Een IT-beheerder bij een installatiebedrijf krijgt van de directie de vraag om een lijst van goedgekeurde AI-tools te maken, "dan zetten we die op het intranet". Hij opent een leeg document en typt Microsoft 365 Copilot, want daar is een licentie voor. Dan stokt het. De helft van de calculatoren gebruikt ChatGPT, de projectleiders laten vergaderingen samenvatten met een tool die hij alleen van naam kent, en over geen van beide is ooit iets besloten.
Een lijst van goedgekeurde AI-tools begint niet bij een leeg document maar bij wat er al wordt gebruikt. Daarna leg je per tool het account en de gegevens vast, geef je elke tool een status met een voorwaarde en een eigenaar, zet je de lijst waar mensen werken en regel je een route voor nieuwe tools. Hoe die lijst past in een volledig AI-beleid, staat in AI-beleid opstellen; dit stuk gaat over de lijst zelf.
Waarom begin je niet bij een leeg document?
Omdat een lijst uit het hoofd van de beheerder alleen de tools bevat die via hem lopen. De tools die het meest worden gebruikt, zijn vaak juist nooit aangevraagd: een gratis ChatGPT-account, een browserextensie, de AI-functie die een vergadertool er vorige maand bij kreeg.
Er zijn drie bronnen, van minst naar meest bruikbaar. De licentie- en accountadministratie laat zien wat is ingekocht. Een uitvraag laat zien wat mensen willen melden. Waarnemen welke AI-domeinen er worden geopend, in aantallen en zonder namen, laat zien wat er echt gebeurt. Welke methode wat mist, lees je in het artikel over ontdekken welke AI-tools medewerkers echt gebruiken.
Wat leg je per tool vast?
| Stap | Wat je vastlegt | De fout die je ermee voorkomt |
|---|---|---|
| 1. Begin bij wat er is | De tools die worden geopend, met de datum van eerste waarneming | Een lijst van wat je kent in plaats van wat er gebeurt |
| 2. Account en gegevens | Om welke variant het gaat (gratis, persoonlijk, zakelijk), en welke gegevens erin mogen en welke niet | "ChatGPT: toegestaan" zonder te zeggen welke ChatGPT |
| 3. Status en voorwaarde | Een van de vier statussen; bij beperkt toegestaan de voorwaarde in één zin, bij niet toegestaan het alternatief | Een ja dat iedereen anders leest, of een nee zonder uitweg |
| 4. Eigenaar | De functie in de lijn die de tool inzet en de herbeoordeling trekt | Regels die blijven staan zoals ze een jaar geleden zijn ingevuld |
| 5. Publicatie | Waar het besluit verschijnt: bij het openen van de tool, daarna pas in een document | Een pdf die één keer wordt gelezen, bij indiensttreding |
| 6. Route voor nieuwe verzoeken | Wie beoordeelt, binnen welke termijn, met welke vragen en wat er in de tussentijd geldt | Verzoeken die blijven liggen terwijl het gebruik doorgaat |
Stap twee wordt het vaakst overgeslagen. Een gratis of persoonlijk account draait onder consumentenvoorwaarden: invoer kan voor training worden gebruikt tenzij de gebruiker dat uitzet, en er ligt geen verwerkersovereenkomst. De zakelijke variant sluit training standaard uit; OpenAI legt dat onderscheid zelf vast. Op de lijst zijn dat twee regels; waarom dat verschil zwaarder weegt dan de naam van de tool, staat in gratis versus zakelijk AI-account.
Welke status krijgt een tool, en wat hoort erbij?
Vier statussen, niet twee: toegestaan, beperkt toegestaan, nog geen besluit, niet toegestaan. Wat elke status betekent en wanneer je hem kiest, staat in vier statussen voor AI-tools. Voor de lijst telt vooral wat erbij hoort.
Bij beperkt toegestaan is dat de voorwaarde, in één zin die iemand tijdens het werk kan opvolgen. "Alleen met het zakelijke account." "Alleen voor intern overleg, en deelnemers zijn op de hoogte." "Geen klantgegevens in de prompt."
Bij niet toegestaan hoort het alternatief. Een nee zonder alternatief verplaatst het werk naar een privéaccount op een eigen telefoon, en dan is de tool niet weg maar onzichtbaar. "Niet het gratis account, wel de zakelijke licentie" is een besluit dat iemand kan opvolgen zonder zijn werk stil te leggen.
Waarom is een lijst zonder "nog geen besluit" onvolledig?
Omdat een lijst van goedgekeurde tools niets zegt over de tools die er niet op staan, en dat is de grootste groep. Er komen sneller AI-tools bij dan een organisatie kan beoordelen, en bestaande software krijgt AI-functies zonder dat iemand daarover besluit.
Over zo'n tool trekt iedereen zijn eigen conclusie. De een leest de lijst als limitatief en denkt dat de rest verboden is; de ander leest hem als een reeks voorbeelden en denkt dat alles mag wat niet is afgekeurd. Beide lezingen zijn redelijk, en de organisatie heeft geen van beide bedoeld.
"Nog geen besluit" lost dat op, omdat het waar is: hier is nog niet naar gekeken, en in de tussentijd zet je er alleen openbare informatie in en vraag je hier de beoordeling aan. Het is geen verbod en geen goedkeuring. Het is ook de werkvoorraad: alles op "nog geen besluit" dat echt wordt gebruikt, is een beoordeling die nog moet gebeuren.
Waar publiceer je de lijst?
Op de plek waar de vraag opkomt, en dat is niet het intranet. Een medewerker leest de lijst één keer en opent een tool honderden keren. Het besluit werkt als het verschijnt zodra de tool opengaat: niets bij een toegestane tool, de voorwaarde bij beperkt toegestaan, het alternatief als eerste knop bij niet toegestaan, en bij nog geen besluit de vraag om alleen openbare informatie in te voeren. Hoe je dat doet zonder mensen met regels te overladen, lees je in het artikel over AI-beleid communiceren.
Bij het installatiebedrijf laat de eerste waarneming veertien AI-domeinen zien, waar de beheerder er vier had opgeschreven. Naast Copilot en ChatGPT staan er DeepL, Perplexity, de transcriptietool van de projectleiders en een tool waar niemand in het MT van had gehoord. Dat is geen incident. Het laat zien dat een lijst uit het hoofd achterloopt op de dag dat hij af is, en dat tien van de veertien regels op "nog geen besluit" beginnen.
Zo werkt BeeSensible ook. De extensie meldt alleen het domein van een geopende AI-tool, hooguit één keer per dag per apparaat, zonder gebruikers-id en zonder inhoud, en legt dat naast een catalogus van meer dan 1.000 beoordeelde tools. Een beheerder ziet welke tools nog geen besluit hebben en legt status en voorwaarde vast; dat besluit verschijnt in de browser als iemand de tool opent, met het toegestane alternatief als eerste knop. Het product beslist zelf niets: of een medewerker bij een niet-toegestane tool toch kan doorgaan of alleen het alternatief krijgt, stelt de organisatie zelf in. Meer daarover op de pagina over AI-tools.
