Schaduw-AI: weet jij welke AI jouw team gebruikt?
Erwin Berkouwer
Een medewerker laat een lastige klantmail herschrijven in ChatGPT, op een privéaccount. Een collega zet een offerte in een gratis AI-tool om de tekst strakker te maken. In het teamoverleg draait een notuleer-app die iemand zelf heeft geïnstalleerd. Niemand doet iets verkeerd. Iedereen wil gewoon sneller werken.
Toch weet je als ondernemer op dat moment niet meer waar je klantgegevens, prijzen en interne afspraken naartoe gaan.
Wat is schaduw-AI?
Schaduw-AI is AI die medewerkers gebruiken zonder dat de organisatie er zicht op heeft of afspraken over heeft gemaakt. Het is de AI-versie van schaduw-IT: software die mensen zelf regelen omdat het werk er sneller door gaat.
Het gaat niet alleen om chatbots. Schaduw-AI zit ook in:
- Gratis en persoonlijke accounts van ChatGPT, Claude, Gemini, Copilot of DeepSeek
- Notuleer- en transcriptietools die meeluisteren met overleggen en klantgesprekken
- Browserextensies die teksten herschrijven of pagina's samenvatten
- AI-functies in software die je al hebt, zoals een AI-knop in je crm of mailprogramma die iemand heeft aangezet
- Koppelingen: een assistent die toegang krijgt tot je mailbox, Drive of crm, via een connector, een automatisering of een MCP-server
Waar zit het risico?
Het risico zit niet in AI zelf, maar in wat erin gaat en waar het naartoe gaat.
Training. Bij veel gratis en persoonlijke accounts mag de aanbieder je invoer gebruiken om zijn modellen te verbeteren, tenzij je dat zelf uitzet. Zakelijke abonnementen en API-toegang gebruiken je invoer meestal niet voor training. Een medewerker op een privéaccount heeft die instelling zelden aangepast.
Waar de gegevens staan. Een groot deel van de bekende AI-diensten verwerkt gegevens in de Verenigde Staten. Sommige apps slaan gegevens op in China. Voor persoonsgegevens maakt dat uit: buiten de EU heb je een geldige grondslag nodig.
Geen verwerkersovereenkomst. Gaan er persoonsgegevens in een AI-tool, dan is de aanbieder volgens de AVG een verwerker. Daar hoort een verwerkersovereenkomst bij. Een gratis account van een medewerker regelt dat niet voor je bedrijf.
Koppelingen die meer kunnen dan je denkt. Een assistent die aan je mailbox of Drive hangt, leest alles wat daarin staat. Kan hij ook versturen of wijzigen, dan weegt dat nog zwaarder. Vaak weet niemand meer wie zo'n koppeling heeft aangezet.
Het grootste risico is dat je de controle over je eigen bedrijfsinformatie verliest, zonder dat je het doorhebt.
Waarom verbieden niet werkt
De eerste reactie is vaak: dan verbieden we het. Dat werkt zelden. De behoefte om sneller te werken verdwijnt niet. Mensen gaan dan op hun telefoon verder. Het gebruik wordt alleen minder zichtbaar. Je ruilt een risico dat je kunt zien in voor een risico dat je niet meer ziet.
Wat werkt wel?
1. Breng het gebruik in kaart. Vraag je team welke AI-tools ze gebruiken, op welk account en wat ze erin zetten. Doe het anoniem: mensen antwoorden alleen eerlijk als het niet om iemand aanspreken gaat. Kijk ook naar de software die je al hebt: welke AI-functies staan aan en welke koppelingen bestaan er?
2. Maak duidelijke afspraken. Welke tools zijn goedgekeurd? Wat gaat er nooit in een AI-tool, zoals klantgegevens op een gratis account, cv's of gezondheidsgegevens? Wie beslist over een nieuwe tool of koppeling? Eén pagina in gewone taal is genoeg.
3. Bied een veilig alternatief. Een verbod zonder alternatief stuurt mensen terug naar hun privéaccount. Geef ze een zakelijke omgeving met een verwerkersovereenkomst, training uit en bij voorkeur servers in de EU. Dan is de veilige weg ook de makkelijkste.
Wat de AI Act ervan vraagt
Sinds 2 februari 2025 vraagt de Europese AI-verordening (AI Act) dat bedrijven die AI gebruiken maatregelen nemen voor AI-geletterdheid. Mensen die met AI werken, moeten weten wat het kan, waar het fout gaat en wanneer ze zelf moeten controleren. Een vast niveau per persoon is niet vereist. Een korte uitleg per tool en een paar heldere afspraken zijn een goed begin. Leg vast wat je doet.
Hoe wij het regelen
Bij UnifyAI zetten we AI praktisch en verantwoord in. Onze agents draaien op Europese servers en het gebruik van klantgegevens voor modeltraining staat uit. De agent zet het werk klaar, een mens controleert. Zo hoeft je team niet te kiezen tussen productief werken en zorgvuldig omgaan met bedrijfsgegevens.
De vraag is dus niet óf je team AI gebruikt. De vraag is of jij weet hoe.
Veelgestelde vragen
Korte, heldere antwoorden die je helpen sneller beslissen.
Wat is schaduw-AI?
AI-tools die medewerkers gebruiken zonder dat de organisatie er zicht op heeft of afspraken over heeft gemaakt. Bijvoorbeeld ChatGPT op een privéaccount, een gratis notuleer-app of een AI-functie die iemand zelf heeft aangezet.
Wordt wat ik in ChatGPT zet gebruikt om modellen te trainen?
Bij de gratis en persoonlijke abonnementen staat training standaard aan. Je kunt het uitzetten in de instellingen onder Data controls. Zakelijke abonnementen en de API gebruiken je invoer niet voor training, tenzij je daar zelf voor kiest.
Mag ik klantgegevens in een AI-tool zetten?
Alleen in een tool waarmee je bedrijf een verwerkersovereenkomst heeft, waar training uit staat en waarvan je weet waar de gegevens staan. Een gratis of privéaccount van een medewerker voldoet daar in de praktijk niet aan.
Moet ik AI in mijn bedrijf verbieden?
Nee. Een verbod maakt het gebruik vooral onzichtbaar. Breng in kaart wat je team gebruikt, maak duidelijke afspraken en bied een veilig alternatief dat net zo makkelijk werkt.
Wat zegt de AI Act over AI-gebruik door medewerkers?
Sinds 2 februari 2025 moeten bedrijven die AI gebruiken maatregelen nemen voor AI-geletterdheid: mensen die met AI werken weten wat het kan, waar het fout gaat en wanneer ze zelf moeten controleren.
