Uw medewerkers gebruiken stiekem AI-tools (‘shadow AI’): wat doet u, zonder te verbieden?

Het scenario in het kort

Voorbeeld, verzonnen ter illustratie. In een fictieve medische praktijk met zes mensen moet de secretaresse een ontevreden patiënt antwoorden. Om tijd te winnen plakt ze de brief van de patiënt, met zijn naam, zijn geboortedatum en de details van zijn behandeling, in een AI-assistent voor het grote publiek die openstaat op haar telefoon, en vraagt ze om een ‘beleefd maar beslist’ antwoord. Het antwoord is uitstekend. Niemand heeft het haar verboden. Niemand heeft het haar ook toegestaan, en niemand weet dat de praktijk die dag gezondheidsgegevens heeft toevertrouwd aan een onlinedienst waarvan ze de voorwaarden nooit heeft gelezen.

Dat noemen we ‘shadow AI’ (schaduw-AI): tools met artificiële intelligentie die op het werk gebruikt worden zonder dat de directie het weet of het georganiseerd heeft. Dat is geen kwade wil. Bijna altijd gaat het om iemand die nauwgezet werkt en sneller wil werken.

Wat de cijfers zeggen

In België is het gebruik op een jaar tijd sterk gestegen. Volgens Statbel, het Belgische statistiekbureau, gebruikte meer dan een op de drie ondernemingen (34,5 %) in 2025 minstens één AI-technologie, tegenover 24,7 % een jaar eerder. Bij individuele personen gaat het nog sneller:

Lees de laatste rij samen met de vorige: veel ondernemingen aarzelen, bij gebrek aan knowhow, terwijl hun werknemers zelf al begonnen zijn. Volgens Eurostat zet meer dan de helft van de gebruikers op beroepsactieve leeftijd deze tools in voor hun werk. Als niemand het in uw onderneming organiseert, gebeurt het toch, met persoonlijke accounts.

Waar zit het echte risico?

Generatieve AI (die teksten schrijft, samenvat of vertaalt op basis van een eenvoudige vraag) is op zich niet gevaarlijk. Het risico zit in twee heel concrete dingen.

1. De gegevens die erin geplakt worden

Wat een werknemer in een onlinetool plakt, gaat naar de leverancier van die tool. Afhankelijk van de instellingen kan het in een geschiedenis bewaard worden of gebruikt worden om de tool te verbeteren. De Gegevensbeschermingsautoriteit (GBA) herinnert daaraan in haar brochure van april 2026 over AI en privacy: wees voorzichtig voor u gevoelige informatie, zoals medische of financiële gegevens, in een chatbot ingeeft; verberg wat een persoon herkenbaar maakt (naam, adres, leeftijd); en controleer de standaardinstellingen, met name de chatgeschiedenis en de training van de AI, die vaak standaard ingeschakeld zijn.

Met een gratis persoonlijke account is het de werknemer die deze voorwaarden aanvaardt, niet de onderneming. U hebt dan geen contract, geen controle over de instellingen en geen manier om te weten wat er verstuurd is.

2. De antwoorden die we zomaar geloven

Een conversationele AI kan zich vol overtuiging vergissen: een referentie, een cijfer of een wetsartikel verzinnen. De Europese Commissie noemt dit risico, dat ‘hallucinatie’ heet, als eerste punt om uit te leggen aan werknemers die deze tools gebruiken. Een brief, een offerte of een nota die met AI geschreven is, moet dus altijd nagelezen worden door iemand die het onderwerp kent.

Waarom verbieden niet werkt

Verbieden lijkt de veiligste oplossing; vaak is het de minst veilige. De tool is gratis, past in een telefoon en bespaart tijd: een verbod neemt de behoefte niet weg, het verplaatst het gebruik buiten uw zicht, naar persoonlijke accounts, zonder enige regel. Zo verliest u meteen de mogelijkheid om een tool te kiezen waarvan het contract uw gegevens beschermt.

De juiste reflex is het omgekeerde: erkennen dat AI helpt, en een officiële weg aanbieden die comfortabeler is dan de verborgen weg. Niemand heeft een reden om zich te verstoppen om de tool te gebruiken die de onderneming hem geeft.

Wat de wet nu al van u vraagt

De Europese verordening over artificiële intelligentie, de AI Act, geldt ook voor kmo's die gewoon AI-tools gebruiken. Artikel 4 vraagt ondernemingen die AI gebruiken om maatregelen te nemen om de AI-geletterdheid van hun personeel te ontwikkelen, dat wil zeggen de kennis die nodig is om ermee te werken en de grenzen en risico's ervan te begrijpen. Die verplichting geldt sinds 2 februari 2025; de tekst werd in juli 2026 herschreven, maar het blijft een verplichting.

In haar vragen en antwoorden over AI-geletterdheid (in het Engels) neemt de Europese Commissie een voorbeeld dat heel dicht bij het uwe ligt: werknemers die een conversationele AI gebruiken om reclameteksten te schrijven of te vertalen. Haar antwoord: ja, ze moeten geïnformeerd worden over de specifieke risico's van deze tools, bijvoorbeeld hallucinaties. Wat u moet onthouden:

• Geen verplicht certificaat en geen opgelegd formaat: een opleiding die past bij uw gebruik volstaat.
• Leg het schriftelijk vast: een eenvoudige interne nota van de opleidingen en de gegeven instructies.
• De handleiding van de tool volstaat niet: volgens de Commissie is het waarschijnlijk ondoeltreffend om ze alleen te laten lezen.
• Het toezicht is begonnen: de regels voor toezicht gelden sinds 2 augustus 2026, onder de verantwoordelijkheid van de nationale autoriteiten.

Daarbij komt de AVG (GDPR), die u al kent: gegevens van patiënten of klanten in een onlinetool plakken, betekent ze aan een derde toevertrouwen. U moet kunnen zeggen aan wie, waarvoor en met welke waarborgen. Bij twijfel publiceert de Gegevensbeschermingsautoriteit haar aanbevelingen over AI.

Het plan in vijf stappen, vanaf maandagochtend

1. Vraag het, zonder sanctie. Een korte anonieme vragenlijst of een rondvraag: welke AI-tools gebruikt u, waarvoor, met welk soort informatie? Zeg meteen dat niemand gestraft wordt. U ontdekt nuttige toepassingen die u wilt behouden.
2. Kies een officiële tool. Een professionele versie, op naam van de onderneming, waarvan het contract bepaalt dat uw gegevens niet gebruikt worden om de tool te trainen, en waarmee u de accounts beheert en de toegang afsluit wanneer iemand de onderneming verlaat. Een professioneel abonnement kost altijd minder dan een datalek.
3. Schrijf de regel op één pagina. Het toegestane gebruik, wat u nooit plakt (de tabel hierboven), de plicht om na te lezen voor u iets verstuurt, en bij wie u terechtkunt met een vraag. Eén gelezen pagina is meer waard dan twintig genegeerde.
4. Geef een uur opleiding. Hoe u een vraag goed formuleert, hoe u een naam verbergt (‘dhr. X’, ‘de patiënt’), waarom u alles naleest. Noteer de datum en de deelnemers: dat is uw bewijs voor de AI Act.
5. Evalueer om de zes maanden. Tools veranderen snel. Doe opnieuw een rondvraag, werk de pagina bij, sluit de accounts die niet meer gebruikt worden.

Geen van deze stappen vraagt technische kennis. Ze vragen vooral dat de directie het voorbeeld geeft, door zelf de officiële tool te gebruiken.

In een zorgpraktijk: één regel extra

Gezondheidsgegevens behoren tot de best beschermde gegevens onder de AVG. De regel om op te hangen is eenvoudig: geen enkel gegeven waaraan een patiënt te herkennen is in een AI-tool voor het grote publiek, zelfs niet om ‘gewoon te herformuleren’. Voor een brief kan AI helpen om de toon of de structuur te vinden; de naam, de diagnose en de behandeling voegt u daarna met de hand toe, in uw gewone software.

Wat DeepIT samen met u kan doen

DeepIT beheert de IT van kmo's en zorgpraktijken in Brussel. We kunnen u helpen om de gebruikte tools in kaart te brengen, een professionele tool te kiezen en in te stellen die past bij uw grootte, en samen met u uw gebruiksregel van één pagina te schrijven. Het doel is niet uw team af te remmen, maar het AI te laten gebruiken zonder een deur open te zetten.

Zie ook ons uitbesteed IT-beheer.

Het gebruik van AI omkaderen→