Een training
Maakt mensen bewust op de dag zelf.
Kennis is geen garantie voor gedrag. Een markering op het moment dat het BSN in het tekstvak staat helpt wel op dat moment.
AI governance software Nederland
AI governance software uit Nederland: zicht op AI-gebruik, zonder toezicht op mensen.
AI governance software helpt een organisatie om AI-gebruik verantwoord en aantoonbaar te houden. Voor een Nederlandse organisatie komen daar eigen vragen bij: is de meting te verantwoorden onder de AVG, valt de voorziening onder het instemmingsrecht van de ondernemingsraad, waar worden de gegevens verwerkt, en herkent de detectie een BSN of een IBAN als het erop aankomt. BeeSensible wordt in Nederland gemaakt en is op die vragen gebouwd. Het laat zien welke AI-tools in gebruik zijn, legt per tool een besluit vast, toont dat besluit op het werkmoment en onderbouwt met cijfers zonder gebruikers-id, verwerkt op eigen servers bij Europese aanbieders.
app.beesensible.eu/shadow-ai/risk
AI-tools in gebruik
7
Nieuw ontdekt
2
Het probleem
Iedereen gebruikt AI. De vraag is of je dat mag meten, en hoe.
De meeste organisaties hebben een AI-beleid en een tool die is ingekocht. Wat ontbreekt is zicht op wat er daarnaast gebeurt, op een manier die de functionaris gegevensbescherming en de ondernemingsraad kunnen dragen. Veel software in deze categorie is gebouwd op een overzicht per medewerker, bij een aanbieder onder Amerikaans recht. In Nederland begint daar het bezwaar.
Meten lijkt al snel op controleren
Veel tools beantwoorden de vraag "welke AI is in gebruik" met een lijst per persoon. Dat is een voorziening die geschikt is voor toezicht, en daarmee een onderwerp voor de OR en een verwerking die je onder de AVG moet kunnen verantwoorden.
De gegevens gaan twee keer de grens over
Een prompt met een BSN of een cliëntnaam die in een Amerikaanse AI-tool belandt is één probleem. Governance-software die diezelfde prompt opslaat bij een Amerikaanse aanbieder is een tweede.
Het besluit haalt het tekstvak niet
Een beleid op intranet helpt niet op het moment dat iemand met een deadline een tool opent. En wie een BSN in een prompt plakt, doet dat uit haast, niet uit onwil.
Functies
Wat je van Nederlandse AI governance software mag verwachten.
Dezelfde functies als in de brede categorie, met daarbij de vragen die in Nederland extra tellen. Per rij wat BeeSensible wel, deels en niet doet.
| Functie | Wat het doet | BeeSensible |
|---|---|---|
| AI-tools ontdekken | Zien welke AI-diensten in de organisatie worden geopend, ook de tools die niemand heeft aangevraagd. | Ja Via de browserextensie, alleen het domein, hooguit één keer per dag per apparaat, zonder gebruikers-id. |
| Beleid vastleggen per tool | Per tool een besluit: toegestaan, beperkt toegestaan, niet toegestaan of nog geen besluit. | Ja Alles begint op "nog geen besluit". De risicoscore uit de catalogus van 865 tools is advies; de organisatie kiest. |
| Melding op het werkmoment, in het Nederlands | Het besluit tonen op het moment dat iemand een tool opent, met het toegestane alternatief voorop. | Ja Een melding in de browser, in het Nederlands of het Engels. Doorgaan kan altijd. |
| Nederlandse gegevenstypen markeren | BSN, IBAN, telefoonnummers, namen, adressen en medische gegevens markeren terwijl iemand typt. | Ja In Nederlandse en Engelse tekst, in de apps waarin je al werkt. Welke typen waar gemarkeerd worden bepaal je per detectieprofiel. |
| Verwerking in Europa | Weten waar getypte tekst heen gaat, wie de servers bezit en onder welk recht dat valt. | Ja Eigen servers bij Scaleway in Amsterdam en Hetzner in Duitsland: Europese bedrijven, ISO 27001-gecertificeerde hosting. Tekst wordt in werkgeheugen verwerkt en meteen gewist. |
| Meting zonder profiel per medewerker | Weten hoeveel mensen AI gebruiken en met welke tools, zonder te weten wie. | Ja De cijfers over AI-gebruik bevatten geen gebruikers-id. Afdelingsinzicht pas vanaf 5 personen en 7 dagen. |
| Onderbouwing per kader | Cijfers koppelen aan maatregelen onder de AVG en NIS2, en laten zien welke maatregel niet onderbouwd is. | Ja De verantwoordingsweergave, per organisatie aan te zetten, met een eerlijke status "niet onderbouwd". |
| Stukken voor de FG en de OR | Documentatie waarmee de organisatie de verwerking kan beoordelen en aan de OR kan voorleggen. | Deels Verwerkersovereenkomst met elke klant, product-DPIA op verzoek, en documentatie van wat wel en niet wordt verwerkt. De DPIA voor jouw inzet en het gesprek met de OR blijven werk van de organisatie. |
| Overzicht per medewerker | Zien wie welke tool gebruikt en wat iemand typte. | Nee Bewust niet. Geen doorklik per persoon, geen inhoud, geen gebruikers-id in de stromen. |
| Blokkeren of afdwingen | Toegang tot een tool technisch onmogelijk maken of tekst automatisch aanpassen. | Nee Bewust niet. Het besluit wordt getoond, niet afgedwongen. De medewerker houdt de hand aan het toetsenbord. |
Wat het niet doet
Voor de FG en de OR is de grens net zo belangrijk als de functie.
Dit doet BeeSensible niet, en dat is een keuze die je aan de ondernemingsraad kunt voorleggen.
- Geen gebruikers-id in de cijfers over AI-gebruik. De organisatie ziet "drie mensen gebruiken dagelijks AI", nooit wie.
- Geen opslag van prompts of getypte tekst. Detectie in werkgeheugen, meteen gewist, zonder externe AI-dienst in de keten.
- Geen blokkade. Een besluit "niet toegestaan" wordt getoond; de medewerker kan door.
- Geen besluit namens de organisatie. Elke tool start op "nog geen besluit"; de risicoscore is advies.
- Geen afdelingscijfers onder de drempel van 5 personen en 7 dagen in de standaardmodus.
- Geen compliancegarantie en geen DPIA in jouw plaats. De cijfers onderbouwen maatregelen; de beoordeling blijft bij de verwerkingsverantwoordelijke.
- Geen modelvalidatie en geen conformiteitsbeoordeling van hoogrisicosystemen.
De aanpak
Zien, beslissen, helpen, onderbouwen. Met de OR en de FG vanaf het begin.
Vier stappen die elkaar opvolgen en daarna opnieuw beginnen. In Nederland begint de eerste stap vaak al voor de uitrol, bij de vraag wat er precies wordt verwerkt.
1 Zien
Welke AI er echt draait
Elke AI-tool die mensen openen komt in beeld, anoniem geteld. Leg vooraf aan de OR voor wat er wordt verwerkt: het domein van de tool, geen persoon, geen inhoud.
2 Beslissen
Een besluit per tool
Toegestaan, beperkt toegestaan met een eigen voorwaarde, niet toegestaan, of bewust nog geen besluit. De organisatie kiest; de catalogus met leverancier, land van verwerking en risicoscore helpt daarbij.
3 Helpen
Het besluit op het werkmoment
Opent iemand een tool waarover iets is besloten, dan ziet die persoon dat in de browser, met het alternatief voorop. Een BSN of IBAN in een prompt krijgt een markering terwijl iemand typt.
4 Onderbouwen
Wat er daarna gebeurde
Het aandeel AI-gebruik via toegestane tools, hoe vaak een melding werd gevolgd, en per maatregel onder de AVG of NIS2 of de cijfers hem dragen.
en opnieuw Zo werkt de cyclus
Waarom deze aanpak
Tegenover wat Nederlandse organisaties al hebben geprobeerd.
Training, medewerkersmonitoring, blokkeren en afwachten hebben elk een plek. Geen van de vier laat zien welke AI in gebruik is op een manier die de FG en de OR kunnen dragen.
Medewerkersmonitoring
Registreert per persoon wie welke tool gebruikt.
Een voorziening die geschikt is voor toezicht, dus een onderwerp voor de OR, en een verwerking die je onder de AVG moet verantwoorden. Niet nodig om organisatiebreed te zien wat er speelt.
AI blokkeren
Zet de bekende tools dicht.
Verplaatst het gebruik naar de telefoon en haalt het zicht weg. Het BSN gaat mee.
Niets doen
Vertrouwen op het beleid en de goede wil.
Werkt tot de eerste vraag van de FG, een klant of de Autoriteit Persoonsgegevens.
Veelgestelde vragen
Wat mensen vragen voordat ze kiezen.
Is BeeSensible Nederlands?
Ja. BeeSensible wordt in Nederland gemaakt, de detectie herkent Nederlandse en Engelse tekst, en de meldingen en het dashboard zijn in het Nederlands beschikbaar. De verwerking gebeurt op eigen servers bij Scaleway in Amsterdam en Hetzner in Duitsland.
Moet de ondernemingsraad instemmen?
Artikel 27 van de Wet op de ondernemingsraden geeft de OR instemmingsrecht bij een regeling voor voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op gedrag of prestaties van medewerkers. Of BeeSensible daaronder valt, beoordeelt de organisatie zelf, het liefst samen met de OR. Het ontwerp helpt bij dat gesprek: geen gebruikers-id in de cijfers over AI-gebruik, geen inhoud, geen doorklik per persoon. We raden aan de OR voor de uitrol te betrekken; de documentatie beschrijft precies wat wel en niet wordt verwerkt.
Hoe zit het met de AVG en de Autoriteit Persoonsgegevens?
De organisatie is verwerkingsverantwoordelijke, BeeSensible is verwerker, en met elke klant wordt een verwerkersovereenkomst gesloten. De product-DPIA is op verzoek beschikbaar. Wat BeeSensible bewaart zijn aantallen, typen, apps, tijdstippen en keuzes; getypte tekst wordt in werkgeheugen verwerkt en meteen gewist. Dat maakt dataminimalisatie en de verantwoordingsplicht concreet. De beoordeling of jouw inzet rechtmatig is, blijft bij de organisatie.
Herkent de detectie Nederlandse gegevens?
Ja. BSN en IBAN vallen onder de vaste regels, namen, adressen en medische gegevens onder de getrainde modellen, in Nederlandse en Engelse tekst. Welke typen waar gemarkeerd worden bepaal je per detectieprofiel, per app of per groep apps. Andere talen dan Nederlands en Engels worden niet ondersteund.
Waar worden de gegevens verwerkt?
Op eigen servers bij Scaleway in Amsterdam en, voor de modellen, bij Hetzner in Duitsland. Dat zijn Europese bedrijven, geen Europese regio's van een Amerikaanse cloud, en beide zijn ISO 27001-gecertificeerd. BeeSensible zelf heeft geen certificering. Wie de detectie liever op het apparaat zelf laat draaien, kan dat via de desktop-app; dat is een instelling per organisatie die we op verzoek aanzetten.
Volgt BeeSensible individuele medewerkers?
Nee. De cijfers over AI-gebruik bereiken de servers zonder gebruikers-id, dashboards tonen alleen aantallen, typen, apps en keuzes, en er is geen doorklik per persoon. Afdelingsinzicht is in de standaardmodus pas zichtbaar vanaf 5 personen en 7 dagen.
Verder lezen
De Nederlandse vragen, per stuk.
Zie binnen een dag welke AI-tools er in je organisatie draaien, zonder iemand te volgen.
Veertien dagen gratis, alle modules, geen creditcard. Wat je FG en OR willen weten staat in de documentatie, voordat je begint.
14 dagen gratis, geen creditcard. Binnen een uur uitgerold in je organisatie.
