IT-managers en CISO’s buigen zich over complexe beleidsstukken. Ondertussen voltrekt zich op de werkvloer al een stille revolutie. Jarenlang streed de IT-afdeling tegen ongeautoriseerde Dropbox-accounts, privé-Google Drives en niet-goedgekeurde SaaS-applicaties. De stormachtige opkomst van generatieve AI heeft dit verschijnsel nu in een stroomversnelling gebracht.
De drempel voor geavanceerde technologie is lager dan ooit. Iedereen met een browser en internet heeft in theorie direct toegang tot de krachtigste AI-modellen ter wereld. Medewerkers wachten in de praktijk vaak niet op goedkeuring, ze gaan er simpelweg mee aan de slag. Marketingprofessionals herschrijven campagneteksten en HR-medewerkers vatten sollicitatiegesprekken samen. Financieel analisten genereren Excel-formules en ontwikkelaars optimaliseren hun code met slimme assistenten.
Dat wordt niet gedaan met slechte intenties, maar het ontstaat vaak uit een drang naar efficiëntie. De werkdruk is hoog, deadlines zijn strak en gratis AI-tools kunnen uren werk terugbrengen tot enkele minuten. Toch schuilt in dit enthousiasme een groot risico. Er ontstaat namelijk een kloof tussen formeel IT-beleid en de praktijk. Dit leidt tot een omvangrijke schaduwinfrastructuur.
Dagelijks worden grote hoeveelheden bedrijfs- en klantgegevens in externe AI-systemen ingevoerd, iets waar de IT-organisatie en de Compliance Officer geen zicht op hebben. Wat begint als een handige ‘productiviteitshack’, groeit uit tot een gevaarlijke blinde vlek.
Wat is Shadow-AI en waarom groeit het zo snel?
Shadow-AI is het ongeautoriseerde gebruik van AI binnen een organisatie. Denk aan gebruik van gratis consumentenversies van LLM’s of niet-beheerde browser-extensies. Ook automatische transcriptietools en externe plug-ins vallen hieronder. Dit gebeurt allemaal zonder toestemming of beheer van de IT-afdeling. Het is de overtreffende trap van het bekende Shadow-IT, maar het verspreidt zich sneller en data verlaat makkelijker de organisatie.
Bij traditionele software moest je vaak nog een programma installeren, iets wat IT nog tijdig kon opmerken. Bij het gebruik van AI-toepassingen is die drempel volledig verdwenen. Consumentenversies van AI-tools zijn veel toegankelijker dan starre IT-omgevingen bij bedrijven. Terwijl de IT-afdeling nog bezig is met de evaluatie van leveranciers en risico’s, heeft een medewerker ondertussen binnen tien seconden een privé-account geactiveerd.
Dit legt een dieper probleem bloot, namelijk de frictie tussen formeel beleid en de dagelijkse werkdruk. IT-procedures verlopen vaak traag en aanvragen voor nieuwe software lopen vast in bureaucratie. Medewerkers zoeken daarom vaak de kortste weg naar resultaat.
De voornaamste gevaren op de werkvloer
Niet-gecontroleerde AI-tools brengen directe risico’s met zich mee. Dit kan de veiligheid en continuïteit van de organisatie ernstig bedreigen. Plakt een medewerker vertrouwelijke data of broncode in een gratis AI-tool? Dan verlaat die informatie de beveiligde kaders van het bedrijf. Veel gratis modellen gebruiken ingevoerde gegevens namelijk om hun systemen verder te trainen. Unieke bedrijfskennis kan zo onderdeel worden van een openbare kennisbank. In het ergste geval belandt jouw informatie als antwoord bij een concurrent.
Privacy, AVG en compliancerisico’s
Shadow-AI creëert ook een juridisch mijnenveld. Volgens de AVG moeten organisaties precies weten waar persoonsgegevens blijven. Het invoeren van klantgegevens in externe tools leidt vaak tot illegale doorgifte. Dit gebeurt meestal naar servers buiten de Europese Unie. De komst van de Europese AI Act scherpt deze regels verder aan. Zonder zicht op AI-gebruik riskeert een bedrijf hoge boetes.
Hallucinaties en foutieve besluitvorming
De inhoudelijke betrouwbaarheid van AI is eveneens een punt van zorg. Taalmodellen zijn getraind op waarschijnlijkheid, niet op feiten. Ze hallucineren regelmatig, wat betekent dat verzonnen feiten of verkeerde berekeningen heel overtuigend worden gepresenteerd. Medewerkers kunnen deze fouten ongemerkt overnemen in bijvoorbeeld offertes of rapporten, wat weer kan leiden tot verkeerde beslissingen en flinke reputatieschade.
Shadow-AI wordt veel gebruikt
Shadow-AI is geen theoretisch probleem, zo blijkt uit verschillende analyses over dit onderwerp. Tussen de 60 en 80 procent van de kenniswerkers gebruikt AI op het werk. Dit doen zij zonder melding te maken bij hun leidinggevende. In de IT-sector noemt men dit de ‘Bring Your Own AI’ (BYOAI) trend. Het stiekem inzetten van AI is geen uitzondering meer, het is de nieuwe standaard op de werkvloer.
Experts benadrukken dat een verbod niet werkt. Het blokkeren van AI-websites en -tools op het netwerk haalt weinig uit. Medewerkers schakelen gewoon over op hun eigen 4G/5G-netwerk. Netwerkpoorten dichttimmeren is dweilen met de kraan open en het maakt de blinde vlek alleen maar groter.
De discussie raakt ook aan data-soevereiniteit binnen de EU. De roep om Europese data-autonomie schuurt met het gebruik van grote, vaak gebruikte Amerikaanse AI-platforms. Analisten adviseren organisaties daarom te stoppen met reactief verbieden. Ze moeten snel gecontroleerde en soevereine enterprise-alternatieven bieden.
Van verbod naar actieve governance
IT-leiders moeten anders gaan denken over Shadow-AI. Een strikt verbod is in de praktijk onhaalbaar. Medewerkers vinden altijd een manier om beveiligingsblokkades te omzeilen. Bovendien remt een algeheel verbod de innovatiekracht van de organisatie af. Shadow-AI moet daarom niet alleen worden gezien als beveiligingsgevaar. Het is vooral een duidelijk signaal van de werkvloer. Medewerkers hebben een grote behoefte aan slimme hulpmiddelen, want ze willen hun werk simpelweg sneller en beter doen.
De duurzame oplossing ligt in actieve governance. Dat vraagt om een doordachte aanpak op drie verschillende vlakken: cultuur, technologie en educatie. Alles begint bij een veilige bedrijfscultuur. Medewerkers moeten eerlijk durven zijn over hun AI-gebruik. Als er een afreken- of strafcultuur heerst, wordt er alsmaar meer gebruikgemaakt van Shadow-AI ‘achter de schermen’.
Organisaties moeten het gesprek actief aanmoedigen. Vraag teams welke AI-tools zij nu al inzetten. Welke specifieke taken maken zij hiermee makkelijker? Door dit openlijk te bespreken krijgt IT waardevol inzicht. Pas dan kan het daadwerkelijke beleid dat men wil voeren worden bepaald.
Bied veilige en goedgekeurde enterprise-alternatieven
Praten is niet genoeg en IT moet snel handelen door geautoriseerde alternatieven te bieden. Medewerkers gebruiken privé-tools namelijk vooral bij een gebrek aan zakelijke opties. Inventariseer daarom als bedrijf welk type enterprise-licenties je nodig hebt voor welke werknemer en bijbehorende werkzaamheden.
Zakelijke licenties bieden essentiële garanties. De ingevoerde data wordt hierbij niet gebruikt voor het trainen van externe modellen. Ook blijft de data opgeslagen binnen de afgesproken regio. Een nog veiligere optie is een afgeschermde, interne AI-omgeving. Hiermee draaien taalmodellen binnen de eigen private cloud. Zo blijft alle gevoelige bedrijfsinformatie gegarandeerd binnen de muren van de organisatie.
Lees ook: Twee derde Nederlanders overschat eigen AI-vaardigheden
Zet in op continue educatie en AI-geletterdheid
Met alleen het beschikbaar stellen van tools ben je er nog niet, educatie is ook erg belangrijk. Dit is onder de Europese AI Act zelfs een verplichting voor werkgevers. Vertel medewerkers niet alleen wat er volgens de regels niet mag, leg ze vooral uit waarom bepaalde data niet mag worden ingevoerd. Train personeel in het effectief en kritisch gebruiken van AI. Hoe herken je hallucinaties en foute antwoorden van een model? Hoe formuleer je veilige en heldere prompts? Door actief te bouwen aan AI-geletterdheid verhoog je de digitale weerbaarheid. Medewerkers worden zo de eerste verdedigingslinie van de organisatie.
Duidelijke kaders, de juiste enterprise-tools en continue educatie zorgen voor een werkbare balans. IT-organisaties krijgen zo weer de nodige grip op hun datastromen, zonder de productiviteit en innovatie op de werkvloer af te remmen.