Schaduw-AI: je medewerkers gebruiken het al
Schaduw-AI is het gebruik van AI-gereedschap binnen een organisatie zonder dat de organisatie dat weet of heeft goedgekeurd. Het is geen randverschijnsel: in onderzoek na onderzoek geeft een ruime meerderheid van de kenniswerkers aan AI te gebruiken, terwijl een veel kleiner deel van de werkgevers daar beleid voor heeft.
Waarom het gebeurt
Niet uit onwil. Iemand heeft een deadline, ontdekt dat een assistent het werk in tien minuten doet in plaats van twee uur, en gebruikt hem. Dat er geen beleid is, maakt het voor die persoon geen overtreding maar een leemte.
Het probleem ontstaat pas bij wat erin gaat: een klantenlijst, een conceptcontract, de notulen van een directieoverleg, broncode. Die gegevens staan dan bij een leverancier waarmee niets is afgesproken, vaak in een gratis account waar de voorwaarden training op jouw invoer toestaan.
Wat het werkelijke risico is
- Datalek zonder inbraak. Er is geen hacker nodig; de gegevens zijn gewoon ingevoerd. Dat is onder de AVG een verwerking waarvoor je als organisatie verantwoordelijk bent.
- Geen verwerkersovereenkomst. Met een gratis consumentenaccount heb je die niet, en die is bij persoonsgegevens verplicht.
- Onzichtbare afhankelijkheid. Processen gaan leunen op gereedschap waarvan niemand weet dat het gebruikt wordt. Valt het weg, dan staat het werk stil.
- Onjuiste uitkomsten die doorgaan. Werk dat niemand controleert omdat niemand weet dat er AI aan te pas kwam.
Waarom een verbod niet werkt
Organisaties die AI blokkeren, zien het gebruik niet dalen maar verschuiven: naar de telefoon van de medewerker, naar het privéaccount, naar thuis. Daarmee is het zicht volledig weg en het risico groter dan ervoor.
Bijkomend: een verbod is op termijn niet houdbaar. Je vraagt mensen werk twee keer zo traag te doen als het alternatief, terwijl de concurrent dat niet doet.
Wat wel werkt
- Geef een goedgekeurd alternatief. Dit is verreweg het belangrijkste. Mensen wijken uit omdat er niets is; geef ze een zakelijk account waarin de gegevensafspraken geregeld zijn, en het grootste deel van het schaduwgebruik verdwijnt vanzelf.
- Maak de regel simpel. Niet een beleidsstuk van twaalf pagina's, maar één begrijpelijke lijn: welke soorten gegevens nooit in een AI mogen, ongeacht welk gereedschap. Persoonsgegevens, niet-openbare financiële cijfers, broncode, informatie onder geheimhouding.
- Vraag ernaar zonder gevolgen. Eén ronde waarin mensen mogen zeggen wat ze gebruiken, zonder dat er iets van komt. Je krijgt een eerlijker beeld dan elke technische meting.
- Leg uit waaróm. "Mag niet" overleeft de eerste deadline niet. "Dit staat daarna bij een partij waarmee we niets hebben afgesproken, en dat is ons probleem, niet dat van jou" blijft hangen.
De verplichting die erbij is gekomen
Sinds de Europese AI-verordening moeten organisaties die AI inzetten ervoor zorgen dat hun mensen er voldoende van begrijpen. Dat maakt wegkijken ook formeel geen optie meer. Zie AI-geletterdheid, AI-beleid opstellen en bedrijfsdata veilig in AI.