Wat je nakijkt |
|---|---|---|
| Nieuwe functie bij de leverancier | De tool kan ineens documenten lezen, gesprekken opnemen of het web doorzoeken | Gegevensgebruik en doel; of de voorwaarde bij "beperkt toegestaan" nog klopt |
| Overname of gewijzigde voorwaarden | Andere eigenaar, andere jurisdictie, andere subverwerkers, ander trainingsbeleid | Leverancier, verwerkersovereenkomst, waar de verwerking draait |
| Incident bij de leverancier | Een datalek, een lek in de deelfunctie, een toezichthouder die ingrijpt | Of het besluit standhoudt, en of medewerkers iets moeten doen |
| Nieuw gebruik in de organisatie | Een andere afdeling, een ander doel, andere gegevens | Of dit een nieuwe regel is, en wie de eigenaar wordt |
| Ander accounttype | Van gratis naar zakelijk, of andersom | Verwerkersovereenkomst, training, beheer; meestal een aparte regel |
De eerste is de stilste. Er is geen aanvraag en geen factuur; de leverancier zet een functie aan en de regel in het register beschrijft de tool nog zoals hij twee jaar geleden was. Waarom dat structureel is, staat in waarom een AI-toolcatalogus veroudert zodra je hem afdrukt. De vierde is de aanleiding die het vaakst wordt gemist, omdat de tool al in het register staat. Copilot voor interne memo's en Copilot voor gespreksverslagen bij HR zijn dezelfde tool en twee regels.
Welk ritme is werkbaar?
Niet één jaarlijkse ronde van zes weken. Die levert een lijst op die op de dag van oplevering al achterloopt, en het jaar erna doet niemand hem nog een keer.
Werkbaar is dit. Elke regel krijgt een herbeoordelingsdatum die de eigenaar zelf zet, naar risico: een vertaaltool voor openbare teksten kan een jaar mee, een transcriptietool bij HR eerder een half jaar. Daarbovenop twee vaste momenten. Elk kwartaal de regels met "nog geen besluit" en "beperkt toegestaan", de eerste omdat ze werkvoorraad zijn, de tweede omdat een voorwaarde sneller veroudert dan een ja of een nee. En één keer per jaar alles.
Per regel is dat een half uur: kloppen leverancier, gegevensgebruik en doel nog, en staat de datum opnieuw. Als het zo klein blijft, blijft het bij.
Waarom loopt een bijgewerkt register toch achter?
Omdat een register alleen weet wat iemand heeft gemeld. Elke regel is ooit begonnen met een aanvraag, een factuur of een vraag aan de servicedesk. Wat zonder aanvraag begint, komt er niet in, en dat is het meeste. In het onderzoek van KPMG en de University of Melbourne onder 48.000 werkenden in 47 landen (2025) zegt 57 procent AI-gebruik verborgen te houden voor de werkgever. Niet uit onwil; de tool deed het werk en niemand had ernaar gevraagd.
Een mbo-instelling heeft een register van negen regels, allemaal met een herbeoordelingsdatum. Bij een eerste meting van welke AI-diensten er in de browser worden geopend, verschijnen er veertien. De vijf extra: Perplexity, een tool die toetsvragen genereert, een presentatietool met AI, een transcriptietool die een docent zelf betaalt, en de gratis versie van ChatGPT naast de zakelijke. Geen van de vijf is een incident, want over geen van de vijf was iets besloten. Het register was actueel, voor de negen regels die het kende.
Wat is het verschil tussen bijwerken en gevoed worden?
Een register dat je bijwerkt, verandert als iemand eraan denkt. Een register dat gevoed wordt, krijgt nieuwe regels uit wat er feitelijk gebeurt: een AI-tool die in de organisatie wordt geopend en nog geen besluit heeft, verschijnt vanzelf, met de datum waarop hij voor het eerst is gezien. Het werk verschuift van zoeken naar beslissen.
Dat vraagt geen toezicht op personen. Voor de vraag of een tool een besluit nodig heeft, is het domein van de dienst genoeg: dat er in de organisatie een AI-tool is geopend, welke, en hoe vaak. Welke methoden dat wel en niet zien, staat in hoe ontdek je welke AI-tools medewerkers echt gebruiken.
BeeSensible meldt vanuit de browserextensie alleen het domein van een geopende AI-tool, hooguit één keer per dag per apparaat, zonder gebruikers-id en zonder inhoud. Nieuw ontdekte tools zonder besluit staan in de inbox van het dashboard, en een beheerder legt daar de status vast, ook voor meerdere tools tegelijk. De catalogus van 865 tools wordt doorlopend bijgehouden; tools die er recent aan zijn toegevoegd dragen dertig dagen het label "Nieuw". Wat de AI-toolsmodule daarbij per tool laat zien, staat hieronder.
