De CISO van een gemeente wil weten of het AI-beleid werkt. Copilot is de voorkeursroute, dat is een jaar geleden besloten, en hij wil zien of mensen die route ook nemen. De FG hoort het plan en zegt één ding: niet per persoon. De voorzitter van de OR stelt dezelfde week de vraag die elke OR stelt: zien jullie straks wat ik doe?
Alle drie hebben gelijk, en ze zitten elkaar niet in de weg. De vraag van de CISO gaat over tools en over de organisatie: welke worden geopend, hoe vaak, en loopt het gebruik via de aangewezen route. Die vraag is te beantwoorden met tellingen, zonder dat er iemand in de data voorkomt. Dat is wat AI-governance zonder medewerkers te monitoren betekent: je meet het gebruik, niet de mensen, en je richt het zo in dat die grens niet afhangt van goede bedoelingen.
Wat is het verschil tussen inzicht in gebruik en toezicht op personen?
Inzicht in gebruik zegt: deze dienst is deze maand driehonderd keer geopend in de organisatie, en over deze dienst is nog geen besluit genomen. Toezicht op personen zegt: deze medewerker opende deze dienst op deze momenten. De twee kunnen uit dezelfde waarneming komen. Het verschil is één veld, en dat veld bepaalt of je persoonsgegevens van medewerkers verwerkt, welke bewaartermijn logisch is, of de ondernemingsraad instemmingsrecht heeft, en of mensen de meting gaan omzeilen. Hoe dat ene veld werkt, staat uitgewerkt in AI-monitoring versus medewerkersmonitoring.
Toezicht is niet verboden. Een werkgever mag onder voorwaarden controleren, met een doel, niet verder dan nodig en vooraf uitgelegd; wat daarbij komt kijken, lees je in het artikel over controle van AI-gebruik door de werkgever. Waar het hier om gaat: voor de governancevraag heb je dat toezicht niet nodig, dus hoef je ook niet aan de voorwaarden ervan te voldoen.
Waarom volstaan geaggregeerde cijfers?
Omdat een besluit over een tool niet beter wordt van een naam. Loop de vragen langs die een organisatie stelt als ze het dagelijkse AI-gebruik wil sturen, zoals uitgewerkt in ons artikel over wat AI-governance is.
Welke tools zijn in gebruik? Een lijst met domeinen en een telling. Waarover is nog geen besluit genomen? Diezelfde lijst naast het register. Welke gevoelige gegevens komen langs? Tellingen per gegevenstype en per app, zonder de tekst zelf. Weten mensen wat er is besloten? Het aantal meldingen en wat erna gebeurde. Loopt het gebruik via de aangewezen route? Het aandeel via toegestane tools, met de trend. Kun je dat aantonen? Diezelfde cijfers, gekoppeld aan een maatregel.
Voor geen van die zes heb je een naam nodig. Of de transcriptietool een besluit nodig heeft, hangt af van wat hij verwerkt en hoe breed hij wordt gebruikt, niet van wie hem opende. Welke cijfers daaruit een bestuur echt iets vertellen, staat in ons artikel over AI-gebruik meten; welke velden je daarvoor minimaal nodig hebt, lees je in het artikel over de gegevens die je echt nodig hebt om AI-gebruik te meten.
Eén vraag draait wel om een persoon: wie deed dit, bij een concreet incident. Dat is een onderzoeksvraag met een eigen procedure en een eigen grondslag, en die hoort niet in de meting thuis. Wie de meting alvast op dat onderzoek inricht, maakt van elke telling een potentieel dossier.
Wat leg je vast voordat je meet?
Het doel. De AVG vraagt in artikel 5 dat persoonsgegevens voor een vooraf bepaald en omschreven doel worden verzameld en niet verder worden verwerkt op een manier die daarmee onverenigbaar is. Een telling die zonder gebruikers-id op de server binnenkomt, valt daar grotendeels buiten, maar het principe is ook zonder de wet verstandig: een meting met een doel op papier kan later niet stilzwijgend iets anders worden.
Schrijf het doel in één zin die zegt wat je wilt weten en waarom, niet hoe je het meet. "Weten welke AI-tools in gebruik zijn en of het gebruik via toegestane tools loopt, zodat we per tool kunnen besluiten" is een doel. "Zicht op wat medewerkers doen" is dat niet. Schrijf er ook bij wat de cijfers niet mogen worden: een middel om iemand op aan te spreken, of een bron voor een beoordeling.
Daar hoort een grondslag bij, en voor de meeste organisaties een korte afweging in drie stappen. Hoe die afweging werkt, en waarom toestemming van medewerkers zelden de grondslag is, staat in AI-governance, de AVG en het gerechtvaardigd belang.
Waar houdt aggregatie op te beschermen?
Bij kleine groepen. Een telling zonder id kan toch iemand aanwijzen als de groep klein genoeg is. "Eén persoon opent dagelijks een transcriptietool" is in een organisatie van vierhonderd een anoniem cijfer en in een team van drie een naam. Het id ontbreekt in beide gevallen; wat verschilt is de groep waarover wordt geteld.
Daarom doe je twee dingen: cijfers op organisatieniveau als standaard, en bij elke uitsplitsing een ondergrens in aantal mensen en in aantal dagen. De dagen zijn net zo belangrijk als de mensen: een afdeling van twintig waar op een bepaalde dag maar één iemand werkte, is op die dag ook gewoon een persoon.
Om dezelfde reden ben je eerlijk over wat aggregatie belooft. Dat er geen gebruikers-id in de data staat, is een structurele waarborg: er is niets dat een export, een gewijzigde instelling of een supportverzoek alsnog per persoon kan laten zien, want het veld bestaat niet. Maar "nooit herleidbaar" is een belofte die geen enkele telling kan waarmaken, omdat herleidbaarheid ook uit de context komt. Zeg daarom tegen medewerkers en de OR wat er structureel niet wordt vastgelegd en welke ondergrens geldt, en zeg niet meer dan dat.
Zo zien de vijf keuzes er naast elkaar uit, met de plek waar elke keuze zit:
| Ontwerpkeuze | Wat hij voorkomt | Waar hij zit |
|---|---|---|
| Het doel vooraf, in één zin zonder meetmethode | Dat de cijfers later een ander doel krijgen | Afspraak, op papier |
| Alleen domein, dag, aantal en categorie | Dat de meting meer zegt dan de vraag | Ontwerp van de meting |
| Geen gebruikers-id, geen inhoud, geen pad | Dat een export of instelling alsnog per persoon toont | Techniek, in de gegevensstroom |
| Ondergrens voor uitsplitsingen, standaard uit | Dat een kleine groep een persoon wordt | Instelling, vastgelegd in de regeling |
| Het ontwerp voorleggen aan de OR | Dat de grens afhangt van wie er toevallig beheerder is | Medezeggenschap, met de instellingen erbij |
De derde rij is de enige die niet terug te draaien is met een klik. Dat is geen toeval: de keuzes die in de techniek zitten, hoef je niet elk kwartaal opnieuw te bewaken.
Wat is de rol van de ondernemingsraad?
De Wet op de ondernemingsraden geeft de OR in artikel 27 instemmingsrecht bij regelingen over het verwerken van persoonsgegevens van medewerkers en bij voorzieningen die gericht zijn op of geschikt zijn voor het waarnemen van gedrag of prestaties. Een meting per persoon valt daar zonder discussie onder. Een telling zonder id is minder eenduidig, en de verstandige route is om haar toch als regeling voor te leggen. Wanneer dat wel en niet moet, en wat er in zo'n regeling hoort, lees je in het artikel over wanneer de ondernemingsraad betrokken moet worden bij AI.
Voor dit artikel is één ding van belang: wat de OR te zien krijgt. Geen belofte dat privacy wordt gerespecteerd, maar het ontwerp: welke velden, of er een id aan hangt, wie het dashboard ziet en welke instellingen vaststaan. Een OR die dat heeft gezien, is later de beste bewaker van de grens, omdat elke wijziging van die instellingen opnieuw op tafel komt.
Hoe ziet dat eruit in de praktijk?
De gemeente richt de meting in op domein, dag en telling, zet inzicht per afdeling uit, schrijft het doel op en legt het geheel voor aan de OR. Na zes weken ziet het beeld er zo uit. Copilot wordt het meest geopend, zoals gehoopt. ChatGPT en Perplexity komen dagelijks voor. En er staan drie tools tussen die in geen enkel overzicht voorkwamen: een tool die raadsstukken samenvat, een vertaaltool en een transcriptietool voor vergaderingen. Over twee daarvan is nog geen besluit genomen, omdat niemand wist dat ze bestonden.
Dat is geen incident. Het is wat een eenmalige inventarisatie altijd mist, en het is werk voor de CISO en de FG samen: de samenvattool krijgt raadsstukken te zien die soms nog niet openbaar zijn, dus daar komt een besluit; de transcriptietool verwerkt stemmen en namen, dus daar ook. Niemand heeft hoeven weten wie ze opende.
Na de eerste bestuursrapportage komt de vraag die altijd komt: kunnen we dit ook per team zien, want dan weten we waar de uitleg heen moet? Het antwoord is niet nee. Het antwoord is: dat is een wijziging van de regeling, met een ondergrens van vijf mensen en zeven dagen, en die gaat eerst langs de OR. Zo blijft de grens een besluit van de organisatie in plaats van een instelling die iemand op een dinsdagmiddag omzet.
Hoe dwingt het ontwerp van BeeSensible dit af?
Door de keuzes uit de tabel in de techniek te leggen waar dat kan. De extensie merkt op wanneer iemand een AI-tool opent en meldt alleen het hoofddomein (zoals chatgpt.com), hooguit één keer per dag per apparaat, zonder gebruikers-id, zonder pad en zonder pagina-inhoud. Hoe vaak iemand AI gebruikt (dagelijks, wekelijks, af en toe) wordt op het apparaat zelf bepaald en één keer per maand als anonieme telling per categorie gemeld. Opent iemand een tool waarover iets is besloten, dan verschijnt dat besluit in de browser, met het goedgekeurde alternatief als eerste knop; of iemand toch kan doorgaan, stelt de organisatie in. Wat er daarna gebeurt, wordt per tool geteld, zonder id. Markeringen van gevoelige gegevens worden geteld, samen met wat de medewerker ermee deed, ook zonder id; hooguit voegt de server er een afdeling aan toe.
Het dashboard toont dat als cijfers over de organisatie en kent nergens een uitsplitsing per medewerker. Inzicht per afdeling staat standaard uit; wie het aanzet, ziet een afdeling pas vanaf vijf personen en zeven dagen, en kleinere afdelingen vallen samen in "Overig". Het scherm Onderbouwing zet diezelfde cijfers naast de bepalingen uit de AVG, NIS2 en de AI-verordening, met per bepaling wat erbuiten valt.
