Kort samengevat: Het ongecontroleerde gebruik van AI-tools op de werkvloer, ook wel "Shadow AI" genoemd, leidt tot grootschalige datalekken. Bij de gemeente Eindhoven alleen al werden in een maand meer dan duizend documenten met gevoelige persoonsgegevens in externe AI-tools als ChatGPT geplakt. Experts waarschuwen: zonder duidelijke regels is vrijwel elk bedrijf kwetsbaar. Praat mee over veilig AI-gebruik in de KREATE Community.
Gemeente Eindhoven als wake-up call
De cijfers liegen er niet om. Een interne steekproef bij de gemeente Eindhoven legde bloot dat ambtenaren in slechts een maand tijd meer dan duizend documenten uploadden naar openbare AI-tools. Het ging niet om onschuldige teksten: in de documenten zaten BSN-nummers, Wmo-gegevens en zelfs informatie over verslavingsgevoeligheid van burgers.
De gemeente heeft het datalek inmiddels gemeld bij de Autoriteit Persoonsgegevens en al het gebruik van publieke AI-modellen per direct geblokkeerd. OpenAI is verzocht de geuploade data te verwijderen, maar die bevestiging is er nog niet. Het is een ongemakkelijke waarheid: data die eenmaal in een AI-model belandt, is niet zomaar terug te halen.
Shadow AI: het probleem dat elk bedrijf raakt
Eindhoven staat niet alleen. Amazon legde AI-gebruik onder werknemers aan banden nadat interne documentatie via AI-modellen op straat kwam te liggen. De term "Shadow AI" beschrijft precies wat er gebeurt: medewerkers gebruiken tools als ChatGPT, Gemini en Claude voor hun werk, maar doen dat buiten het zicht van IT-afdelingen. Zonder regels, zonder toezicht, zonder besef van de risico's.
De Amerikaanse startup Unseen speelt hierop in met software die vertrouwelijke data automatisch anonimiseert voordat die naar een AI-tool gaat. Maar dat is een technische pleister op een gedragswond. De echte oplossing zit in helder beleid, training en bewustwording op de werkvloer. Niet de tool is het probleem, het gebruik ervan is dat.
Wat dit betekent voor jou
Of je nu een team van vijf of vijfhonderd leidt: de kans dat jouw medewerkers klantdata, contracten of strategische plannen in ChatGPT plakken is reëel. De Autoriteit Persoonsgegevens kijkt mee, en de boetes zijn niet mals. Drie dingen die je vandaag nog kunt doen: stel een AI-gebruiksbeleid op, train je team in wat wel en niet in AI-tools mag, en overweeg een afgeschermde AI-omgeving voor bedrijfsgebruik. Voorkomen is simpelweg goedkoper dan uitleggen.
Veelgestelde vragen
Wat is Shadow AI precies?
Shadow AI is het gebruik van AI-tools door medewerkers zonder goedkeuring of toezicht van de IT-afdeling. Denk aan iemand die een klantendatabase in ChatGPT plakt om een samenvatting te krijgen: handig voor die ene collega, een potentieel datalek voor het hele bedrijf.
Hoe voorkom ik datalekken via AI-tools in mijn bedrijf?
Begin met een helder AI-beleid waarin staat welke tools wel en niet gebruikt mogen worden. Train je team actief in het herkennen van gevoelige data. En kijk naar afgeschermde AI-omgevingen zoals Microsoft Copilot voor bedrijven of een eigen GPT-instantie die geen data gebruikt voor training.
