Bij een woningcorporatie staat in de agenda van de IT-beheerder een herinnering: herbeoordeling AI-register. Hij opent de spreadsheet. De laatste wijziging is van acht maanden geleden, door een collega die inmiddels weg is. Intussen is de vergadertool gesprekken gaan samenvatten, en niemand heeft daar een regel voor toegevoegd.
Zo veroudert een register: niet op de dag dat je het opstelt, maar op de dag dat er iets verandert bij een leverancier of in de organisatie. Om het actueel te houden heb je dus drie dingen nodig: aanleidingen die een herbeoordeling afdwingen, een ritme als vangnet en een tweede bron die de tools aanlevert die niemand heeft gemeld. Welke velden een regel heeft, lees je in ons basisartikel over het AI-register; dit stuk gaat over wat er daarna komt.
Welke aanleidingen dwingen een herbeoordeling af?
Een herbeoordelingsdatum in de regel is een vangnet. De echte veranderingen komen van buiten de agenda, en ze hebben vijf vormen.
| Aanleiding | Wat er verandert | Wat je nakijkt |
|---|---|---|
| Nieuwe functie bij de leverancier | De tool kan ineens documenten lezen, gesprekken opnemen of het web doorzoeken | Gegevensgebruik en doel; of de voorwaarde bij "beperkt toegestaan" nog klopt |
| Overname of gewijzigde voorwaarden | Andere eigenaar, andere jurisdictie, andere subverwerkers, ander trainingsbeleid | Leverancier, verwerkersovereenkomst, waar de verwerking plaatsvindt |
| Incident bij de leverancier | Een datalek, een fout in de deelfunctie, een toezichthouder die ingrijpt | Of het besluit standhoudt, en of medewerkers iets moeten doen |
| Nieuw gebruik in de organisatie | Een andere afdeling, een ander doel, andere gegevens | Of dit een nieuwe regel is, en wie de eigenaar wordt |
| Ander accounttype | Van gratis naar zakelijk, of andersom | Verwerkersovereenkomst, modeltraining, beheer; meestal een aparte regel |
De eerste is de stilste. Er is geen aanvraag en geen factuur; de leverancier zet een functie aan en de regel in het register beschrijft de tool nog zoals hij twee jaar geleden was. Waarom dat structureel is, lees je in het artikel over waarom een AI-toolcatalogus veroudert zodra je hem afdrukt. De vierde wordt het vaakst gemist, omdat de tool al in het register staat. Copilot voor interne memo's en Copilot voor gespreksverslagen bij HR zijn één tool, maar twee regels.
Welk ritme is werkbaar?
Niet één jaarlijkse ronde van zes weken. Die levert een lijst op die op de dag van oplevering al achterloopt, en het jaar erna herhaalt niemand die ronde.
Wat wel werkt: elke regel krijgt een herbeoordelingsdatum die de eigenaar zelf zet, naar risico. Een vertaaltool voor openbare teksten kan een jaar mee, een transcriptietool bij HR eerder een half jaar. Daarbovenop komen twee vaste momenten. Elk kwartaal de regels met "nog geen besluit" en "beperkt toegestaan": de eerste omdat ze werkvoorraad zijn, de tweede omdat een voorwaarde sneller veroudert dan een ja of een nee. En één keer per jaar alles.
Per regel is dat een half uur: kloppen leverancier, gegevensgebruik en doel nog, en wat wordt de nieuwe datum? Zolang het zo klein blijft, gebeurt het ook.
Waarom loopt een bijgewerkt register toch achter?
Een register weet alleen wat iemand heeft gemeld. Elke regel is ooit begonnen met een aanvraag, een factuur of een vraag aan de servicedesk. Wat zonder aanvraag in gebruik raakt, komt er niet in, en dat is het meeste. In het onderzoek van KPMG en de University of Melbourne onder 48.000 werkenden in 47 landen (2025) zegt 57 procent AI-gebruik verborgen te houden voor de werkgever. Niet uit onwil: de tool deed wat hij moest doen en niemand had ernaar gevraagd.
Een mbo-instelling heeft een register van negen regels, allemaal met een herbeoordelingsdatum. Bij een eerste meting van welke AI-diensten er in de browser worden geopend, verschijnen er veertien. De vijf extra zijn Perplexity, een tool die toetsvragen genereert, een presentatietool met AI, een transcriptietool die een docent zelf betaalt en de gratis versie van ChatGPT naast de zakelijke. Geen van de vijf is een incident, want over geen ervan was iets besloten. Het register was actueel, voor de negen regels die het kende.
Wat is het verschil tussen een register bijwerken en voeden?
Een register dat je bijwerkt, verandert als iemand eraan denkt. Een register dat gevoed wordt, krijgt nieuwe regels uit wat er feitelijk gebeurt: een AI-tool die in de organisatie wordt geopend en nog geen besluit heeft, verschijnt vanzelf, met de datum waarop hij voor het eerst is gezien. Het werk verschuift van zoeken naar beslissen.
Dat vraagt geen toezicht op personen. Voor de vraag of een tool een besluit nodig heeft, is het domein van de dienst genoeg: dat er in de organisatie een AI-tool is geopend, welke, en hoe vaak. Welke methoden dat wel en niet zien, lees je in het artikel over hoe je ontdekt welke AI-tools medewerkers echt gebruiken.
BeeSensible meldt vanuit de browserextensie alleen het domein van een geopende AI-tool, hooguit één keer per dag per apparaat, zonder gebruikers-id en zonder inhoud. Nieuw ontdekte tools zonder besluit staan in de Inbox van het dashboard, waar een beheerder per tool het besluit vastlegt; voor meerdere tools tegelijk kan dat in de catalogus. De catalogus van meer dan 1.000 tools wordt doorlopend bijgehouden. Wat het AI-register daarbij per tool laat zien, staat hieronder.
