Excel of een SharePoint-lijst
Een rij per tool, bijgehouden door wie er tijd voor heeft.
Beschrijft de dag dat de lijst werd gemaakt. Elke nieuwe tool moet iemand opmerken, opzoeken en invoeren.
AI-register
Een AI-register met de AI-tools die je organisatie echt gebruikt.
Een AI-register is een overzicht van de AI-tools die een organisatie gebruikt: per tool de leverancier, waar hij de gegevens verwerkt, hoe risicovol hij is, wat de organisatie heeft besloten en welke afspraken en documenten erbij horen. In Excel laat zo'n AI-register zien wat de organisatie kent. Wat echt wordt gebruikt is een andere lijst, en die is meestal langer. BeeSensible koppelt een catalogus van meer dan 1.000 beoordeelde AI-tools aan wat er in de browser echt wordt gebruikt. Elke tool die wordt gebruikt, verschijnt vanzelf in de Inbox, met de feiten erbij. Wat je toestaat, wordt meteen geregistreerd. Zo ontbreekt er in het AI-register geen tool die in gebruik is, en hoef je de lijst niet zelf bij elkaar te zoeken.
Liever eerst zelf proberen? 14 dagen gratis, geen creditcard.
app.beesensible.eu/register
Het probleem
Je AI-register is af. Hoe houd je het bij als er elke week tools bijkomen?
De meeste organisaties beginnen hun AI-register in een spreadsheet: een rij per tool, een kolom voor de leverancier, een voor het besluit. Dat werkt, tot de eerste vraag die de lijst niet kan beantwoorden: wat gebruiken mensen nog meer?
De lijst kent alleen wat is aangemeld
Een register vult zich met tools die iemand heeft aangevraagd of ingekocht. Het gratis account, de AI-functie in een bestaande tool en de dienst van vorige maand staan er niet in.
Elke rij vraagt onderzoek
Waar verwerkt de leverancier de gegevens, traint hij op invoer, is er een verwerkersovereenkomst, zijn er incidenten bekend? Per tool is dat een middag zoeken. Een jaar later is het antwoord verouderd.
Het besluit staat in de lijst, niet op de werkvloer
Een register beschrijft wat mag. Wie een tool opent, kijkt niet eerst in de spreadsheet. Het besluit bereikt de medewerker pas als het verschijnt op het moment dat iemand de tool opent.
Functies
Wat er in een AI-register moet staan, en wat BeeSensible daarvan doet.
Een AI-register is meer dan een lijst met namen. Dit zijn de onderdelen die erin horen, met per onderdeel wat BeeSensible wel, deels en niet doet.
| Functie | Wat het doet | BeeSensible |
|---|---|---|
| Tools ontdekken | Zien welke AI-diensten in de organisatie worden geopend, ook diensten die niemand heeft aangemeld. | Ja Via de browserextensie. Alleen het domein van de tool, zonder gebruikers-id. |
| Register gevuld vanuit gebruik | Tools die in de organisatie worden gebruikt verschijnen vanzelf in de Inbox; een tool die je toestaat krijgt meteen een registratie. | Ja Toestaan is registreren: een toegestane tool krijgt een eigen pagina in het AI-register. De catalogus van meer dan 1.000 AI-tools levert de achtergrondinformatie. |
| Leverancier en land per tool | Wie de leverancier is, in welk land hij zit, waar de hosting staat, of hij op invoer traint en of er een verwerkersovereenkomst is. | Ja Plus sector, categorie, toegangsmodel en certificeringen. De catalogus wordt doorlopend bijgehouden. |
| Risicobeoordeling | Per tool een score en een risiconiveau, als advies bij het besluit. | Ja Zes gewogen dimensies, score tot 100, niveaus Laag, Middel, Hoog en Kritiek. Bekende incidenten staan erbij, met bron. |
| Besluit per tool | Vastleggen wat de organisatie heeft besloten: toegestaan, beperkt toegestaan, niet toegestaan of nog geen besluit. | Ja Alles begint op "nog geen besluit". Niets staat voorgeselecteerd; BeeSensible beslist nooit zelf. |
| Inbox met nieuwe tools | Nieuw ontdekte tools die nog een besluit missen, in één lijst. | Ja Met een teller in de navigatie en elke ochtend een mail als er nieuwe tools zijn. Eén tool per keer; toestaan opent de registratie. |
| Eigen tools toevoegen | Een intern of zelfgebouwd AI-systeem opnemen dat niet in de catalogus staat. | Ja Met dezelfde velden als de rest. Daarna kun je de tool kiezen als alternatief in een melding. |
| Verantwoordelijken, toepassingen, documenten en herbeoordeling | Per tool vastleggen wie verantwoordelijk is, waarvoor de tool wordt ingezet, welke documenten erbij horen en wanneer het besluit opnieuw wordt bekeken. | Ja Verantwoordelijken met een rol, toepassingen met hun indeling volgens de AI-verordening, verwerkersovereenkomst en DPIA met status. Een herbeoordeling na een jaar, met een mail vooraf. Op het tabblad Gemeten zie je wat BeeSensible meet, naast wat jullie hebben vastgelegd. |
| Verwerkingsregister (artikel 30 AVG) | Verwerkingen van persoonsgegevens beschrijven: doel, categorieën, ontvangers, bewaartermijn. | Nee Een ander register met een ander doel. Het AI-register verwijst ernaar en vervangt het niet. |
| Export naar pdf of CSV, of een API | Het register buiten BeeSensible brengen, voor een auditor of een GRC-tool. | Deels Het register is als pdf-rapport over een periode en als CSV te exporteren. Er is geen publieke API. |
Wat het niet doet
Wat dit AI-register niet voor je regelt.
Een AI-register in software wekt snel de indruk dat het alles regelt. Dit doet BeeSensible niet.
- Geen verwerkingsregister. De AVG vraagt een eigen register van verwerkingen; het AI-register staat daarnaast.
- Geen automatisch besluit. De risicoscore is advies; elke tool begint op "nog geen besluit".
- Geen koppeling met een GRC-tool. Exporteren kan als pdf-rapport en als CSV.
De aanpak
Hoe het AI-register zich vult vanuit het echte gebruik.
Zien, beslissen, helpen, onderbouwen. Het AI-register is het resultaat van de eerste twee stappen, en de reden dat de laatste twee kunnen.
1 Zien
De lijst begint bij wat er is
Elke AI-tool die iemand in de browser opent komt in beeld, met leverancier, land en risicobeoordeling uit de catalogus erbij. Nieuwe tools verschijnen in de Inbox.
2 Beslissen
Per tool een besluit
Met de feiten uit de catalogus kiest de organisatie: toegestaan, beperkt toegestaan met een eigen voorwaarde, niet toegestaan, of later beslissen. Een tool toestaan is hem registreren, met toepassingen, verantwoordelijken, documenten en een herbeoordeling.
3 Helpen
Het besluit bij het openen van een tool
Opent iemand een tool waarover iets is besloten, dan staat dat besluit in de browser, met het toegestane alternatief voorop. Doorgaan kan, tenzij de organisatie anders instelt.
4 Onderbouwen
Het AI-register blijft vanzelf kloppen
Nieuwe tools komen erbij zodra ze worden gebruikt, en de herbeoordeling komt vanzelf terug.
en opnieuw Zo werkt de cyclus
Waarom deze aanpak
Waarom Excel, het verwerkingsregister of een GRC-tool geen actueel AI-register opleveren.
Elk van deze drie heeft een plek. Geen van de drie weet welke AI-tools er buiten de lijst om worden gebruikt.
Het verwerkingsregister uit de AVG
Beschrijft verwerkingen van persoonsgegevens, met of zonder AI.
Verwant, niet hetzelfde. Het gaat over gegevens, niet over tools, en zegt niets over een AI-dienst zonder persoonsgegevens.
Een GRC-tool
Een module voor AI-systemen naast risico's, maatregelen en audits.
Goed voor de administratie, blind voor het gebruik. De lijst wordt gevuld door mensen, niet door wat er in de browser gebeurt.
Veelgestelde vragen
Wat mensen vragen voordat ze kiezen.
Wat is een AI-register?
Kort gezegd: de plek waar je beantwoordt welke AI er in je organisatie in gebruik is, en onder welke voorwaarden. In de tabel hierboven staat wat erin hoort.
Wat moet er in een AI-register staan?
Per tool: leverancier, land en hostingregio, of de tool op invoer traint, of er een verwerkersovereenkomst is, een risicobeoordeling en de indeling volgens de AI-verordening. Daarnaast het besluit van de organisatie, de voorwaarde, de toepassingen en of daarbij persoonsgegevens worden verwerkt, de verantwoordelijken, de documenten (verwerkersovereenkomst, DPIA, interne beoordeling) en een datum voor herbeoordeling. Een voorbeeld staat in het artikel hieronder.
Is een AI-register verplicht?
Niet als één universeel register voor iedere organisatie. De AI-verordening kent registratie- en documentatieplichten die afhangen van je rol en de systemen die je inzet. De AVG vraagt een verwerkingsregister zodra een tool persoonsgegevens verwerkt. Wat voor wie geldt staat in het artikel hieronder. Los daarvan houden de meeste organisaties een AI-register bij omdat ze anders niet weten wat er wordt gebruikt.
Wie is verantwoordelijk voor het AI-register?
Dat bepaalt de organisatie. In de praktijk ligt het eigenaarschap bij IT, de CISO of de privacyfunctionaris, met per tool een verantwoordelijke uit de afdeling die de tool gebruikt. BeeSensible legt per tool vast wie eigenaar is en wie er vanuit IT, privacy of security bij betrokken is, en herinnert die mensen aan de herbeoordeling.
Moeten ChatGPT en Copilot in het AI-register?
Ja, zodra ze worden gebruikt. Juist de algemene assistenten verwerken de meeste tekst en dus de meeste persoonsgegevens. In BeeSensible staan de consumentenversie en de zakelijke versie van dezelfde tool als aparte regels met een eigen score, zodat het besluit per versie kan verschillen.
Hoe houd je een AI-register actueel?
Door het te vullen vanuit wat er gebeurt in plaats van vanuit wat is aangemeld. BeeSensible ziet wanneer een AI-tool in de browser wordt geopend, zet nieuwe tools in de Inbox tot er een besluit is, en legt per tool een datum voor herbeoordeling vast.
Kan ik het AI-register exporteren?
Ja, als pdf-rapport over een periode (overzicht, per tool, gebruik, signalen en geschiedenis) en als CSV. In het dashboard zoek en filter je op wat aandacht vraagt.
Vervangt het AI-register het verwerkingsregister?
Nee. Het verwerkingsregister uit artikel 30 AVG beschrijft verwerkingen van persoonsgegevens. Een AI-register beschrijft tools en besluiten. Een AI-tool die persoonsgegevens verwerkt hoort in beide, met een verwijzing over en weer. Het AI-register is wel bruikbare input voor het verwerkingsregister en voor een DPIA.
Verder lezen
Alles over het AI-register, van velden tot verplichting.
Zie binnen een dag wat in je AI-register hoort.
Alle modules zitten erin. De catalogus staat klaar; het gebruik vult de rest van het AI-register aan.
14 dagen gratis, geen creditcard. Binnen een uur uitgerold in je organisatie.
