Iedereen doet maar wat met AI. Mooi, dan heb je een startpunt.

Wat een interne enquête over AI-gebruik laat zien en waarom verbieden het probleem alleen verplaatst

Op de Data Expo in september sprak ik een IT-manager van een bouwbedrijf. Ze hadden een interne enquête gehouden, omdat ze wilden weten welke AI-tools er binnen het bedrijf gebruikt werden. De uitkomst was, plat gezegd: iedereen doet maar wat.

ChatGPT, Gemini, Claude, Copilot. Gratis accounts, eigen accounts, zakelijke accounts door elkaar. En ja, soms ook projectdata die daar niet thuishoort.

Hij vertelde het een beetje ongemakkelijk, alsof het bij hen slecht geregeld was. Maar dit bouwbedrijf is geen uitzondering. Bij bijna elke organisatie waar wij een nulmeting doen, zien we hetzelfde beeld.

Je mensen gebruiken AI allang.

In onze nulmetingen gebruikt 63 procent van de medewerkers AI al minstens één keer per week voor het werk. Een derde doet dat met een gratis account. En ChatGPT is steevast de meest gebruikte tool, ook bij organisaties die iedereen een Copilot-licentie hebben gegeven.

Die medewerkers doen dit niet om regels te overtreden. Ze zoeken een manier om hun werk sneller, makkelijker of beter te doen. Een verslag dat sneller af is. Een offerte die beter leest. Een lastige mail die ze niet meer zelf hoeven te formuleren.

Shadow AI is in de eerste plaats een vraagsignaal: je mensen laten zien waar AI de meeste waarde toevoegt.

Tegelijk is er een echt probleem. Vanuit IT zie je het gebeuren, maar je hebt er geen grip op. Je weet niet welke data waarheen gaat, welke systemen aan welke AI-tools gekoppeld zijn, en of een gratis tool jullie invoer gebruikt om zijn modellen te trainen. Er hoeft niet eens iets mis te gaan. Het is al een probleem als je de vraag van een klant of accountant over jullie AI-gebruik niet kunt beantwoorden.

Verbieden verplaatst het gebruik alleen.

De eerste reflex is vaak: blokkeren. Zet de bekende AI-sites dicht en stuur een mail rond dat AI-gebruik niet is toegestaan.

Een verbod werkt niet. De behoefte aan AI verdwijnt er niet door. Mensen pakken hun telefoon of gebruiken de tool thuis. Het gebruik gaat onder de radar en daar heb je nog minder zicht op dan eerst. Bij de gemeente Eindhoven ging het precies zo: medewerkers met veel werk, gewend aan AI, die gevoelige dossiers in publieke AI-tools zetten. Geen kwade wil, gewoon mensen die hun werk goed wilden doen.

Bied een alternatief dat minstens zo fijn werkt.

Geef je mensen één plek waar ze veilig met AI kunnen werken. Die plek moet minstens zo fijn werken als dat eigen account, anders blijft iedereen bij zijn eigen tool. En die tool moet de dingen regelen die een gratis account niet regelt:

• Data in Nederland, verwerking binnen de EU.
• Geen training op jullie gegevens, vastgelegd per modelaanbieder.
• Centraal gebruikersbeheer, zodat je weet wie wat gebruikt, en toegang intrekt als iemand vertrekt.
• Bewaartermijnen die je zelf instelt.
• Connectoren die je per systeem begrenst: mag de AI alleen lezen, of ook iets terugschrijven?

Pas als dat alternatief er is en goed werkt, heeft het zin om andere tools te blokkeren. Dan geef je mensen iets terug in plaats van iets af te pakken.

Wat je morgen anders kunt doen.

Begin bij wat er al is. Doe wat dat bouwbedrijf deed, maar dan grondiger: vraag je medewerkers anoniem welke AI-tools ze gebruiken, waarvoor, en welke taken ze het liefst door AI zouden laten doen. Die antwoorden laten zien waar het risico zit en tegelijk waar de beste use cases liggen. Je mensen hebben het voorwerk namelijk al gedaan.

Doet bij jullie ook iedereen maar wat? Dan heb je een goed startpunt. Maar dan is het wel tijd om er écht iets mee te doen.

Welke vragen je aan een AI-leverancier stelt, lees je op de pagina Veilige AI.

Lees ook: Wil je als organisatie met AI starten? Je mensen zijn allang begonnen. en Datalekken door AI-gebruik: zo voorkom je shadow AI.