AI-beleid voor je bedrijf:
hoe voorkom je shadow AI

Je personeel gebruikt al AI, ook als je er geen beleid voor hebt

De kans is groot dat medewerkers in jouw bedrijf al ChatGPT, Copilot of Gemini gebruiken voor werk, ook als de organisatie zelf geen AI heeft ingevoerd. Onderzoek van Awareways naar shadow AI laat zien dat 78 procent van medewerkers AI gebruikt zonder toestemming of toezicht van IT, terwijl organisaties zicht hebben op minder dan 11 procent van het daadwerkelijke gebruik. Dat gat tussen wat er gebeurt en wat je weet, is precies waar risico ontstaat.

Waarom shadow AI zo hard groeit

Niemand doet dit om het bedrijf te schaden. Een offerte sneller opstellen, een lastige e-mail laten meelezen, een stuk tekst laten samenvatten: het werkt, het is gratis toegankelijk, en er is nog geen duidelijke regel die het verbiedt. Precies dat laatste is het probleem. Zonder beleid is elke medewerker zijn eigen risicobeoordelaar, en die beoordeling gaat zelden over AVG, geheimhouding of contractuele afspraken met klanten.

De risico’s die je er ongemerkt bij krijgt

Drie dingen gaan mis zodra AI-gebruik ongestuurd blijft:

• Gevoelige informatie verlaat het bedrijf. Klantgegevens, contractdetails of concepttekst voor een aanbesteding belanden in een publiek AI-systeem waar je geen controle meer over hebt. Er zijn al gevallen bekend van overheidsorganisaties die persoonsgegevens in een publieke AI-tool plakten zonder dat dat de bedoeling was.
• Het halo-effect maakt mensen onvoorzichtig. Een professioneel ogende AI-uitkomst voelt betrouwbaar, ook als de bron dat niet is. Awareways noemt dit expliciet als verklaring waarom mensen sneller gevoelige data delen met AI-tools dan ze zouden doen met een onbekende website.
• Het opent een nieuwe aanvalsroute. Phishing-clicks via AI-gerelateerde mails stegen in twee jaar van 1,2 naar 6,8 procent: bijna een vervijfvoudiging. Mensen zijn gewend geraakt aan AI-achtige communicatie en klikken sneller door.

Wat een AI-beleid concreet regelt

Een AI-beleid is geen verbod, het is een grens. Vier dingen moeten erin staan: welke AI-tools wel gebruikt mogen worden en welke niet, wat je nooit invoert (klantgegevens, personeelsdossiers, financiële details, alles onder geheimhouding), wie er verantwoordelijk is als het misgaat, en hoe nieuwe AI-toepassingen worden goedgekeurd voordat een team ermee aan de slag gaat. Sectorspecifiek verschilt dat: in de zorg gaat het om cliëntgegevens, in de bouw om bestekken en tekeningen, bij besluiten die de ondernemingsraad raken om instemming vooraf.

Beleid zonder training is een papieren tijger

Een document in een map verandert niemand’s gedrag. Wat wel werkt: iedereen die met AI werkt, snapt waaróm de regels er zijn, niet alleen dát ze er zijn. Dat is ook precies wat artikel 4 van de EU AI Act van je vraagt: aantoonbare AI-geletterdheid in de hele organisatie. Bij DIDEV hoort training bij elk traject: je team leert werken met wat we bouwen, en we leggen per medewerker vast wat er is gevolgd.

Conclusie

Shadow AI is geen toekomstig risico, het gebeurt nu al in je bedrijf. Je kunt het niet uitschakelen door het te negeren, wel door het te sturen: een helder beleid, uitgelegd aan de mensen die ermee werken. Dat is goedkoper en sneller geregeld dan het lijkt.