Shadow AI op de werkvloer: weet jij wat medewerkers met AI delen?
AI-tools zijn in korte tijd onderdeel geworden van het dagelijkse werk. Medewerkers verbeteren er teksten mee, laten documenten samenvatten, maken analyses of zoeken sneller informatie op. Dat scheelt tijd. Maar weet je als organisatie welke AI-tools worden gebruikt en welke informatie daarin terechtkomt?
Dat vraagstuk heet Shadow AI: AI-toepassingen die medewerkers gebruiken zonder dat IT er volledig zicht op heeft of ze heeft goedgekeurd. Meestal zit daar geen kwade wil achter. Medewerkers willen gewoon sneller werken. Verbieden helpt dan weinig; grip krijgen wel.
Een medewerker ontvangt een lang document en laat een gratis AI-tool er een samenvatting van maken. Een collega plakt een conceptofferte in een chatbot om de tekst scherper te maken. Iemand anders uploadt een Excel-bestand om patronen in de cijfers te vinden. Allemaal begrijpelijk: generatieve AI maakt dit soort werk een stuk makkelijker.
Hoe Shadow AI meestal begint
Het wordt een probleem als medewerkers niet weten welke informatie ze wel en niet mogen delen, of als de organisatie niet weet welke tools er in gebruik zijn. Dan verandert een productiviteitswinst ongemerkt in een beveiligings- of privacyrisico.
Het NCSC meldde in oktober dat ongeveer de helft van de werknemers persoonlijke documenten deelt met AI-tools. Volgens het centrum gebruiken veel organisaties AI al, bewust of onbewust. Inzicht in hoe AI echt wordt gebruikt, wordt dus steeds belangrijker.
Wat delen medewerkers met AI?
Het gaat vaak om meer dan een tekst laten herschrijven of ideeën bedenken. Medewerkers voeren ook dit soort informatie in:
- klantgegevens;
- offertes en contracten;
- notulen van vergaderingen;
- HR-documenten;
- financiële spreadsheets;
- interne rapportages;
- strategie- of projectdocumenten.
Hoe een AI-dienst met die informatie omgaat, verschilt per aanbieder, abonnement, instelling en contract. Een simpel ja of nee op de vraag of bedrijfsinformatie in AI mag, werkt daarom niet. Je moet per toepassing bepalen welke informatie erin mag. Zo kun je AI veilig gebruiken zonder alle tools over één kam te scheren.
AI wordt onderdeel van werkprocessen
Afspraken worden belangrijker naarmate AI meer kan. Eerst ging het vooral om teksten maken en vragen beantwoorden. AI-agents voeren nu zelfstandig taken uit, combineren informatie uit verschillende bronnen en worden onderdeel van complete workflows. Gebeurt dat buiten het zicht van IT, dan groeit het risico mee.
Microsoft heeft inmiddels een Shadow AI-functie in preview. Daarmee kunnen beheerders bepaalde niet-beheerde AI-agents in de organisatie detecteren, monitoren en soms blokkeren. Shadow AI is daarmee ook een kwestie van technisch beheer en security geworden, naast beleid.
Een verbod alleen werkt niet
Het ligt voor de hand om niet-goedgekeurde AI-tools te verbieden. Maar het NCSC wijst erop dat medewerkers AI dan alsnog via hun eigen laptop of telefoon gebruiken. De behoefte verdwijnt ook niet: wie dagelijks tijd bespaart met AI, blijft dat willen.
Effectiever is het om veilig gebruik makkelijker te maken dan onveilig gebruik. Geef medewerkers duidelijke richtlijnen, bied goedgekeurde alternatieven en leg uit waarom bepaalde informatie niet in een willekeurige AI-tool thuishoort.
Vijf stappen om grip te krijgen op Shadow AI
Het NCSC adviseert organisaties om AI-gebruik systematisch aan te pakken. Voor veel organisaties kan dat in vijf stappen.
- Breng het gebruik in kaart. Vraag welke AI-tools medewerkers nu al gebruiken. Kijk ook naar AI-functies in HR-, CRM- en andere software.
- Kijk welke data wordt gedeeld. Welke informatie wordt ingevoerd, geüpload of verwerkt? Maak onderscheid tussen openbare, interne, vertrouwelijke en persoonsgegevens.
- Maak duidelijke afspraken. Leg vast welke toepassingen zijn toegestaan, welke informatie erin mag en wanneer een mens moet meekijken.
- Bied veilige alternatieven. Willen medewerkers AI gebruiken, zorg dan voor oplossingen die passen bij de beveiligings- en privacy-eisen van de organisatie.
- Blijf controleren en bijstellen. AI verandert snel. Neem het mee in periodieke security- en risico-evaluaties en pas afspraken aan als technologie of gebruik verandert.
Maak veilig AI-gebruik de makkelijkste keuze
Medewerkers vooral vertellen wat niet mag, laat Shadow AI waarschijnlijk niet verdwijnen. Grip ontstaat als ze weten welke tools ze kunnen gebruiken, welke informatie ze mogen delen en waar ze met vragen terechtkunnen. Zo maak je ruimte voor innovatie zonder het zicht op data, security en privacy te verliezen.
Weet jij welke AI-tools binnen jouw organisatie worden gebruikt?
CAB Holland helpt organisaties om AI-gebruik, Microsoft 365, security en beleid op elkaar af te stemmen. Zo kunnen medewerkers AI veilig gebruiken, terwijl je als organisatie grip houdt op data en risico’s.
