De functionaris gegevensbescherming loopt bij de IT-beheerder binnen met één vraag: welke AI-tools gebruiken we eigenlijk? De beheerder opent de proxylogs en ziet chatgpt.com, Copilot en een handvol domeinen die hij niet kent. De helft van de collega's werkt vandaag thuis, en van hun verkeer ziet hij niets.
Het antwoord is niet één methode maar een keuze voor wat je meet. Elke gangbare bron ziet een ander deel van het gebruik. De bron die het meeste ziet, is de plek waar het werk gebeurt: de browser. En de meting die het langst bruikbaar blijft, is de doorlopende, zonder gebruikers-id.
Welke methoden zijn er, en wat missen ze?
| Methode | Wat hij ziet | Wat hij mist |
|---|---|---|
| Netwerkmonitoring en DNS | Domeinen die vanaf het kantoornetwerk worden bezocht | Thuiswerk en telefoons; gratis of zakelijk account op hetzelfde domein; AI-functies zonder eigen domein |
| Browser- en endpointbenaderingen | Wat er in de browser wordt geopend, op kantoor en thuis, inclusief extensies | Telefoons zonder beheer; en legt vaak te veel vast: pad, inhoud en gebruiker, tenzij je dat bewust uitzet |
| Enquêtes en uitvragen | Waarom mensen een tool kiezen, en wat ze missen in de goedgekeurde tool | Wat mensen niet durven te melden; is verouderd zodra hij is afgerond |
| Declaraties en facturen | Betaalde abonnementen en licenties | Alles wat gratis is, en alles wat iemand privé betaalt |
| SaaS-beheer en SSO-logs | Tools die via de inlog van de organisatie lopen | Alles zonder SSO, en dat is per definitie shadow AI |
De onderste twee zijn het minst geschikt om shadow AI te vinden en het meest geschikt voor iets anders: ze beschrijven wat de organisatie zelf heeft ingericht. Dat is de lijst van goedgekeurde tools, en die heb je ook nodig.
De bovenste twee kijken naar verkeer, en het verschil zit in waar ze staan. Het netwerk ziet alleen wie op kantoor is. De browser reist mee. Het is dezelfde verschuiving die we beschrijven in het artikel over de browser als grootste blinde vlek: het werk is naar de browser verhuisd, en de meeste beveiliging kijkt nog naar het netwerk.
Wat mist bijna elke methode?
Vier categorieën vallen overal tussen wal en schip, en ze zijn samen groter dan wat je wel ziet.
Thuiswerk en telefoons. Een laptop op de thuisverbinding staat buiten het kantoornetwerk. Een telefoon zonder beheer staat buiten alles. Alleen een meting die op het apparaat zelf zit, gaat mee naar huis.
Gratis accounts. Op het netwerk zien een gratis en een zakelijk ChatGPT-account er hetzelfde uit: hetzelfde domein. Op de factuur staat het gratis account helemaal niet. Toch is juist het verschil in voorwaarden tussen die twee het grootste privacyverschil.
AI-functies in bestaande tools. Je vergadertool vat sinds vorige maand gesprekken samen, je pdf-lezer heeft een assistent gekregen. Er is geen nieuw domein en geen nieuw inkoopbesluit, dus geen van de vijf methoden slaat aan. Hier helpt geen meting, alleen een nieuwe beoordeling bij een aanleiding: een update, nieuwe voorwaarden, een overname.
Browserextensies. Een extensie met leesrechten op alle pagina's ziet meer dan de meeste AI-diensten, en ze staat in geen enkele log als bezocht domein. Waarom ze in het register horen, lees je in het artikel over browserextensies als AI-tools.
Waarom veroudert een eenmalige inventarisatie?
Een accountantskantoor doet in het voorjaar een uitvraag bij alle teams en komt op elf AI-tools. Twee maanden later staat er in de netwerklogs een vertaaldienst die niemand had genoemd, heeft de dossiersoftware een AI-samenvatting gekregen, en gebruikt het fiscale team een gespecialiseerde tool die ten tijde van de uitvraag nog niet bestond. De lijst van elf is niet fout. Hij beschrijft het voorjaar.
Dat is geen kwestie van vaker inventariseren. Het artikel over waarom een AI-toolcatalogus veroudert beschrijft de drie mechanismen: er komen dagelijks tools bij, AI verschijnt in software die je al hebt, en tools wisselen van eigenaar en daarmee van voorwaarden. Een momentopname blijft een momentopname, hoe vaak je hem ook maakt.
Wat beter werkt, is de vraag omdraaien. Dus niet: welke tools bestaan er, of welke zouden mensen kunnen gebruiken? Maar: welke diensten zijn er deze maand in onze organisatie geopend? Die lijst is kort, enkele tientallen, en hij blijft vanzelf actueel zolang hij uit waarneming komt.
Hoe doe je het zonder gebruikers-id?
Door alleen vast te leggen wat de governancevraag nodig heeft, en niets meer. De vraag is: welke AI-diensten worden gebruikt, hoe vaak, en is daar een besluit over? Voor dat antwoord is het domein van de dienst genoeg. Wie het opende, welke pagina en wat er op die pagina stond, voegen niets toe aan het besluit, maar veranderen wel het karakter van de meting.
Bij BeeSensible legt de extensie daarom alleen het registreerbare domein vast, hooguit één keer per dag per apparaat, zonder gebruikers-id, zonder pad en zonder pagina-inhoud. Dat gebeurt alleen als de organisatie de module AI Governance en de analytics-instelling heeft aangezet. De waargenomen domeinen worden gekoppeld aan de catalogus van meer dan 1.000 AI-tools, en een beheerder ziet per tool of er een besluit ligt; nieuwe tools beginnen op "nog geen besluit".
