Binnen organisaties voltrekt zich een verandering die vaak nauwelijks zichtbaar is. Je ziet hem niet terug in dashboards of rapportages, maar hij vindt vrijwel overal plaats.<\/p>\n
We hebben het over Shadow AI<\/strong>: medewerkers die AI-tools gebruiken zonder dat IT of security daar goedkeuring voor heeft gegeven, zicht op heeft of duidelijke kaders voor heeft opgesteld.<\/p>\n Die ontwikkeling gaat snel. Niet omdat medewerkers bewust regels proberen te omzeilen, maar omdat organisaties simpelweg onvoldoende zicht hebben op wat er daadwerkelijk gebeurt.<\/p>\n Veel IT- en securityteams denken een redelijk beeld te hebben van het AI-gebruik binnen hun organisatie. Tot blijkt dat medewerkers dagelijks met verschillende tools werken waar geen monitoring, toezicht of controle op zit.<\/p>\n En dat is ergens ook logisch. Medewerkers proberen vooral effici\u00ebnter te werken. Ze gebruiken AI om sneller code te debuggen, rapportages samen te vatten of data te analyseren.<\/p>\n Maar juist dat ongecontroleerde gebruik cre\u00ebert een grote blinde vlek in je IT-omgeving. Als je securityteam niet weet welke AI-tools worden gebruikt, kan het ook niet controleren welke gevoelige informatie daarin terechtkomt, die informatie beschermen of potenti\u00eble risico\u2019s tijdig signaleren.<\/p>\n De oplossing is echter niet om AI volledig te verbieden. De belangrijkste vraag is veel simpeler:<\/p>\n Toestemming was nooit het echte probleem<\/strong><\/p>\n Bij Shadow AI is de eerste reflex vaak om snel strengere regels in te voeren. Bijvoorbeeld door AI-tools volledig te verbieden of een beperkte lijst met goedgekeurde applicaties op te stellen.<\/p>\n Beide oplossingen pakken het echte probleem niet aan.<\/p>\n Beleid heeft maar een beperkt bereik<\/strong><\/p>\n Je kunt geen regels opstellen voor iets waarvan je niet weet dat het bestaat.<\/p>\n Beleid heeft daardoor alleen effect op de applicaties en AI-tools die al bij IT bekend zijn. Alle andere platformen die medewerkers zelfstandig gebruiken, blijven buiten beeld.<\/p>\n Een governance framework ontbreekt vaak<\/strong><\/p>\n Uit hetzelfde onderzoek van SAP en Oxford Economics blijkt dat slechts 36% van de organisaties een formeel AI governance framework heeft ingericht.<\/p>\n Zonder zo\u2019n structurele aanpak blijft AI-beleid vaak beperkt tot losse regels en afspraken. Dat maakt handhaving lastig en kan juist nieuwe compliance-risico\u2019s veroorzaken.<\/p>\n Je mist zicht op wat er werkelijk gebeurt<\/strong><\/p>\n Beleid opstellen zonder eerst te begrijpen hoe AI daadwerkelijk wordt gebruikt, is alsof je de voordeur op slot doet terwijl alle ramen nog openstaan.<\/p>\n Breng daarom eerst in kaart welke AI-tools medewerkers gebruiken, waarvoor ze die gebruiken en welke data ermee wordt verwerkt.<\/p>\n Pas daarna kun je een governance framework opstellen dat innovatie ondersteunt en tegelijkertijd security- en compliance-risico\u2019s beperkt.<\/p>\n Ervan uitgaan dat medewerkers beleid automatisch volgen omdat het ergens is vastgelegd, is niet realistisch.<\/p>\n In de praktijk kiezen medewerkers vaak voor de tool waarmee ze hun werk het snelst of het beste kunnen uitvoeren. Ook als die tool niet officieel is goedgekeurd.<\/p>\n Dat kan grote compliance-risico\u2019s opleveren, vooral binnen gereguleerde sectoren waar strenge eisen gelden voor de manier waarop organisaties data verwerken en beschermen.<\/p>\n Van reactief naar proactief<\/strong><\/p>\n Effectieve AI governance begint daarom met inzicht.<\/p>\n Net zoals bij Shadow IT moet je eerst begrijpen hoe technologie binnen je organisatie daadwerkelijk wordt gebruikt voordat je effectieve maatregelen kunt nemen.<\/p>\n Monitor en analyseer het AI-gebruik en stel vervolgens beleid op dat aansluit op de praktijk. Zo ga je van reactief beleid naar proactieve governance en krijg je veel meer controle over de manier waarop AI binnen de organisatie wordt ingezet.<\/p>\n Ondanks de snelle adoptie van AI monitort 72% van de organisaties het gebruik van AI-applicaties niet actief in real-time.<\/p>\n Daarmee ontstaat een aanzienlijk risico, vooral wanneer medewerkers gevoelige informatie verwerken.<\/p>\n Voor organisaties in gereguleerde sectoren zijn de consequenties nog groter. Wet- en regelgeving zoals de Digital Operational Resilience Act (DORA) en de Network and Information Systems Directive (NIS2) stellen strenge eisen aan toezicht op data en digitale processen.<\/p>\n Wanneer je onvoldoende zicht hebt op AI-gebruik, kan dat uiteindelijk leiden tot hoge boetes en juridische gevolgen.<\/p>\n Je organisatie kan uitgebreide regels hebben opgesteld voor het verwerken en beschermen van vertrouwelijke informatie.<\/p>\n Maar wanneer je niet kunt controleren of medewerkers zich eraan houden, weet je ook niet of dat beleid in de praktijk werkt.<\/p>\n Dat is vooral problematisch voor IT Directors en Chief Information Security Officers (CISO\u2019s). Zij zijn verantwoordelijk voor het beschermen van de organisatie tegen datalekken en compliance-overtredingen en moeten daarom precies weten waar data zich bevindt en hoe die wordt gebruikt.<\/p>\n Een gebrek aan inzicht in AI-gebruik brengt verschillende risico\u2019s met zich mee. En die gaan veel verder dan alleen compliance.<\/p>\n Datalekken<\/strong><\/p>\n Medewerkers kunnen gevoelige klantgegevens onbedoeld invoeren in publieke AI-tools.<\/p>\n Denk bijvoorbeeld aan een medewerker die vertrouwelijke klantinformatie kopieert naar een gratis AI-tool om de data te analyseren. Sommige tools gebruiken ingevoerde informatie vervolgens voor het verbeteren of trainen van modellen.<\/p>\n Op dat moment kan gevoelige informatie buiten de controle van je organisatie terechtkomen, nog voordat iemand het risico heeft opgemerkt.<\/p>\n In december 2025 deed zich in Nederland bijvoorbeeld precies zo\u2019n situatie voor.<\/p>\n Lekken van proprietary code<\/strong><\/p>\n Ook developers kunnen via Shadow AI onbedoeld gevoelige informatie blootstellen.<\/p>\n Uit onderzoek van JetBrains uit 2026 blijkt dat 90% van de ondervraagde developers regelmatig minimaal \u00e9\u00e9n AI-tool gebruikt voor werkzaamheden zoals coding, debugging en task automation.<\/p>\n AI kan softwareontwikkeling aanzienlijk versnellen, maar kan tegelijkertijd proprietary code, algoritmes of andere gevoelige informatie blootstellen aan externe partijen of potenti\u00eble aanvallers.<\/p>\n Compliance-overtredingen<\/strong><\/p>\n Het delen van gevoelige informatie met AI-tools is niet alleen een securityprobleem. Het kan ook leiden tot overtredingen van wet- en regelgeving zoals de EU General Data Protection Regulation (GDPR) en de EU AI Act.<\/p>\n Stel dat een medewerker vanuit een kantoor in Amsterdam klantgegevens zoals creditcardgegevens, adresgegevens of medische informatie invoert in een Amerikaanse AI-tool.<\/p>\n Wanneer hiervoor geen passende dataprocessing agreement bestaat, kan dat direct tot complianceproblemen leiden.<\/p>\n Reputatie- en financi\u00eble schade<\/strong><\/p>\n Wanneer klant- of bedrijfsdata wordt verwerkt door niet-gecontroleerde AI-tools, kan dat ook het vertrouwen in je organisatie beschadigen.<\/p>\n Uit een onderzoek van Usercentrics uit 2026 blijkt dat 80% van de Britse consumenten zou stoppen met het gebruiken van een dienst wanneer hun gegevens verkeerd worden gebruikt.<\/p>\n Tegelijkertijd geeft 50% van de ondervraagden aan bereid te zijn meer te betalen voor organisaties die transparant omgaan met AI en data.<\/p>\n Veilig AI-gebruik is daarmee niet alleen een securityvraagstuk, maar ook steeds meer een commerci\u00eble factor.<\/p>\n Als je een risico niet kunt zien, kun je het ook niet goed beheersen. Wanneer je bijvoorbeeld maar een deel van de gebruikte AI-tools monitort, blijft een groot gedeelte van mogelijke datalekken en compliance-overtredingen onzichtbaar.<\/p>\n Ook traditionele audits en board reports geven daardoor niet altijd een volledig beeld van het daadwerkelijke risico. Ze zijn vaak gebaseerd op zelfgerapporteerde informatie en applicaties die al bekend zijn.<\/p>\n Als Shadow AI buiten die rapportages valt, stuur je als organisatie dus op onvolledige informatie.<\/p>\n Voordat je nieuwe policies schrijft, software verbiedt of trainingen uitrolt, moet je eerst weten welke AI-tools daadwerkelijk binnen de organisatie worden gebruikt.<\/p>\n Wie gebruikt ze? Waarvoor? En welke data gaat erin?<\/p>\n Usage mapping<\/strong> helpt om daar inzicht in te krijgen en vormt daarmee de eerste stap richting controle over Shadow AI.<\/p>\n Met usage mapping breng je het daadwerkelijke AI-gebruik binnen je organisatie in kaart.<\/p>\n Je identificeert welke AI-tools worden gebruikt, hoe medewerkers ermee werken en welke data door deze applicaties wordt verwerkt.<\/p>\n Simpel gezegd wil je antwoord krijgen op drie vragen:<\/p>\n Wie gebruikt wat, waarvoor en met welke data?<\/strong><\/p>\n Die informatie geeft je een veel realistischer beeld van het AI-landschap binnen je organisatie en de bijbehorende kwetsbaarheden.<\/p>\n Een goede aanpak bestaat uit verschillende onderdelen.<\/p>\n Breng AI-verkeer in kaart<\/strong><\/p>\n Gebruik network monitoring om applicatiegebruik te registreren en niet-goedgekeurde AI-tools te detecteren.<\/p>\n Door netwerk- en endpointverkeer te analyseren, kun je AI-applicaties vinden die medewerkers gebruiken zonder dat IT daarvan op de hoogte was.<\/p>\n Praat met verschillende afdelingen<\/strong><\/p>\n Technische monitoring vertelt niet altijd het hele verhaal.<\/p>\n Onderzoek daarom ook welke tools teams zelf hebben ge\u00efntroduceerd. Een marketingteam kan bijvoorbeeld een AI-tool gebruiken om afbeeldingen te genereren zonder dat IT weet dat deze applicatie \u00fcberhaupt binnen de organisatie wordt gebruikt.<\/p>\n Inventariseer ingebouwde AI-functionaliteiten<\/strong><\/p>\n AI zit steeds vaker verwerkt in bestaande SaaS-platformen.<\/p>\n Een projectmanagementtool kan bijvoorbeeld AI-functionaliteit bevatten voor het prioriteren van taken, terwijl gebruikers zich niet eens realiseren dat ze met AI werken.<\/p>\n Neem daarom ook ingebouwde AI-functionaliteiten mee in je inventarisatie.<\/p>\n Voer regelmatig audits uit<\/strong><\/p>\n AI-gebruik verandert snel.<\/p>\n Plan daarom periodieke audits om je overzicht van gebruikte tools actueel te houden. Zo kun je veranderingen in gebruikspatronen herkennen en je governance framework daarop aanpassen.<\/p>\n Stimuleer transparantie<\/strong><\/p>\n Maak medewerkers duidelijk dat het melden van AI-tools niet bedoeld is om hen te bestraffen.<\/p>\n Moedig teams juist aan om te delen welke tools ze gebruiken en leg uit dat deze informatie helpt om workflows veiliger \u00e9n effici\u00ebnter te maken.<\/p>\n Zodra je een betrouwbaar beeld hebt van het AI-gebruik binnen je organisatie, hoef je niet langer op aannames te sturen.<\/p>\n Je kunt governance baseren op hoe medewerkers daadwerkelijk met AI werken.<\/p>\n Dat levert verschillende voordelen op.<\/p>\n Concurrentievoordeel<\/strong><\/p>\n Wanneer je goed begrijpt hoe AI binnen je organisatie wordt gebruikt, kun je betere beslissingen nemen over welke tools daadwerkelijk waarde toevoegen.<\/p>\n Zo stimuleer je productiviteit en innovatie zonder dat je security uit het oog verliest.<\/p>\n Betere inzet van middelen<\/strong><\/p>\n Met inzicht in het daadwerkelijke AI-gebruik kunnen beslissers beter bepalen waar tijd, budget en securitycapaciteit het hardst nodig zijn.<\/p>\n Gerichte training en policies<\/strong><\/p>\n Een gedetailleerd beeld van AI-gebruik maakt het mogelijk om maatregelen per afdeling of gebruikersgroep af te stemmen.<\/p>\n Blijkt uit usage mapping bijvoorbeeld dat \u00e9\u00e9n team meerdere niet-goedgekeurde AI-tools gebruikt? Dan kun je juist voor die groep aanvullende training aanbieden en specifiek beleid opstellen.<\/p>\n Zo voorkom je dat je de volledige organisatie belast met maatregelen die maar voor een klein deel van de medewerkers relevant zijn.<\/p>\n Shadow AI beheersen betekent niet dat je innovatie moet beperken.<\/p>\n Het betekent vooral dat je beter moet begrijpen wat er binnen je organisatie gebeurt.<\/p>\n De organisaties die AI succesvol inzetten, zijn daarom waarschijnlijk niet de organisaties met de strengste regels. Het zijn de organisaties die het beste zicht hebben op hun eigen AI-landschap.<\/p>\n Dat betekent dat zij:<\/p>\n Wanneer je die informatie hebt, wordt AI governance veel gerichter en effectiever.<\/p>\n De AI-expertise van Acora helpt organisaties om meer inzicht te krijgen in hun IT- en dataomgeving en zo de basis te leggen voor veilig AI-gebruik.<\/p>\n Met ondersteuning rondom usage mapping en AI governance helpen we organisaties om:<\/p>\n AI governance zou niet gebaseerd moeten zijn op aannames.<\/p>\n Het begint met weten wat er daadwerkelijk gebeurt.<\/p>\n Wil je meer grip krijgen op het AI-gebruik binnen jouw organisatie en Shadow AI beheersbaar maken? Neem contact op met Acora. Samen cre\u00ebren we het inzicht dat nodig is om AI veilig \u00e9n effectief te benutten.<\/strong><\/p>\n","protected":false},"author":16,"featured_media":21875,"template":"single-resources-gated-content.blade.php","resources_categories":[],"service-category":[],"service-type":[],"insight-format":[],"class_list":["post-21874","resources","type-resources","status-publish","has-post-thumbnail","hentry"],"acf":[],"yoast_head":"\n<\/span>Weet je eigenlijk wel hoe AI op dit moment binnen jouw organisatie wordt gebruikt?<\/strong><\/span><\/h2>\n
<\/span>Governance kun je niet baseren op aannames<\/strong><\/span><\/h2>\n
<\/span>Het gebrek aan monitoring maakt organisaties kwetsbaar<\/strong><\/span><\/h2>\n
<\/span>Shadow AI: het verschil tussen beleid en praktijk<\/strong><\/span><\/h2>\n
<\/span>Dit zijn de risico\u2019s als je geen zicht hebt op AI-gebruik<\/strong><\/span><\/h2>\n
<\/span>Het probleem met risico\u2019s die je niet kunt meten<\/strong><\/span><\/h2>\n
<\/span>Visibility first: begin met usage mapping<\/strong><\/span><\/h2>\n
Wat is usage mapping?<\/strong><\/h3>\n
Van inzicht naar betere beslissingen<\/strong><\/h3>\n
<\/span>Maak van visibility een governancevoordeel<\/strong><\/span><\/h2>\n
\n
<\/span>Van zichtbaarheid naar controle met Acora<\/strong><\/span><\/h2>\n
\n