Wat is shadow AI? Medewerkers die ongezien AI-tools gebruiken met bedrijfsdata. Waarom verbieden niet werkt en wat wel.
Shadow AI is het gebruik van AI-tools buiten de afspraken van de organisatie om: medewerkers plakken klantteksten in een openbare chatbot of draaien hun eigen automatiseringen, zonder dat iemand het ziet. Het risico zit niet in de techniek maar in de onzichtbaarheid. Niemand kan data of fouten controleren die hij niet kent.
De naam leunt op shadow IT: software die afdelingen zelf aanschaffen buiten de IT-afdeling om. Bij AI is het fenomeen groter, omdat de tools gratis en direct beschikbaar zijn. Een medewerker die een klachtenbrief wil schrijven, opent gewoon een chatbot. Geen inkoop, geen toestemming, geen spoor dat later terug te vinden is.
Meestal gebeurt het met goede bedoelingen: sneller werken, minder routewerk. Het gevaar schuilt in wat wordt ingevoerd. Klantgegevens, contractteksten of gezondheidsinformatie die in een publieke tool belanden, verlaten de kaders die je organisatie normaal bewaakt. En er is geen logboek waar je dat later terugvindt. Precies die onzichtbaarheid maakt het lastiger dan een gewone schending van afspraken: je kunt er niet over praten wat je niet ziet.
Verbieden lost er weinig op; dat is bij shadow IT inmiddels ruimschoots bewezen. Wat wél werkt: één goedgekeurde route die net zo makkelijk is als de ongeoorloofde, heldere regels over welke gegevens erin mogen, en een sfeer waarin mensen het kunnen zeggen zonder straf te verwachten. Wie niets te verbergen heeft, hoeft geen gebruik te verbergen.
Altijd, zodra je medewerkers hebt en AI bestaat. De vraag is niet óf het gebeurt, maar of je het ziet. De aandacht is het meest waard bij organisaties met vertrouwelijke gegevens: klantdossiers, persoonsgegevens, contracten. Daar is één verkeerd ingeplakte tekst geen pech maar een datalek, met meldplicht en uitleg aan betrokkenen tot gevolg. Ook bij vertrouwelijke cijfers. Omzet, offertes, salarissen. Loont het om de grenzen vast te leggen vóórdat ze worden overtreden.
Niet de moeite waard is een controlesysteem dat medewerkers afluistert. Dat verjaagt het gebruik zonder het te verbeteren en vergiftigt de sfeer waarin mensen eerlijk durven te zijn. De korte weg is: vraag het gewoon eens, zonder verwijt, en kijk wat eruit komt. De antwoorden verrassen bijna altijd. En zijn meteen de bouwstenen van een beleid dat past bij hoe er echt wordt gewerkt.
Niet door te verbieden, maar door de geaccepteerde route aantrekkelijk te maken: een automatisering of agent die het dagelijkse werk sneller doet dan de chatbot ernaast, binnen de kaders die jij stelt. In de discovery vragen we er ook expliciet naar welke tools er nu al ongevraagd worden gebruikt. Niet om te controleren, maar om het beleid te bouwen op de werkelijkheid in plaats van op de organisatiekaart.
Shadow IT is alle software die buiten de afgesproken weg in gebruik raakt. Een app hier, een dienst daar, meestal met een inkoop of installatie. Shadow AI is de AI-variant en is grijpbaarder: de tools zitten in de browser, kosten niets en vereisen geen installatie, dus er is geen enkel spoor. Het gevolg is dat shadow AI zich sneller verspreidt en later wordt ontdekt, juist omdat de drempel zo laag ligt. De aanpak is gelijksoortig, maar de snelheid waarmee het groeit is anders.
Niet uit systemen (daar is het juist onzichtbaar) maar uit gedrag en uit gesprekken. Signalen zijn: teksten die opeens in een herkenbare AI-stijl worden geschreven, collega's die sneller werken zonder dat er iets nieuws is ingevoerd, en klantgegevens die op plekken verschijnen waar ze niet thuishoren. De betrouwbaarste bron blijft het eerlijke gesprek: vraag welke tools er worden gebruikt en waarom, zonder verwijt. Wie niets te verwachten heeft van een boete, vertelt het liever wel.
Een algeheel verbod werkt contraproductief: het gebruik gaat door, maar buiten je zicht, en daarmee verlies je juist de controle die je zocht. Beter is kaderen: leg vast welke gegevens nooit in een externe tool mogen, geef één goedgekeurde route voor het dagelijkse werk, en leg uit waarom de grens daar ligt. Wie iets heeft om mee te werken, gebruikt de omweg niet meer. Een verbod zet de boodschap om in vertrouwen tegenover controle; kaderen houdt ze bij elkaar.
Kort gezegd: ja. Zodra persoonsgegevens in een externe tool belanden die niet in je verwerkersafspraken staat, verwerk je gegevens buiten de kaders van je eigen privacybeleid. Met alle gevolgen van dien: geen aantoonbare afspraak, geen duiding van waar de gegevens zijn en mogelijk een meldplicht als er iets lekt. Daarom is het belangrijk dat het AI-beleid expliciet noemt welke gegevens er niet in externe tools mogen, en dat er een geaccepteerd alternatief staat voor het werk dat mensen probeerden te doen.
EIGHTY8