AI voor CIO's: je applicatielandschap, je securitypositie en je schaduw-IT, beantwoord uit je eigen bestanden

Vóór de Q3-begrotingsronde is de vraag hard: snijden in IT. Het beeld in de markt is reëel: organisaties verspillen gemiddeld zo'n $21 miljoen per jaar aan ongebruikte SaaS-licenties, 14,2% meer dan het jaar ervoor. Maar het gevaar is niet de verspilling, het gevaar is dat je het verkeerde schrapt. Een "stil" account dat aan een integratie hangt ziet er in Licentie-inventaris SAM Q2 2026.xlsx exact hetzelfde uit als een echt dood account, totdat je er een middag lang handmatig het gebruik naast legt. Mis je dat onderscheid, dan laat je óf de verspilling staan óf je schrapt een account dat stilletjes een workflow breekt. In beide gevallen loopt het SAM-gesprek vast en sneuvelen de verlengingen die je juist wél wilde verdedigen.

Ransomware legt een bedrijf in je sector stil en bij de eerstvolgende RvC-update ligt de vraag op tafel: zijn wij veilig? Je weet dat het eerlijke antwoord nee is (een paar controles zijn ongetoetst en de phishing-klikratio is ongemakkelijk), maar elke gelikte tool wil je schijnzekerheid verkopen. Datalekken met veel schaduw-AI kosten gemiddeld $670.000 meer, en 97% van de organisaties met AI-gerelateerde lekken had geen goede toegangscontrole op AI. De echte deadline is niet de vergadering, het is de verlenging van de cyberpolis. Board Security Update juli 2026.pptx moet de specifieke ongetoetste controles bij naam noemen en het cijfer aan die datum koppelen, anders kan de RvC de keuze niet maken.

Het is de derde dit kwartaal. De €900 op de declaratie is de afleiding; het risico is dat een tool als Klantpilot nu klantdata bevat zonder verwerkersovereenkomst. Komt een tool ongetoetst binnen, dan verliest IT de grip op inventaris, licenties, contracten en kosten: het CMDB-record, de eigenaar, de AVG-afspraken, alles ontbreekt. Nu afdelingen zelf ruwweg 70% van de SaaS-uitgaven doen, gebeurt dit standaard buiten je zicht, precies zoals de schaduw-AI-economie laat zien. Je ontdekt het gat laat, in Portfolio-export Q3 2026 (Jira).xlsx, en krijgt de schuld, terwijl "IT was te traag" eigenlijk een symptoom is van de doorlooptijd bij de intake, een cijfer dat je hard kunt teruggeven aan de RvC.

Vraag waar de IT-uitgaven echt dood zijn en je krijgt de accounts en stille tiers die weg kunnen, en net zo belangrijk: de accounts die stil maar integratiekritisch zijn en dus blijven staan, zodat je geen workflow doorsnijdt om een bedrag te halen. Elk cijfer wijst naar de exacte regel in je inventaris, en je komt de begrotingsronde binnen met een cijfer als uptime om de verlengingen te verdedigen die het waard zijn, vóór de ronde sluit.

In plaats van schijnzekerheid krijg je de twee ongetoetste controles bij naam, de echte phishing-klikratio erbij, en het geheel geformuleerd als een beslissing die de RvC ook echt kan nemen: die controles nu financieren of het restrisico tekenen vóór de polis verlengt. Hij noemt de slide en de versie die hij gelezen heeft, dus het cijfer dat je presenteert is het cijfer uit de deck, niets verzonnen.

Je portfolio komt terug op volgorde van datarisico: welke ongetoetste tool klantdata bevat zonder verwerkersovereenkomst staat bovenaan, de €900 onderaan. Je brengt de eigenaar, de kosten en die op datarisico geordende backlog naar de stuurgroep, plus de doorlooptijd bij de intake die verklaart waarom managers om je heen gingen. Munitie voor governance, opgebouwd uit je eigen export, in plaats van schuld die je achteraf opvangt.