Actueel: Shadow AI groeit explosief
Uit onderzoek van Awareways (maart 2026) blijkt dat 78% van de medewerkers die AI gebruikt, dit doet zonder toestemming van IT. Organisaties hebben zicht op minder dan 11% van het daadwerkelijke AI-gebruik.
Shadow AI: Het Onzichtbare Risico voor Uw Organisatie
Medewerkers gebruiken AI-tools buiten het zicht van IT. Wat betekent dit voor uw compliance, beveiliging en aansprakelijkheid onder de EU AI Act?
Wat is Shadow AI?
Shadow AI is het gebruik van kunstmatige intelligentie-tools door medewerkers zonder goedkeuring, toezicht of medeweten van de IT-afdeling. Het is de opvolger van Shadow IT — maar met aanzienlijk grotere risico's. Waar Shadow IT zich beperkte tot ongeautoriseerde softwaretools, raakt Shadow AI direct aan gevoelige bedrijfsdata, besluitvorming en — onder de EU AI Act — wettelijke aansprakelijkheid.
Het fenomeen is niet nieuw, maar de schaal is ongekend. Het Trendrapport 2025 van Awareways, gebaseerd op gedragsanalyses bij tienduizenden medewerkers, onthult alarmerend cijfers: 75% van de medewerkers gebruikt AI voor werkgerelateerde taken. Van deze groep doet 78% dat zonder toestemming of toezicht van de IT-afdeling. Organisaties hebben naar schatting zicht op minder dan 11% van het daadwerkelijke AI-gebruik.
78%
gebruikt AI zonder IT-toestemming
<11%
AI-gebruik zichtbaar voor IT
6,8%
klikt op AI-phishing (was 1,2%)
Waarom Shadow AI Nu Explodeert
De oorzaak van de explosieve groei is eenvoudig: AI-tools bieden directe, tastbare voordelen voor individuele medewerkers. ChatGPT, Claude, Gemini, Copilot en tientallen gespecialiseerde AI-tools zijn vrij beschikbaar en vereisen geen technische kennis. Een medewerker die sneller e-mails wil schrijven, rapporten wil samenvatten of data wil analyseren, hoeft alleen een browser te openen.
Het probleem? De risico's zijn minder tastbaar dan de voordelen. Medewerkers realiseren zich niet altijd dat ze bedrijfsgeheimen, persoonsgegevens of strategische informatie invoeren in publieke AI-systemen. De gemeente Eindhoven meldde in december 2025 een datalek nadat medewerkers persoonsgegevens invoerden in openbare AI-tools. In de softwarewereld zijn vergelijkbare incidenten zichtbaar — AI-extensies die code van meer dan een miljoen ontwikkelaars konden lekken.
De Kloof Tussen Kennis en Gedrag
Een opvallende bevinding uit het Awareways-onderzoek is dat medewerkers de securityregels meestal wel kennen. Bijna negen op de tien weet dat nieuwe software officieel moet worden aangevraagd, terwijl toch meer dan de helft nieuwe tools zonder overleg gebruikt.
Dit komt door het zogenaamde 'halo-effect': meer dan de helft (56%) laat zich beïnvloeden door het professionele uiterlijk van een tool. Als een AI-tool er betrouwbaar uitziet, wordt de veiligheid automatisch overschat. Dit gedragspatroon is bijzonder relevant voor AI compliance: het toont aan dat bewustwording alleen niet voldoende is. Organisaties moeten concrete processen en governance-structuren implementeren.
Shadow AI en de EU AI Act: Juridische Risico's
De EU AI Act maakt Shadow AI tot een juridisch risico van een andere orde. De verordening stelt expliciete eisen aan organisaties die AI-systemen gebruiken — niet alleen aan leveranciers of ontwikkelaars. Dit betekent dat wanneer medewerkers ongecontroleerd AI-tools inzetten, de organisatie verantwoordelijk is voor:
- Risicoclassificatie: Elke AI-toepassing moet geclassificeerd worden. Shadow AI onttrekt zich hieraan — met als gevolg dat hoog-risico toepassingen ongetoetst worden ingezet.
- Transparantieverplichtingen: De AI Act vereist dat eindgebruikers en betrokkenen geïnformeerd worden wanneer AI-systemen worden gebruikt. Bij Shadow AI gebeurt dit niet.
- Data governance: AI-tools verwerken vaak persoonsgegevens en bedrijfsdata zonder adequate bescherming of verwerkersovereenkomsten.
- Menselijk toezicht: De AI Act vereist human oversight bij hoog-risico AI. Bij Shadow AI is er per definitie geen toezicht.
- Documentatieplicht: Organisaties moeten documenteren welke AI-systemen ze gebruiken. Shadow AI maakt dit onmogelijk.
De potentiële boetes zijn aanzienlijk: tot €35 miljoen of 7% van de wereldwijde jaaromzet. Maar het reputatierisico kan nog groter zijn — een datalek door ongecontroleerd AI-gebruik kan het vertrouwen van klanten en partners fundamenteel beschadigen.
AI-Phishing: Een Nieuw Dreigingslandschap
Naast het risico van datalekken door ongeautoriseerd AI-gebruik groeit ook de dreiging van AI-gerelateerde phishing. Het aantal medewerkers dat klikt op AI-gerelateerde phishingmails steeg in twee jaar van 1,2% naar 6,8% — een vervijfvoudiging. Dit betreft phishingmails die inspelen op populaire AI-tools, nepuitnodigingen voor AI-platforms, of vervalste AI-tool updates.
De ironie is dat de populariteit van AI-tools de kwetsbaarheid voor social engineering vergroot. Medewerkers zijn gewend geraakt aan het installeren en uitproberen van nieuwe AI-tools, waardoor de drempel om op een malafide link te klikken verlaagd is. Dit onderstreept het belang van een integrale aanpak waarin AI en cybersecurity samenwerken.
Waarom Blokkeren Niet Werkt
De traditionele reflex — verbieden en blokkeren — werkt averechts bij Shadow AI. Uit het onderzoek blijkt dat wanneer organisaties AI blokkeren, het gebruik vaak juist buiten het zicht verschuift. Medewerkers wijken uit naar persoonlijke apparaten, privé-accounts of minder bekende AI-tools die niet door bedrijfsfilters worden opgepikt.
Volledige controle over AI-gebruik is een illusie. De oplossing ligt niet in restrictie maar in begeleiding, governance en geletterdheid. Organisaties die investeren in AI governance en AI-geletterdheid zien dat medewerkers betere keuzes gaan maken. Het doel is om innovatie en veiligheid met elkaar te verbinden — niet om ze tegenover elkaar te plaatsen.
Wat Kunt U Doen? Een Praktisch Stappenplan
1. Inventariseer AI-gebruik
Breng in kaart welke AI-tools uw medewerkers daadwerkelijk gebruiken. Gebruik enquêtes, netwerkmonitoring en open gesprekken. Creëer een veilige omgeving om gebruik te melden.
2. Classificeer risico's
Beoordeel elk geïdentificeerd AI-gebruik op risiconiveau. Welke data wordt verwerkt? Worden beslissingen genomen die mensen raken?
3. Stel AI-beleid op
Ontwikkel duidelijk AI-beleid dat specificeert welke tools goedgekeurd zijn, hoe nieuwe tools aangevraagd worden, en welke data niet in externe AI-systemen mag worden ingevoerd.
4. Investeer in AI-geletterdheid
Train medewerkers niet alleen in de risico's maar ook in het verantwoord gebruik van AI. Maak het makkelijk om AI veilig te gebruiken in plaats van het te verbieden.
5. Implementeer governance
Richt een governance-structuur in met duidelijke rollen, verantwoordelijkheden en escalatieprocedures voor AI-gebruik.
6. Monitor continu
Implementeer continue monitoring van AI-gebruik en voer regelmatig interne audits uit om nieuwe Shadow AI vroegtijdig te detecteren.
Shadow AI als Structurele Uitdaging
Shadow AI is geen tijdelijke trend — het is een structurele verandering in hoe technologie de werkvloer bereikt. De democratisering van AI betekent dat elke medewerker toegang heeft tot krachtige tools die voorheen voorbehouden waren aan specialisten. Dit biedt enorme kansen voor productiviteit en innovatie, maar vereist een fundamenteel andere benadering van compliance en governance.
De druk wordt vergroot door de EU AI Act, die organisaties verplicht medewerkers beter voor te bereiden op verantwoord AI-gebruik. Organisaties die proactief investeren in AI-geletterdheid, governance en een veilige AI-omgeving bouwen niet alleen compliance op — ze creëren ook een concurrentievoordeel door talent aan te trekken en productiviteit te verhogen.
Hoe VeriAi Helpt bij Shadow AI
VeriAi helpt organisaties grip te krijgen op Shadow AI via een integrale aanpak:
- AI-inventarisatie: Wij brengen het volledige AI-gebruik in uw organisatie in kaart, inclusief ongeautoriseerde tools.
- Risicobeoordeling: Elk geïdentificeerd AI-gebruik wordt geclassificeerd op risico volgens de EU AI Act risicoclassificatie.
- Governance-ontwerp: Wij helpen u een governance-framework op te zetten dat AI-gebruik faciliteert én controleert.
- Beleidsontwikkeling: Praktisch AI-beleid dat medewerkers begrijpen en willen naleven.
- Training: AI-geletterdheid programma's die verder gaan dan awareness — gericht op concreet gedrag.
- Audit: Regelmatige AI audits om Shadow AI structureel te monitoren.
Weet u hoeveel Shadow AI er in uw organisatie is?
Doe onze gratis quickscan en ontdek in 5 minuten hoe kwetsbaar uw organisatie is voor ongecontroleerd AI-gebruik.
Start de AI Compliance QuickscanVeelgestelde Vragen over Shadow AI
Wat is het verschil tussen Shadow IT en Shadow AI?▼
Shadow IT betreft het gebruik van ongeautoriseerde software en hardware. Shadow AI is specifieker: het gaat om het ongecontroleerde gebruik van AI-tools die data verwerken, patronen herkennen en beslissingen beïnvloeden. De risico's zijn groter omdat AI-tools vaak gevoelige data verwerken en de output direct bedrijfsbeslissingen kan beïnvloeden.
Is Shadow AI strafbaar onder de EU AI Act?▼
De EU AI Act legt verplichtingen op aan organisaties, niet aan individuele medewerkers. Als uw organisatie geen zicht heeft op AI-gebruik en daardoor niet voldoet aan transparantie-, documentatie- of risicobeheersingsverplichtingen, kan dat leiden tot handhaving en boetes tot €35 miljoen.
Hoeveel Shadow AI is er gemiddeld in een organisatie?▼
Volgens het Awareways Trendrapport 2025 hebben organisaties zicht op minder dan 11% van het daadwerkelijke AI-gebruik. Dit betekent dat gemiddeld 89% van het AI-gebruik binnen organisaties plaatsvindt zonder medeweten van IT of management.
Hoe kan ik Shadow AI detecteren?▼
Een combinatie van netwerkmonitoring, enquêtes onder medewerkers, en professionele AI-inventarisaties geeft het beste beeld. VeriAi biedt gespecialiseerde AI-inventarisatietrajecten die zowel technische als organisatorische methoden combineren.
Moet ik AI-gebruik blokkeren om compliant te zijn?▼
Nee. Blokkeren werkt averechts en is niet wat de EU AI Act vereist. De wet vraagt om verantwoord gebruik met adequate governance, risicobeoordeling en transparantie. Dit bereikt u door AI-gebruik te faciliteren binnen duidelijke kaders.