De opmars van kunstmatige intelligentie stelt organisaties voor een opmerkelijke uitdaging. Terwijl medewerkers steeds meer gebruikmaken van Cloud, ChatGPT, Microsoft Copilot en andere AI-toepassingen, ontbreekt het veel organisaties aan inzicht in de risico’s, de kwaliteit van hun informatievoorziening en het daadwerkelijke rendement. De technologie is doorgaans niet het grootste obstakel. De vraag is vooral of organisaties voldoende grip hebben op hun data, processen en medewerkers om AI verantwoord en effectief in te zetten.
Kunstmatige intelligentie heeft in korte tijd een vaste plaats veroverd op de werkvloer. Waar AI enkele jaren geleden vooral onderwerp was van experimenten en toekomstvisies, gebruiken medewerkers de technologie inmiddels voor het opstellen van offertes, het analyseren van informatie, het voorbereiden van klantgesprekken en het automatiseren van administratieve werkzaamheden. De mogelijkheden lijken vrijwel onbeperkt en de toegankelijkheid van de technologie zorgt ervoor dat medewerkers vaak zelfstandig ontdekken hoe zij hun werk ermee kunnen vereenvoudigen. Voor organisaties biedt dat enorme kansen, maar tegelijkertijd ontstaat een situatie waarin de technologische ontwikkelingen sneller gaan dan het beleid, de beveiliging en de interne organisatie kunnen bijhouden.
Die ontwikkeling roept een fundamentele vraag op. Want hoe verstandig is het om medewerkers toegang te geven tot steeds krachtigere AI-toepassingen wanneer onvoldoende duidelijk is welke bedrijfsinformatie zij kunnen raadplegen, hoe betrouwbaar die informatie is en wat er met de gegevens gebeurt? En minstens zo belangrijk: hoe voorkom je dat AI vooral een kostbare verzameling licenties wordt, zonder dat daar aantoonbare productiviteitsverbeteringen tegenover staan?
Volgens ICT-dienstverlener Lemontree begint een succesvolle AI-strategie daarom niet bij de keuze voor een technologie, maar bij de vraag of de organisatie voldoende voorbereid is op het gebruik ervan. Tijdens een recente masterclass over AI en governance werd duidelijk dat veel organisaties weliswaar grote ambities hebben, maar dat de noodzakelijke randvoorwaarden voor veilig en rendabel AI-gebruik lang niet altijd aanwezig zijn.
AI maakt bestaande tekortkomingen in informatiebeveiliging zichtbaar
Een van de belangrijkste aandachtspunten bij de introductie van AI is de manier waarop organisaties hun informatie hebben georganiseerd. Dat geldt in het bijzonder voor bedrijven die intensief gebruikmaken van Microsoft 365 en overwegen om Microsoft 365 Copilot breed beschikbaar te stellen. De kracht van Copilot is immers dat de technologie informatie uit onder meer SharePoint, Teams, Outlook en andere Microsoft 365-toepassingen kan combineren om medewerkers sneller van relevante antwoorden en inzichten te voorzien. Juist die mogelijkheid maakt het noodzakelijk om kritisch naar de bestaande informatiehuishouding te kijken.
In veel organisaties zijn de toegangsrechten tot documenten en gegevens in de loop der jaren steeds complexer geworden. Medewerkers wisselen van functie, projectteams worden opgeheven en afdelingen veranderen van samenstelling, terwijl de oorspronkelijke machtigingen niet altijd consequent worden aangepast. Daardoor kunnen documenten toegankelijk zijn voor medewerkers die deze informatie vanuit hun huidige functie eigenlijk niet zouden moeten kunnen inzien. Zolang die documenten verspreid staan over honderden SharePoint-sites en duizenden mappen, blijven dergelijke tekortkomingen vaak onopgemerkt.
Met de komst van AI verandert dat. Microsoft 365 Copilot respecteert weliswaar de bestaande toegangsrechten, maar maakt het aanzienlijk eenvoudiger om informatie te vinden, samen te vatten en met andere gegevens te combineren. Een medewerker hoeft daardoor niet langer precies te weten waar een document is opgeslagen om de inhoud ervan te kunnen benutten. Wanneer vertrouwelijke informatie onbedoeld te ruim toegankelijk is gemaakt, kan AI die informatie dus ook veel gemakkelijker zichtbaar maken.
Dat betekent niet dat AI de bestaande beveiliging omzeilt. Het betekent vooral dat tekortkomingen in toegangsbeheer en informatieclassificatie grotere gevolgen kunnen krijgen. Een verkeerd ingestelde machtiging die jarenlang nauwelijks risico leek op te leveren, kan ineens een serieus aandachtspunt worden wanneer medewerkers met behulp van AI eenvoudig informatie uit verschillende bronnen kunnen opvragen.
Voor organisaties is dit een belangrijke reden om de introductie van Copilot niet uitsluitend als een functioneel IT-project te beschouwen. Het is minstens zozeer een vraagstuk van informatiebeheer en governance, waarbij vooraf moet worden vastgesteld welke gegevens beschikbaar zijn, wie toegang heeft en welke informatie aanvullende bescherming nodig heeft. Technologieën zoals Microsoft Purview kunnen daarbij ondersteunen, bijvoorbeeld door informatie te classificeren, gevoelige gegevens te beschermen en het ongewenst delen ervan te beperken. De effectiviteit van dergelijke maatregelen staat of valt echter met een zorgvuldige inrichting en het consequent toepassen van beleid.
Shadow AI groeit sneller dan het organisatiebeleid
Naast de risico’s binnen bestaande IT-omgevingen ontstaat een tweede uitdaging doordat medewerkers steeds vaker zelfstandig AI-toepassingen gebruiken. Deze ontwikkeling, doorgaans aangeduid als shadow AI, vertoont overeenkomsten met de opkomst van shadow IT, maar kan verstrekkendere gevolgen hebben. Waar medewerkers voorheen buiten de IT-afdeling om een applicatie aanschaften of bestanden opsloegen in een externe clouddienst, kunnen zij tegenwoordig complete documenten, klantgegevens of bedrijfsprocessen laten analyseren door AI-diensten waarvan de organisatie de voorwaarden en beveiligingsinstellingen niet kent.
Het gebruik van dergelijke toepassingen ontstaat doorgaans niet uit onwil. Medewerkers ervaren simpelweg dat AI hen helpt om sneller en efficiënter te werken. Wanneer de organisatie geen duidelijke richtlijnen of geschikte alternatieven biedt, zoeken zij zelf naar oplossingen. Het volledig blokkeren van AI-diensten lijkt dan misschien een logische beveiligingsmaatregel, maar kan ertoe leiden dat medewerkers uitwijken naar privéaccounts of andere apparaten. Daarmee verdwijnt het gebruik niet noodzakelijk, terwijl het zicht erop juist verder afneemt.
Een effectievere aanpak vraagt om een combinatie van technische maatregelen, duidelijke afspraken en bewustwording. Organisaties moeten weten welke AI-toepassingen worden gebruikt, welke informatie daarmee wordt verwerkt en welke externe diensten toegang hebben tot bedrijfsgegevens. Tegelijkertijd moeten medewerkers begrijpen waarom bepaalde gegevens niet zomaar in een publieke AI-dienst kunnen worden ingevoerd en welke veilige alternatieven beschikbaar zijn.
Governance moet daarbij niet worden gezien als een instrument om innovatie af te remmen, maar juist als een noodzakelijke voorwaarde om AI op grotere schaal mogelijk te maken. Wanneer organisaties heldere kaders vaststellen en medewerkers toegang geven tot goedgekeurde toepassingen, ontstaat ruimte om te experimenteren zonder dat de controle over bedrijfsinformatie verloren gaat.
De komst van AI-agents verandert het speelveld
De noodzaak van een goed ingerichte AI-omgeving wordt nog groter nu de technologie zich ontwikkelt van digitale assistenten naar AI-agents die zelfstandig taken kunnen uitvoeren. Waar generatieve AI aanvankelijk vooral werd gebruikt om teksten te schrijven, vragen te beantwoorden en documenten samen te vatten, kunnen moderne AI-toepassingen steeds vaker verschillende systemen raadplegen, informatie verwerken en binnen vooraf bepaalde grenzen zelfstandig acties ondernemen.
Voor organisaties opent dat de deur naar een volgende fase van automatisering. Denk aan logistieke bedrijven waar medewerkers dagelijks grote hoeveelheden transportdocumenten verwerken, zorginstellingen waar administratieve handelingen veel tijd kosten of zakelijke dienstverleners waar informatie uit verschillende systemen moet worden gecombineerd voordat een klantvraag kan worden afgehandeld. Door AI te integreren in dergelijke processen kunnen repetitieve werkzaamheden worden verminderd en krijgen medewerkers meer ruimte voor taken waarbij menselijke kennis, ervaring en persoonlijk contact het verschil maken.
Tegelijkertijd ontstaat daarmee een nieuwe verantwoordelijkheid voor IT-afdelingen. Een AI-agent die toegang krijgt tot bedrijfsapplicaties en zelfstandig handelingen uitvoert, moet immers op een vergelijkbare manier worden beheerd als een menselijke medewerker. Het moet duidelijk zijn welke systemen de agent mag benaderen, welke informatie beschikbaar is en welke acties zonder menselijke tussenkomst mogen plaatsvinden. Ook moet worden vastgelegd wie verantwoordelijk is voor de resultaten, hoe activiteiten worden gecontroleerd en onder welke omstandigheden een agent moet worden uitgeschakeld.
Dat vraagt om een verdere ontwikkeling van het bestaande identity- en accessmanagement. Het principe van minimale toegangsrechten blijft daarbij essentieel, maar krijgt een nieuwe dimensie wanneer niet alleen mensen en traditionele applicaties, maar ook autonome AI-systemen toegang vragen tot bedrijfsprocessen. Zonder duidelijke verantwoordelijkheden en adequaat toezicht bestaat het risico dat organisaties een nieuwe generatie digitale identiteiten creëren waarover zij onvoldoende controle hebben.
Rendement ontstaat niet door licenties, maar door betere processen
Hoewel informatiebeveiliging en governance belangrijke voorwaarden zijn, bepalen zij op zichzelf nog niet of AI ook daadwerkelijk waarde toevoegt. Voor veel organisaties is de economische kant minstens zo belangrijk. De belangstelling voor Microsoft Copilot en andere generatieve AI-toepassingen is groot, maar de aanschaf van licenties leidt niet automatisch tot een meetbare verbetering van de productiviteit.
Een medewerker die met behulp van AI sneller een e-mail opstelt of een vergadering samenvat, kan daar dagelijks voordeel van hebben. Toch is het lastig om dergelijke tijdwinst rechtstreeks te vertalen naar financieel rendement. De werkelijke meerwaarde ontstaat vaak wanneer organisaties verder kijken dan individuele productiviteit en onderzoeken welke complete bedrijfsprocessen met behulp van AI kunnen worden verbeterd.
In vrijwel iedere organisatie bestaan processen waarbij medewerkers veel tijd besteden aan het verzamelen, controleren, vergelijken en overtypen van informatie. Het gaat daarbij vaak om werkzaamheden die noodzakelijk zijn, maar weinig directe waarde toevoegen. Juist dergelijke processen bieden interessante mogelijkheden voor intelligente automatisering, zeker wanneer informatie uit verschillende bronnen moet worden gecombineerd of uitzonderingen moeten worden beoordeeld.
Een administratief proces dat dagelijks twee uur handmatig werk vraagt en door automatisering kan worden teruggebracht tot een half uur, levert bij 220 werkdagen bijvoorbeeld 330 uur aan vrijgespeelde capaciteit per jaar op. Die tijdwinst vertegenwoordigt niet automatisch een even grote financiële besparing, omdat ook ontwikkel-, beheer- en controlekosten moeten worden meegenomen. Wel ontstaat een concrete basis om te beoordelen of de investering zinvol is en hoe medewerkers de vrijgekomen tijd productiever kunnen besteden.
De praktijkvoorbeelden die tijdens de masterclass door De AI Fabriek werden besproken, onderstrepen het belang van deze procesgerichte benadering. Door niet de technologie, maar een concreet bedrijfsprobleem als uitgangspunt te nemen, wordt duidelijk waar AI daadwerkelijk kan bijdragen aan snellere besluitvorming, minder administratieve belasting en een betere dienstverlening. Soms vraagt dat om een AI-agent of een maatwerkoplossing, terwijl in andere gevallen traditionele procesautomatisering eenvoudiger en kosteneffectiever blijkt.
Een succesvolle AI-strategie begint daarom bij het identificeren van werkzaamheden waar verbetering mogelijk is. Pas wanneer duidelijk is welk probleem moet worden opgelost, welke resultaten worden verwacht en hoe deze worden gemeten, kan worden bepaald welke technologie daarvoor het meest geschikt is.
De kwaliteit van bedrijfsinformatie blijft doorslaggevend
Een factor die daarbij gemakkelijk wordt onderschat, is de kwaliteit van de informatie waarop AI zich baseert. Generatieve AI kan in korte tijd overtuigende antwoorden formuleren, maar beschikt niet automatisch over de juiste context of actuele bedrijfskennis. Wanneer procedures verouderd zijn, documenten elkaar tegenspreken of belangrijke informatie verspreid staat over verschillende systemen, kan AI antwoorden produceren die aannemelijk klinken maar inhoudelijk onjuist zijn.
Daarmee wordt goed informatiebeheer niet alleen een beveiligingsvraagstuk, maar ook een belangrijke voorwaarde voor betrouwbare AI-resultaten. Organisaties moeten weten welke informatie actueel is, welke bronnen als betrouwbaar gelden en wie verantwoordelijk is voor het onderhouden van de inhoud. Zonder die basis bestaat het risico dat AI bestaande fouten niet oplost, maar juist sneller verspreidt.
Dat is vooral relevant wanneer AI wordt ingezet voor processen waarbij beslissingen financiële, juridische of operationele gevolgen kunnen hebben. Een onjuiste samenvatting van contractvoorwaarden, een verouderde werkinstructie of een verkeerd geïnterpreteerd klantgegeven kan gevolgen hebben die veel verder reiken dan een onvolledig antwoord op een eenvoudige vraag.
Daarom blijft menselijke controle noodzakelijk, zeker bij toepassingen met een verhoogd risico. Naarmate organisaties AI meer zelfstandigheid geven, moet ook de inrichting van kwaliteitscontrole, logging en verantwoordelijkheid meegroeien.
Medewerkers bepalen uiteindelijk het succes
Zelfs wanneer de technische omgeving goed is ingericht en de informatievoorziening op orde is, blijft het succes van AI afhankelijk van de mensen die ermee werken. Het beschikbaar stellen van een AI-assistent betekent immers nog niet dat medewerkers weten hoe zij deze effectief kunnen gebruiken. Zonder voldoende kennis blijven toepassingen vaak beperkt tot eenvoudige tekstuele ondersteuning, terwijl juist in complexere werkzaamheden de grootste kansen liggen.
Training moet daarom verder gaan dan het uitleggen van functionaliteiten of het aanleren van enkele handige prompts. Medewerkers moeten begrijpen hoe AI tot resultaten komt, welke beperkingen de technologie heeft en hoe zij antwoorden kritisch kunnen beoordelen. Daarnaast is het belangrijk om toepassingen te koppelen aan de dagelijkse werkzaamheden van specifieke functies en afdelingen. Een financieel medewerker, accountmanager of HR-professional heeft immers andere informatiebehoeften en werkprocessen.
Ook het management speelt hierin een bepalende rol. Leidinggevenden moeten kunnen beoordelen waar AI waarde toevoegt, welke werkzaamheden geschikt zijn voor automatisering en hoe de organisatie de resultaten daarvan meet. Wanneer AI uitsluitend als een IT-project wordt behandeld, bestaat het risico dat de implementatie technisch slaagt, maar de daadwerkelijke verandering in werkprocessen achterblijft.
Organisaties die medewerkers actief begeleiden, praktische toepassingsmogelijkheden ontwikkelen en ruimte creëren om ervaringen uit te wisselen, vergroten de kans dat AI structureel onderdeel wordt van de bedrijfsvoering. Daarmee verschuift de aandacht van het gebruik van een nieuwe technologie naar een andere manier van werken.
AI-readiness als vertrekpunt voor duurzame innovatie
De belangrijkste conclusie is dat organisaties niet hoeven te wachten totdat hun volledige IT-omgeving perfect is ingericht voordat zij met AI aan de slag kunnen. Wel is het verstandig om vooraf vast te stellen waar de belangrijkste risico’s liggen en welke randvoorwaarden noodzakelijk zijn voor een verantwoorde implementatie. Een AI-readiness assessment kan daarbij helpen door inzicht te geven in de bestaande informatiehuishouding, toegangsrechten, beveiligingsmaatregelen, governance en de mate waarin medewerkers zijn voorbereid op het gebruik van AI.
Op basis van die inzichten kunnen organisaties gericht verbeteringen doorvoeren en tegelijkertijd beginnen met kleinschalige, beheersbare toepassingen. Door te starten met een concreet bedrijfsproces, vooraf meetbare doelstellingen vast te stellen en de resultaten zorgvuldig te evalueren, ontstaat een fundament voor verdere uitbreiding. Zo hoeft informatiebeveiliging geen belemmering voor innovatie te worden, maar kan zij juist bijdragen aan een gecontroleerde versnelling.
De komende jaren zal AI zich verder ontwikkelen en steeds dieper verweven raken met bestaande bedrijfsapplicaties en processen. Daarmee zal het onderscheid tussen organisaties waarschijnlijk niet worden bepaald door de vraag wie als eerste over de nieuwste AI-technologie beschikt. Veel belangrijker wordt de mate waarin bedrijven erin slagen hun informatievoorziening, beveiliging, medewerkers en bedrijfsprocessen op elkaar af te stemmen.
De organisaties die daarin investeren, creëren niet alleen een veiligere omgeving voor het gebruik van AI, maar leggen ook de basis voor structurele productiviteitsverbeteringen en nieuwe vormen van dienstverlening. Wie daarentegen vooral investeert in technologie zonder aandacht te besteden aan de organisatorische randvoorwaarden, loopt het risico dat de beloofde voordelen achterblijven en bestaande kwetsbaarheden worden vergroot.
Daarmee is de belangrijkste vraag voor bestuurders en IT-verantwoordelijken niet langer óf kunstmatige intelligentie een rol gaat spelen binnen hun organisatie. Die ontwikkeling is immers al in volle gang. De werkelijke uitdaging is om ervoor te zorgen dat AI niet alleen wordt gebruikt, maar ook betrouwbaar functioneert, aantoonbaar waarde toevoegt en onder controle blijft.
Deze bijdrage is gebaseerd op inzichten uit de masterclass AI & Governance, georganiseerd door ICT-dienstverlener Lemontree, met bijdragen van AI-specialist Ziggy Itjoejaree en De AI Fabriek. Lemontree ondersteunt organisaties bij het beoordelen van hun AI-readiness, het inrichten van Microsoft 365-governance, het geven van AI-trainingen en het verantwoord implementeren van AI-toepassingen.
Dit is een ingezonden bijdrage van Lemontree. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.