Shadow AI – Wat gebeurt er als medewerkers hun eigen AI-tool gebruiken?

Een tekst aanscherpen, een document samenvatten of snel wat ideeën verzamelen: AI maakt het steeds makkelijker om werk gedaan te krijgen. Medewerkers ontdekken die mogelijkheden vaak zelf. Ze wachten niet altijd eerst op goedkeuring van IT — en voor je het weet, wordt een handige tool ook voor zakelijke taken gebruikt. We noemen dit: Shadow AI.

Dat doet denken aan Shadow IT: software of clouddiensten die medewerkers gebruiken zonder dat de organisatie daarvan weet of het gebruik heeft goedgekeurd. Shadow AI is daar een nieuwe vorm van. Denk aan chatbots, vertaal- en transcriptietools, browserextensies of AI-functies in bestaande applicaties. Het begint vaak met een praktische oplossing, maar kan ongemerkt gevolgen hebben voor bedrijfsinformatie.

Waar zit het risico?

Dat hangt vooral af van welke informatie je invoert en hoe de betreffende dienst die verwerkt. Denk aan klantgegevens, personeelsinformatie, contracten, financiële cijfers, interne plannen of broncode. Afhankelijk van de tool, de voorwaarden en de instellingen kunnen gegevens worden opgeslagen, gedeeld of op een andere manier verwerkt buiten het zicht van je organisatie.

Dat kan vragen oproepen over privacy, vertrouwelijkheid, beveiliging, contractuele afspraken en intellectueel eigendom. Ook kan het lastiger worden om een incident te onderzoeken als niet duidelijk is welke tools en accounts zijn gebruikt.

Daarnaast is een AI-antwoord niet vanzelfsprekend juist. Ook wanneer een tool veilig met gegevens omgaat, blijft controle nodig voordat informatie wordt overgenomen, gedeeld of gebruikt in een bedrijfsproces.

Betaald is niet hetzelfde als goedgekeurd

Een betaald account klinkt misschien veiliger, maar is op zichzelf geen garantie dat een AI-tool geschikt is voor zakelijk gebruik. De bescherming verschilt per dienst en accountvorm. Kijk onder andere naar de voorwaarden voor gegevensverwerking en -bewaring, de instellingen en eventuele koppelingen met bijvoorbeeld e-mail, bestanden of CRM.

Een zakelijke versie kan extra beheeropties of afspraken bieden. Toch moet de organisatie ook dan beoordelen of de tool én het beoogde gebruik zijn toegestaan. Gebruik dus niet zomaar een persoonlijk account voor werk, alleen omdat het betaald is.

Wat heeft NIS2 ermee te maken?

NIS2 schrijft geen specifieke AI-tool voor en verbiedt Shadow AI niet expliciet. Voor organisaties die onder de richtlijn vallen, is ongecontroleerd AI-gebruik wél relevant binnen het bredere cyberrisicobeheer. Organisaties moeten immers grip houden op de systemen, diensten en leveranciers die zij gebruiken en de risico’s die daarmee samenhangen. Shadow AI maakt dat lastiger.

Eerst even checken

Voer geen vertrouwelijke informatie in een AI-tool in, tenzij dat voor die tool en dat specifieke gebruik uitdrukkelijk is toegestaan. Gebruik waar mogelijk algemene of geanonimiseerde voorbeelden. Let op: ook een combinatie van losse details kan iemand, een klant of een project herkenbaar maken.

Controleer vóór gebruik:

• Is deze tool goedgekeurd voor zakelijk gebruik?
• Gebruik ik het juiste account?
• Mag deze informatie met deze dienst worden gedeeld?
• Zijn de instellingen, voorwaarden en eventuele koppelingen beoordeeld?
• Weet ik waar ik terechtkan als ik twijfel of iets verkeerd gaat?

Voor organisaties is simpelweg verbieden zelden de beste oplossing. Maak duidelijk welke tools en toepassingen wél gebruikt mogen worden, welke gegevens daarbij passen en hoe medewerkers een nieuwe tool eenvoudig kunnen laten beoordelen. Zo blijft er ruimte om slimmer te werken, met grip op de informatie die je organisatie en klanten aan je toevertrouwen.