Schaduw-AI

Hoe het eruitziet

Een medewerker plakt een klantmail in een gratis chatbot om sneller een antwoord te schrijven. Een collega laat een offerte samenvatten via een persoonlijk account. Niemand bedoelt er iets kwaads mee, en niemand anders weet ervan. Dat is schaduw-AI: gebruik dat buiten het zicht van de organisatie plaatsvindt, op tools waar geen afspraken over zijn gemaakt.

Het komt vaker voor dan de meeste directies denken. In de Work Trend Index 2024 van Microsoft en LinkedIn, een onderzoek onder 31.000 mensen in 31 landen, zei 78% van de AI-gebruikers eigen AI-tools mee te nemen naar het werk. Bij kleine en middelgrote bedrijven was dat 80%.

Waarom het gebeurt

Twee redenen keren steeds terug. Mensen willen hun werk sneller en met minder geestdodend werk doen, en de tools zijn gratis en direct beschikbaar. Daarnaast is er vaak geen goedgekeurde optie, of weet niemand welke dat is. Waar geen route is, kiezen mensen hun eigen route. In hetzelfde onderzoek zei 52% van de AI-gebruikers het liever niet toe te geven als ze AI inzetten voor hun belangrijkste taken. Het gebruik blijft dus ook onzichtbaar als je ernaar vraagt.

Wat er op het spel staat

De Autoriteit Persoonsgegevens kreeg in 2024 meerdere meldingen van zulke datalekken. In een geval had een medewerker van een huisartsenpraktijk medische gegevens van patiënten in een AI-chatbot gezet. In een ander geval had een medewerker van een telecombedrijf een bestand met onder meer klantadressen ingevoerd. Onder de AVG meld je een datalek waar mogelijk binnen 72 uur bij de toezichthouder.

Waarom een verbod niet werkt

Een verbod zonder alternatief neemt de behoefte niet weg. Het gebruik gaat door, alleen nog verder uit beeld, en je verliest het gesprek over wat wel kan.

Wat wel werkt

• Een kort AI-beleid dat zegt welke tools mogen en welke gegevens er nooit in gaan
• Een goedgekeurde optie: een tool waarover afspraken zijn gemaakt met de aanbieder, bijvoorbeeld dat ingevoerde gegevens niet worden opgeslagen
• Een AI-register: een eenvoudig overzicht van welke AI-tools in gebruik zijn, door wie, waarvoor en met welke gegevens
• Uitleg aan medewerkers, zodat ze weten waarom de regels er zijn. Dat sluit aan op de plicht tot AI-geletterdheid uit de AI Act

Begin met uitzoeken wat er al gebruikt wordt, zonder dat het als controle voelt. Stel: je vraagt elk team welke tools ze gebruiken en waarvoor, en belooft vooraf dat niemand op het antwoord wordt afgerekend. Dan krijg je een eerlijker beeld dan een verbod je ooit geeft. Hoe je daarna een kader opzet, lees je in AI-beleid opstellen: een kader voor vandaag.