Shadow AI op de werkvloer aanpakken

Een collega levert een marktanalyse op waar normaal een dag in gaat zitten. Nu lag hij er na een uur. Iedereen is blij, niemand vraagt hoe. Dat “hoe” is precies waar het interessant wordt.

Want de kans is groot dat er AI aan te pas kwam. En de kans is minstens zo groot dat je collega dat niet uit zichzelf gaat vertellen.

Kort antwoord: shadow AI is AI-gebruik dat buiten het zicht van IT en management om gebeurt. Ruim de helft van de werknemers verzwijgt dat ze AI gebruiken, bijna de helft uploadt bedrijfsdata naar publieke tools en twee derde controleert de output niet. Een verbod maakt het onzichtbaarder, niet kleiner. Wat wel werkt: goedgekeurde tools, duidelijke afspraken over data en een vast controlemoment.

Drie cijfers waar je even stil van wordt

Onderzoek van Beeckestijn Business School bracht in kaart hoe Nederlandse werknemers echt met AI omgaan. Drie uitkomsten springen eruit.

Ruim de helft verzwijgt het. Meer dan vijftig procent van de werknemers vertelt niet dat ze AI gebruiken bij hun werk.
Bijna de helft deelt bedrijfsdata. Ongeveer de helft uploadt informatie van de organisatie naar publieke tools.
Twee derde controleert niets. Het merendeel neemt de output over zonder die te verifiëren.

Lees die drie nog eens achter elkaar en je ziet het patroon. Er wordt volop met AI gewerkt. Alleen niet zichtbaar, niet veilig en niet gecontroleerd.

Dat noemen we shadow AI: AI-gebruik dat buiten het zicht van IT en management plaatsvindt. Niet uit kwade wil, maar omdat de officiële route ontbreekt of onduidelijk is.

Waarom mensen het verzwijgen

Hier zit de kern, en het is geen technisch verhaal.

Ze zijn bang dat het telt als vals spelen. In veel teams leeft het gevoel dat werk pas echt van jou is als je het helemaal zelf hebt gedaan. Wie AI inzet, voelt zich stiekem een beetje betrapt. Zeker als de rest van het team er niets over zegt.

Ze weten niet wat mag. Geen beleid betekent niet “alles mag”. Het betekent voor de meeste mensen: als ik het vraag, wordt het waarschijnlijk verboden. Dus vragen ze het niet.

Er is geen plek om het te melden. Zelfs wie het wel wil delen, weet vaak niet bij wie. En een melding die nergens landt, doe je maar één keer.

Merk op wat hier niet staat. Niemand is lui, roekeloos of onverschillig. Mensen doen precies wat je van ze zou verwachten: ze lossen hun werk op met het beste gereedschap dat ze kunnen vinden. Dat is initiatief. Alleen ontbreekt het kader eromheen.

Wat het je kost

Shadow AI klinkt abstract totdat je de rekening ziet.

Je data verlaat het gebouw. Klantgegevens, offertes, personeelsdossiers, broncode. Eenmaal geplakt in een publieke tool is het niet meer terug te halen. Bij tools zonder zakelijke overeenkomst weet je bovendien vaak niet waar de data landt of hoelang die bewaard blijft.

Ongecontroleerde output gaat naar buiten. AI schrijft vloeiend, ook als het inhoudelijk misgaat. Precies daarom glipt een fout er makkelijk doorheen. Een verkeerd bedrag in een offerte of een verzonnen bronvermelding in een adviesrapport haal je er niet meer uit als het eenmaal verstuurd is.

Je compliance klopt niet meer. Sinds 2 augustus 2026 gelden de nieuwe transparantie-eisen uit de AI-Act. Je kunt onmogelijk vastleggen waar AI in je organisatie zit als de helft daarvan onzichtbaar is.

Je kennis blijft hangen. Dit is de stilste kostenpost. Iemand ontdekt een werkwijze die drie uur per week scheelt, en die kennis blijft steken in een privéaccount. Het team leert er niets van. Vermenigvuldig dat met het aantal collega’s dat hetzelfde doet, in stilte, langs elkaar heen.

Van verbod naar kader

De reflex is een verbod. Begrijpelijk, en het werkt averechts. Een verbod haalt het gebruik niet weg, het haalt alleen het gesprek weg. Mensen wisselen naar hun privételefoon en je zicht is definitief verdwenen.

De omslag is klein maar wezenlijk. Niet: welke tools verbieden we? Maar: welke tools bieden we aan, en met welke afspraken?

Dat kader bestaat uit vier antwoorden, en het past op één pagina.

Welke tools zijn goedgekeurd? Met een zakelijke overeenkomst, zodat je weet waar je data blijft.
Welke informatie mag erin en welke niet? Concreet, met voorbeelden uit jullie eigen werk. Niet “geen gevoelige gegevens”, maar “geen klantnamen, geen salarisgegevens, geen niet-gepubliceerde cijfers”.
Wanneer kijkt een mens mee? Bij alles wat naar buiten gaat, over geld gaat of over mensen gaat.
Waar meld je iets? Zowel een handige vondst als een misser. Beide zijn waardevol.

Meer heb je in de eerste ronde niet nodig. Sterker nog: hoe langer het document, hoe kleiner de kans dat iemand het leest.

Het gesprek dat je deze week kunt voeren

Zet twintig minuten in je teamoverleg en stel drie vragen. Zonder oordeel, want de eerste keer bepaalt of er ooit een tweede keer komt.

Wie gebruikt wat? Gewoon inventariseren, niet beoordelen.
Waarvoor precies? Hier zitten de gouden vondsten. Vaak blijkt één collega iets te doen waar het hele team van kan profiteren.
Wat zou je willen dat wel mocht? Dit is de vraag die de sfeer omdraait, van betrapt worden naar meedenken.

Ga er niet vanuit dat dit gesprek zichzelf herhaalt. Dat doet het niet. Daarom werken vaste terugkeermomenten zoveel beter dan een eenmalige uitvraag, precies zoals bij elke gewoonteverandering. AI-adoptie draait om cultuur, en cultuur verandert door herhaling.

Want zolang je team AI in stilte gebruikt, betaal je wel de risico’s maar oogst je niet de opbrengst. Dat is de slechtste van beide werelden.

Veelgestelde vragen

Wat is shadow AI?
Shadow AI is het gebruik van AI-tools door medewerkers zonder medeweten of goedkeuring van IT en management. Het ontstaat meestal niet uit onwil, maar doordat er geen duidelijk beleid of goedgekeurd alternatief is.

Waarom is shadow AI een risico?
Er zijn vier risico’s: bedrijfsdata belandt in publieke tools, ongecontroleerde output bereikt klanten, je kunt niet aantonen waar AI wordt ingezet zoals de AI-Act vraagt, en waardevolle kennis blijft in persoonlijke accounts hangen in plaats van in het team.

Helpt het om AI-tools te blokkeren?
Nauwelijks. Blokkeren verplaatst het gebruik naar privéapparaten en privéaccounts, waardoor je zicht nog verder afneemt. Een kader met goedgekeurde tools en duidelijke data-afspraken werkt aantoonbaar beter.

Hoe begin je met een AI-beleid?
Beantwoord vier vragen op één pagina: welke tools zijn goedgekeurd, welke data mag erin, wanneer kijkt een mens mee, en waar meld je vondsten en missers. Bespreek dat vervolgens elk kwartaal opnieuw in het teamoverleg.

Van stilte naar gedeeld vakmanschap

Shadow AI verdwijnt niet door strenger te worden. Het verdwijnt door duidelijker te worden, en door mensen te leren waar ze op moeten letten. Meer daarover lees je in wat AI-geletterdheid betekent.

Precies dat doet de Learning Series AI-Geletterdheid: je team leert wat AI wel en niet kan, welke informatie erin mag en waar de valkuilen zitten. Niet als verplicht nummer, maar als vakmanschap.

Bekijk het aanbod op de Optmzr Academy en kies het leertraject dat bij jouw team past.