Een IT-beheerder bij een accountantskantoor met zestig medewerkers houdt het AI-register bij in Excel. Twaalf regels, negen kolommen, een tweede tabblad voor de wijzigingen. Het werkt al een jaar, en de vraag van de directie of daar "niet een tool voor is" ergert hem een beetje.
Voor een deel terecht. Excel volstaat zolang de lijst kort is, weinig verandert en één persoon hem bijhoudt die zelf weet wat er wordt gebruikt. Een spreadsheet schiet op vier punten tekort, en software lost die alleen op als de regels ergens anders vandaan komen dan uit het toetsenbord van de beheerder. Welke velden er in het register horen, lees je in ons basisartikel over het AI-register; dit stuk gaat over waar je het bijhoudt.
Wanneer volstaat Excel?
Bij tien tot twintig tools, één eigenaar en besluiten die zelden veranderen. De negen kolommen passen in een spreadsheet, de vier statussen passen in een keuzelijst, en iedereen kan het bestand openen zonder inlog of training.
Er zijn meer redenen om het zo te laten. Je bepaalt zelf het formaat. Er komt geen leverancier bij, geen contract en geen nieuwe regel in je eigen register. En een spreadsheet die klopt, is beter dan software die niemand bijwerkt.
De voorwaarde is dat de eigenaar weet wat er wordt gebruikt. Bij een kantoor van zestig mensen op één locatie, waar de beheerder de accounts uitgeeft en de meeste tools via hem lopen, gaat dat een tijd goed.
Waar schiet een spreadsheet tekort?
Bij het ontdekken van nieuwe tools. Een spreadsheet weet alleen wat iemand erin heeft gezet. Nieuwe regels komen uit een uitvraag of uit een melding, en mensen melden niet alles: in het onderzoek van KPMG en de University of Melbourne uit 2025 houdt 57 procent van de werkenden AI-gebruik verborgen voor de werkgever. Niet uit onwil, maar omdat het niet als iets meldenswaardigs voelt. Welke bronnen wel iets zien, en wat elke bron mist, lees je in het artikel over hoe je ontdekt welke AI-tools medewerkers echt gebruiken.
Bij de herbeoordeling. Een datum in een cel gaat niet af. De voorwaarden van een leverancier veranderen, een tool krijgt een functie die bestanden kan lezen, en de regel blijft staan zoals hij een jaar geleden is ingevuld. Waarom dat structureel is, lees je in het artikel over waarom een AI-toolcatalogus veroudert zodra je hem afdrukt.
Bij het besluit tijdens het werk. Het register staat in een map op SharePoint. De medewerker zit in een browsertab en vraagt zich af of dit mag. Die twee komen elkaar niet tegen. Een spreadsheet kan een besluit vastleggen, maar niet laten zien op het moment dat het telt, en juist op dat moment moet een lijst van toegestane tools zijn werk doen.
Bij versies. Wie heeft dit besluit gewijzigd, wanneer, en wat stond er eerst? Een bestand met de naam AI-register_v7_definitief.xlsx beantwoordt die vraag niet, en een auditor stelt hem wel.
Hoe verhouden de twee zich?
| Vraag | Spreadsheet | Software |
|---|---|---|
| Starten | Vandaag, zonder inkoop | Contract, inrichting, een nieuwe regel in je eigen register |
| Formaat | Van jou, past bij je verwerkingsregister | Van de leverancier; let op wat je kunt exporteren |
| Nieuwe tools ontdekken | Alleen wat iemand meldt | Alleen als de software het gebruik waarneemt; een registermodule waarin je zelf typt, ziet ook niets |
| Herbeoordeling | Een datum in een cel | Een herinnering aan de eigenaar, als de eigenaar per regel is vastgelegd |
| Besluit tijdens het werk | Nee | Alleen als het besluit verschijnt waar de medewerker werkt, in de browser |
| Versiegeschiedenis | Handmatig, op een tweede tabblad | Standaard, als de software bij elk besluit vastlegt wie het wanneer nam |
| Meerdere eigenaren | Eén bestand: één persoon beheert het, of iedereen werkt erin | Rollen per regel |
| Bij tien tools en één eigenaar | Genoeg | Meer dan nodig |
| Bij honderd tools en zes afdelingen | Kost meer tijd dan hij oplevert | Nodig, mits gevoed |
Waarom is software niet automatisch beter?
Omdat er drie soorten zijn, en twee ervan het probleem van de spreadsheet niet oplossen.
De eerste is een GRC-tool: beleid, risico's en controles op één plek, met het AI-register als een lijst daarin. Goed voor vastlegging en voor de koppeling met het verwerkingsregister. Maar de regels typ je nog steeds zelf in, dus aan het ontdekken van nieuwe tools verandert niets.
De tweede is een registermodule met een inlog. Mooie velden, keuzelijsten, een exportknop. Het is Excel met een leverancier erbij.
De derde soort haalt zijn regels uit wat er in de organisatie wordt waargenomen: welke AI-tools worden geopend, hoe vaak, en of daar een besluit over is. Dat is de enige soort die iets doet aan het eerste zwakke punt, en daarmee heb je meteen de vraag voor elke leverancier: waar komen nieuwe regels vandaan? Is het antwoord "die voert u in", dan koop je een spreadsheet.
Bij het accountantskantoor werd dat verschil duidelijk toen het een kleinere praktijk overnam. Die had eigen gewoontes en eigen tools, en niemand daar wist dat er een register bestond. Van twee van die tools hoorde de beheerder bij toeval, in een gesprek over een klantdossier. Niemand had iets fout gedaan. De spreadsheet kon het alleen niet weten.
BeeSensible is van de derde soort. De extensie meldt alleen het domein van een geopende AI-tool, hooguit één keer per dag per apparaat, zonder gebruikers-id en zonder inhoud, en toetst dat aan een catalogus van meer dan 1.000 beoordeelde tools. Een beheerder ziet welke tools nog geen besluit hebben, legt het besluit vast, en dat besluit verschijnt daarna in de browser wanneer iemand de tool opent. Een directe koppeling met een GRC-tool is er niet. Het register is wel te exporteren als CSV en als pdf, zodat wie zo'n suite als centrale bron gebruikt, de gegevens daar kan overnemen. Meer staat op de pagina over het AI-register.
