68% van de medewerkers gebruikt AI-tools waar je geen zicht op hebt

Binnen organisaties voltrekt zich een verandering die vaak nauwelijks zichtbaar is. Je ziet hem niet terug in dashboards of rapportages, maar hij vindt vrijwel overal plaats.

We hebben het over Shadow AI: medewerkers die AI-tools gebruiken zonder dat IT of security daar goedkeuring voor heeft gegeven, zicht op heeft of duidelijke kaders voor heeft opgesteld.

Die ontwikkeling gaat snel. Niet omdat medewerkers bewust regels proberen te omzeilen, maar omdat organisaties simpelweg onvoldoende zicht hebben op wat er daadwerkelijk gebeurt.

Veel IT- en securityteams denken een redelijk beeld te hebben van het AI-gebruik binnen hun organisatie. Tot blijkt dat medewerkers dagelijks met verschillende tools werken waar geen monitoring, toezicht of controle op zit.

En dat is ergens ook logisch. Medewerkers proberen vooral efficiënter te werken. Ze gebruiken AI om sneller code te debuggen, rapportages samen te vatten of data te analyseren.

Maar juist dat ongecontroleerde gebruik creëert een grote blinde vlek in je IT-omgeving. Als je securityteam niet weet welke AI-tools worden gebruikt, kan het ook niet controleren welke gevoelige informatie daarin terechtkomt, die informatie beschermen of potentiële risico’s tijdig signaleren.

De oplossing is echter niet om AI volledig te verbieden. De belangrijkste vraag is veel simpeler:

Weet je eigenlijk wel hoe AI op dit moment binnen jouw organisatie wordt gebruikt?

Toestemming was nooit het echte probleem

Bij Shadow AI is de eerste reflex vaak om snel strengere regels in te voeren. Bijvoorbeeld door AI-tools volledig te verbieden of een beperkte lijst met goedgekeurde applicaties op te stellen.

Beide oplossingen pakken het echte probleem niet aan.

Beleid heeft maar een beperkt bereik

Je kunt geen regels opstellen voor iets waarvan je niet weet dat het bestaat.

Beleid heeft daardoor alleen effect op de applicaties en AI-tools die al bij IT bekend zijn. Alle andere platformen die medewerkers zelfstandig gebruiken, blijven buiten beeld.

Een governance framework ontbreekt vaak

Uit hetzelfde onderzoek van SAP en Oxford Economics blijkt dat slechts 36% van de organisaties een formeel AI governance framework heeft ingericht.

Zonder zo’n structurele aanpak blijft AI-beleid vaak beperkt tot losse regels en afspraken. Dat maakt handhaving lastig en kan juist nieuwe compliance-risico’s veroorzaken.

Je mist zicht op wat er werkelijk gebeurt

Beleid opstellen zonder eerst te begrijpen hoe AI daadwerkelijk wordt gebruikt, is alsof je de voordeur op slot doet terwijl alle ramen nog openstaan.

Breng daarom eerst in kaart welke AI-tools medewerkers gebruiken, waarvoor ze die gebruiken en welke data ermee wordt verwerkt.

Pas daarna kun je een governance framework opstellen dat innovatie ondersteunt en tegelijkertijd security- en compliance-risico’s beperkt.

Governance kun je niet baseren op aannames

Ervan uitgaan dat medewerkers beleid automatisch volgen omdat het ergens is vastgelegd, is niet realistisch.

In de praktijk kiezen medewerkers vaak voor de tool waarmee ze hun werk het snelst of het beste kunnen uitvoeren. Ook als die tool niet officieel is goedgekeurd.

Dat kan grote compliance-risico’s opleveren, vooral binnen gereguleerde sectoren waar strenge eisen gelden voor de manier waarop organisaties data verwerken en beschermen.

Van reactief naar proactief

Effectieve AI governance begint daarom met inzicht.

Net zoals bij Shadow IT moet je eerst begrijpen hoe technologie binnen je organisatie daadwerkelijk wordt gebruikt voordat je effectieve maatregelen kunt nemen.

Monitor en analyseer het AI-gebruik en stel vervolgens beleid op dat aansluit op de praktijk. Zo ga je van reactief beleid naar proactieve governance en krijg je veel meer controle over de manier waarop AI binnen de organisatie wordt ingezet.

Het gebrek aan monitoring maakt organisaties kwetsbaar

Ondanks de snelle adoptie van AI monitort 72% van de organisaties het gebruik van AI-applicaties niet actief in real-time.

Daarmee ontstaat een aanzienlijk risico, vooral wanneer medewerkers gevoelige informatie verwerken.

Voor organisaties in gereguleerde sectoren zijn de consequenties nog groter. Wet- en regelgeving zoals de Digital Operational Resilience Act (DORA) en de Network and Information Systems Directive (NIS2) stellen strenge eisen aan toezicht op data en digitale processen.

Wanneer je onvoldoende zicht hebt op AI-gebruik, kan dat uiteindelijk leiden tot hoge boetes en juridische gevolgen.

Shadow AI: het verschil tussen beleid en praktijk

Je organisatie kan uitgebreide regels hebben opgesteld voor het verwerken en beschermen van vertrouwelijke informatie.

Maar wanneer je niet kunt controleren of medewerkers zich eraan houden, weet je ook niet of dat beleid in de praktijk werkt.

Dat is vooral problematisch voor IT Directors en Chief Information Security Officers (CISO’s). Zij zijn verantwoordelijk voor het beschermen van de organisatie tegen datalekken en compliance-overtredingen en moeten daarom precies weten waar data zich bevindt en hoe die wordt gebruikt.

Dit zijn de risico’s als je geen zicht hebt op AI-gebruik

Een gebrek aan inzicht in AI-gebruik brengt verschillende risico’s met zich mee. En die gaan veel verder dan alleen compliance.

Datalekken

Medewerkers kunnen gevoelige klantgegevens onbedoeld invoeren in publieke AI-tools.

Denk bijvoorbeeld aan een medewerker die vertrouwelijke klantinformatie kopieert naar een gratis AI-tool om de data te analyseren. Sommige tools gebruiken ingevoerde informatie vervolgens voor het verbeteren of trainen van modellen.

Op dat moment kan gevoelige informatie buiten de controle van je organisatie terechtkomen, nog voordat iemand het risico heeft opgemerkt.

In december 2025 deed zich in Nederland bijvoorbeeld precies zo’n situatie voor.

Lekken van proprietary code

Ook developers kunnen via Shadow AI onbedoeld gevoelige informatie blootstellen.

Uit onderzoek van JetBrains uit 2026 blijkt dat 90% van de ondervraagde developers regelmatig minimaal één AI-tool gebruikt voor werkzaamheden zoals coding, debugging en task automation.

AI kan softwareontwikkeling aanzienlijk versnellen, maar kan tegelijkertijd proprietary code, algoritmes of andere gevoelige informatie blootstellen aan externe partijen of potentiële aanvallers.

Compliance-overtredingen

Het delen van gevoelige informatie met AI-tools is niet alleen een securityprobleem. Het kan ook leiden tot overtredingen van wet- en regelgeving zoals de EU General Data Protection Regulation (GDPR) en de EU AI Act.

Stel dat een medewerker vanuit een kantoor in Amsterdam klantgegevens zoals creditcardgegevens, adresgegevens of medische informatie invoert in een Amerikaanse AI-tool.

Wanneer hiervoor geen passende dataprocessing agreement bestaat, kan dat direct tot complianceproblemen leiden.

Reputatie- en financiële schade

Wanneer klant- of bedrijfsdata wordt verwerkt door niet-gecontroleerde AI-tools, kan dat ook het vertrouwen in je organisatie beschadigen.

Uit een onderzoek van Usercentrics uit 2026 blijkt dat 80% van de Britse consumenten zou stoppen met het gebruiken van een dienst wanneer hun gegevens verkeerd worden gebruikt.

Tegelijkertijd geeft 50% van de ondervraagden aan bereid te zijn meer te betalen voor organisaties die transparant omgaan met AI en data.

Veilig AI-gebruik is daarmee niet alleen een securityvraagstuk, maar ook steeds meer een commerciële factor.

Het probleem met risico’s die je niet kunt meten

Als je een risico niet kunt zien, kun je het ook niet goed beheersen. Wanneer je bijvoorbeeld maar een deel van de gebruikte AI-tools monitort, blijft een groot gedeelte van mogelijke datalekken en compliance-overtredingen onzichtbaar.

Ook traditionele audits en board reports geven daardoor niet altijd een volledig beeld van het daadwerkelijke risico. Ze zijn vaak gebaseerd op zelfgerapporteerde informatie en applicaties die al bekend zijn.

Als Shadow AI buiten die rapportages valt, stuur je als organisatie dus op onvolledige informatie.

Visibility first: begin met usage mapping

Voordat je nieuwe policies schrijft, software verbiedt of trainingen uitrolt, moet je eerst weten welke AI-tools daadwerkelijk binnen de organisatie worden gebruikt.

Wie gebruikt ze? Waarvoor? En welke data gaat erin?

Usage mapping helpt om daar inzicht in te krijgen en vormt daarmee de eerste stap richting controle over Shadow AI.

Wat is usage mapping?

Met usage mapping breng je het daadwerkelijke AI-gebruik binnen je organisatie in kaart.

Je identificeert welke AI-tools worden gebruikt, hoe medewerkers ermee werken en welke data door deze applicaties wordt verwerkt.

Simpel gezegd wil je antwoord krijgen op drie vragen:

Wie gebruikt wat, waarvoor en met welke data?

Die informatie geeft je een veel realistischer beeld van het AI-landschap binnen je organisatie en de bijbehorende kwetsbaarheden.

Een goede aanpak bestaat uit verschillende onderdelen.

Breng AI-verkeer in kaart

Gebruik network monitoring om applicatiegebruik te registreren en niet-goedgekeurde AI-tools te detecteren.

Door netwerk- en endpointverkeer te analyseren, kun je AI-applicaties vinden die medewerkers gebruiken zonder dat IT daarvan op de hoogte was.

Praat met verschillende afdelingen

Technische monitoring vertelt niet altijd het hele verhaal.

Onderzoek daarom ook welke tools teams zelf hebben geïntroduceerd. Een marketingteam kan bijvoorbeeld een AI-tool gebruiken om afbeeldingen te genereren zonder dat IT weet dat deze applicatie überhaupt binnen de organisatie wordt gebruikt.

Inventariseer ingebouwde AI-functionaliteiten

AI zit steeds vaker verwerkt in bestaande SaaS-platformen.

Een projectmanagementtool kan bijvoorbeeld AI-functionaliteit bevatten voor het prioriteren van taken, terwijl gebruikers zich niet eens realiseren dat ze met AI werken.

Neem daarom ook ingebouwde AI-functionaliteiten mee in je inventarisatie.

Voer regelmatig audits uit

AI-gebruik verandert snel.

Plan daarom periodieke audits om je overzicht van gebruikte tools actueel te houden. Zo kun je veranderingen in gebruikspatronen herkennen en je governance framework daarop aanpassen.

Stimuleer transparantie

Maak medewerkers duidelijk dat het melden van AI-tools niet bedoeld is om hen te bestraffen.

Moedig teams juist aan om te delen welke tools ze gebruiken en leg uit dat deze informatie helpt om workflows veiliger én efficiënter te maken.

Van inzicht naar betere beslissingen

Zodra je een betrouwbaar beeld hebt van het AI-gebruik binnen je organisatie, hoef je niet langer op aannames te sturen.

Je kunt governance baseren op hoe medewerkers daadwerkelijk met AI werken.

Dat levert verschillende voordelen op.

Concurrentievoordeel

Wanneer je goed begrijpt hoe AI binnen je organisatie wordt gebruikt, kun je betere beslissingen nemen over welke tools daadwerkelijk waarde toevoegen.

Zo stimuleer je productiviteit en innovatie zonder dat je security uit het oog verliest.

Betere inzet van middelen

Met inzicht in het daadwerkelijke AI-gebruik kunnen beslissers beter bepalen waar tijd, budget en securitycapaciteit het hardst nodig zijn.

Gerichte training en policies

Een gedetailleerd beeld van AI-gebruik maakt het mogelijk om maatregelen per afdeling of gebruikersgroep af te stemmen.

Blijkt uit usage mapping bijvoorbeeld dat één team meerdere niet-goedgekeurde AI-tools gebruikt? Dan kun je juist voor die groep aanvullende training aanbieden en specifiek beleid opstellen.

Zo voorkom je dat je de volledige organisatie belast met maatregelen die maar voor een klein deel van de medewerkers relevant zijn.

Maak van visibility een governancevoordeel

Shadow AI beheersen betekent niet dat je innovatie moet beperken.

Het betekent vooral dat je beter moet begrijpen wat er binnen je organisatie gebeurt.

De organisaties die AI succesvol inzetten, zijn daarom waarschijnlijk niet de organisaties met de strengste regels. Het zijn de organisaties die het beste zicht hebben op hun eigen AI-landschap.

Dat betekent dat zij:

• precies weten welke AI-tools medewerkers gebruiken;
• begrijpen welke data deze tools kunnen benaderen en verwerken;
• weten hoe AI-applicaties communiceren met de rest van hun infrastructuur;
• per toepassing kunnen bepalen welk risico acceptabel is;
• onderbouwde keuzes kunnen maken over welke tools ze toestaan, beperken of aanvullend beveiligen.

Wanneer je die informatie hebt, wordt AI governance veel gerichter en effectiever.

Van zichtbaarheid naar controle met Acora

De AI-expertise van Acora helpt organisaties om meer inzicht te krijgen in hun IT- en dataomgeving en zo de basis te leggen voor veilig AI-gebruik.

Met ondersteuning rondom usage mapping en AI governance helpen we organisaties om:

• meer waarde uit AI-tools te halen en risico’s te beperken met een passende AI risk management strategy;
• van reactieve naar proactieve governance te gaan;
• onderscheid te maken tussen toepassingen met een hoog en laag risico;
• strengere controls alleen toe te passen waar dat daadwerkelijk nodig is;
• medewerkers veilig te laten experimenteren met AI;
• innovatie mogelijk te maken zonder deze met onnodig strenge regelgeving af te remmen.

AI governance zou niet gebaseerd moeten zijn op aannames.

Het begint met weten wat er daadwerkelijk gebeurt.

Wil je meer grip krijgen op het AI-gebruik binnen jouw organisatie en Shadow AI beheersbaar maken? Neem contact op met Acora. Samen creëren we het inzicht dat nodig is om AI veilig én effectief te benutten.