Wat is Shadow AI?

Veel organisaties zijn nog bezig met hun AI-strategie, terwijl medewerkers AI-tools al dagelijks gebruiken. Vaak met de beste bedoelingen. Een medewerker laat een document samenvatten in ChatGPT, gebruikt Claude om een e-mail op te stellen of vraagt een andere AI-tool om een contract te analyseren. Handig, snel en vaak effectief.

Wanneer deze tools niet zijn goedgekeurd of beheerd door de organisatie, spreken we van Shadow AI. Shadow AI is het gebruik van AI-tools buiten het zicht en de controle van IT en security.

Waarom is Shadow AI een risico?

Het grootste risico zit meestal niet in de AI-tool zelf, maar in de informatie die medewerkers invoeren. Denk bijvoorbeeld aan:

• Offertes
• Klantgegevens
• Contracten
• Financiële informatie
• Personeelsgegevens
• Interne bedrijfsdocumentatie

Wanneer deze gegevens in een niet-goedgekeurde AI-dienst terechtkomen, verlaten ze de gecontroleerde bedrijfsomgeving. Je weet dan niet meer precies waar de gegevens worden verwerkt, opgeslagen of voor welke doeleinden ze worden gebruikt.

Daarnaast ontstaat een governanceprobleem. Je kunt als organisatie niet aantonen welke AI-tools worden gebruikt, welke gegevens daarin terechtkomen en welke controles daarop van toepassing zijn. Dat wordt steeds belangrijker vanuit privacywetgeving, informatiebeveiliging en regelgeving zoals NIS2.

Waarom gebruiken medewerkers toch Shadow AI?

Vrijwel nooit uit onwil. Meestal zit er een heel praktische reden achter:

• Het werk moet af en de AI-tool doet het sneller dan de bestaande manier
• De zakelijke tool is er nog niet, of niet voor iedereen beschikbaar
• Een collega tipte iets dat goed werkte, en dat verspreidt zich sneller dan beleid
• Er is geen duidelijke afspraak, dus niemand heeft het gevoel iets fout te doen
• De drempel is nul: een gratis account is in dertig seconden aangemaakt

Daar komt bij dat medewerkers het risico vaak niet zien. Een document samenvatten voelt niet als het delen van bedrijfsinformatie, terwijl dat precies is wat er gebeurt.

Dat verklaart ook waarom een verbod zelden werkt. Zolang de officiële route trager is dan de eigen route, verdwijnt het gebruik niet maar wordt het onzichtbaar. Wie Shadow AI wil terugdringen, moet dus niet alleen regels stellen, maar vooral zorgen dat het goedgekeurde alternatief net zo makkelijk werkt.

Hoe ontdek ik of Shadow AI binnen mijn organisatie wordt gebruikt?

Begin met het gesprek, vraag medewerkers welke AI-tools zij gebruiken en waarvoor. In vrijwel iedere organisatie blijkt het gebruik groter dan het management verwacht.

Daarnaast kun je AI-gebruik inzichtelijk maken met gespecialiseerde monitoringtools. Daarmee wordt zichtbaar welke AI-diensten medewerkers gebruiken, hoeveel gebruik daarvan wordt gemaakt en waar mogelijk risico’s ontstaan. Daardoor krijg je een realistischer beeld van wat er daadwerkelijk binnen de organisatie gebeurt.

Binnen de dienst Copilot Coach besteden wij hier expliciet aandacht aan. Naast training en begeleiding monitoren we hoe medewerkers AI gebruiken, inclusief Shadow AI. Zo krijgen organisaties inzicht in welke AI-tools worden gebruikt en kunnen ze AI veilig en gecontroleerd inzetten.

Het doel is niet om medewerkers te controleren, maar om inzicht te krijgen. In de praktijk blijkt dat veel organisaties verrast zijn door het aantal AI-tools dat al actief wordt gebruikt. Veel organisaties denken dat ze nog niets met AI doen. Vaak blijkt tijdens een eerste inventarisatie dat medewerkers al dagelijks ChatGPT, Claude, Gemini of andere AI-tools gebruiken. Je kunt AI daarom beter zichtbaar maken en begeleiden dan proberen tegen te houden.

Is een privé AI account op een zakelijke laptop een probleem?

Het gebruiken van een prive of gratis AI account voor zakelijke doeleinden kan zeker een risico zijn. Het probleem is niet zozeer dat de laptop zakelijk is, maar het feit dat bedrijfsinformatie via een persoonlijk AI-account wordt verwerkt. Daardoor valt die informatie buiten de afspraken, beveiligingsmaatregelen en het beheer van de organisatie.

Dat brengt verschillende risico’s met zich mee:

• Gratis AI-tools gebruiken ingevoerde gegevens soms om hun modellen verder te verbeteren. Wanneer medewerkers klantgegevens, offertes, contracten of interne documenten invoeren, kan gevoelige bedrijfsinformatie buiten de controle van de organisatie terechtkomen.
• Wanneer een medewerker uit dienst gaat, blijft het gebruikte AI-account vaak persoonlijk eigendom. De organisatie heeft dan geen inzicht meer in eerdere gesprekken, opgeslagen documenten, gemaakte AI-projecten of kennis die daarin is opgebouwd.
• Je kunt vaak niet aantonen welke informatie is gedeeld en hoe deze is verwerkt. Dat maakt het lastiger om te voldoen aan privacywetgeving, compliance-eisen of vragen van klanten en auditors.
• Bedrijfskennis raakt versnipperd. Handige prompts, AI-assistenten of workflows blijven achter in persoonlijke accounts in plaats van beschikbaar te zijn voor de organisatie.

Daarom adviseren wij om uitsluitend zakelijke AI-tools te gebruiken zoals Microsoft Copilot of andere zakelijke AI oplossingen met Single Sign-On (SSO). Zo behoudt de organisatie controle over toegang, beveiliging en data, terwijl medewerkers veilig gebruik kunnen maken van AI.

Lees ook: Claude veilig configureren met Single Sign-On (SSO)

Hoe voorkom je Shadow AI?

Shadow AI ontstaat meestal niet doordat medewerkers bewust risico’s nemen. Vaak willen ze simpelweg sneller werken en gebruiken ze daarvoor een AI-tool die ze zelf hebben gevonden. Daarom werkt een verbod in de praktijk zelden. Het is effectiever om duidelijke afspraken te maken over welke AI-tools gebruikt mogen worden, welke gegevens wel en niet gedeeld mogen worden en hoe organisaties grip houden op AI-gebruik.

Voor veel organisaties begint dat met een praktisch AI-beleid. Daarmee maak je duidelijk wat de spelregels zijn, zonder innovatie in de weg te zitten.

Wil je weten welke onderwerpen in een AI-beleid thuishoren? Lees dan ook ons artikel: AI-beleid opstellen: waar moet je aan denken?