Ik zit regelmatig aan tafel bij managementteams en bestuurders. De vraag komt bijna altijd snel op tafel: “Wat doen wij eigenlijk al met AI?” Daarna volgt vaak een tweede vraag: “Lopen we niet achter?” Na ruim 20 jaar als interim risico- en verandermanager herken ik dat gevoel. Ik heb organisaties van binnen gezien op momenten dat er druk op stond, keuzes snel moesten worden gemaakt en niemand de boot wilde missen.
De laatste twee jaar zie ik dat opnieuw gebeuren, maar dan met AI. De adoptie en toepassing gaan steeds sneller. Mijn ervaring is dat er eerst vooral aan kansen wordt gedacht: sneller werken, minder kosten, betere klantbediening. Pas daarna komt de vraag wat er mis kan gaan. En juist dat is de valkuil. Als risicomanager kijk ik daarom niet alleen naar wat AI mogelijk maakt, maar ook naar bewustwording, AI-geletterdheid en de risicocultuur in een organisatie. Precies daar ontstaat een risico dat vaak buiten beeld blijft: schaduw-AI.
Wat is schaduw-AI?
Schaduw-AI is geen groot IT-project. Het begint klein. Een accountmanager laat een AI-tool een klantmail herschrijven. Een HR-medewerker vat cv's samen met ChatGPT. Een marketeer maakt teksten met een gratis AI-generator. Een projectteam zet vergadernotulen automatisch om in actiepunten. Handig, snel en vaak goed bedoeld. Maar niemand heeft vooraf gevraagd: mag dit, welke data gebruiken we en wie controleert het resultaat?
Dat is precies waar het mis kan gaan. Organisaties adopteren AI vaak sneller dan hun afspraken, controle en risicobeheer kunnen bijhouden. De praktische vraag is dan: weet u waar AI werkelijk wordt gebruikt, wie verantwoordelijk is en of u dat kunt uitleggen aan bestuur, auditor of toezichthouder?
Waarom groeit dit zo snel?
Omdat het zo makkelijk is. Medewerkers hoeven niet te wachten op een projectplan of budget. Ze openen een browser, uploaden een document en krijgen binnen seconden een bruikbaar antwoord. In veel organisaties gebeurt dit al bij teksten, contracten, klantvragen, notulen, analyses, sollicitaties en rapportages. Dat maakt AI waardevol. Maar het maakt het ook lastig om grip te houden.
De valkuil: alleen naar kansen kijken
Veel organisaties beginnen met de vraag: “Wat kunnen we ermee?” Dat is logisch, want AI levert zichtbare voordelen op. Maar risicodenken begint met een tweede vraag: “Wat kan er fout gaan als we dit zonder afspraken gebruiken?” Die vraag vertraagt innovatie niet. Die vraag voorkomt dat innovatie achteraf moet worden gerepareerd.
Daarom is bewustwording belangrijk. Medewerkers hoeven geen jurist of data scientist te worden. Ze moeten wel herkennen wanneer het gebruik van AI gevoelig wordt: bij persoonsgegevens, vertrouwelijke informatie, klantadvies, beoordelingen of besluiten die mensen raken. Dat vraagt om AI-geletterdheid: genoeg kennis om kansen te gebruiken én risico's te herkennen.
Maar kennis alleen is niet genoeg. Het gaat ook om risicocultuur. Durven medewerkers te zeggen: “Ik weet niet of deze AI-tool veilig is”? Vraagt een manager door voordat een team klantdata uploadt? Bespreekt het bestuur AI-risico's net zo serieus als AI-kansen? Als het antwoord nee is, groeit schaduw-AI vanzelf.
De belangrijkste risico's
Datalekken
Een medewerker plakt een klantdossier, offerte, arbeidsovereenkomst of spreadsheet in een publieke AI-tool. De vraag is dan: waar blijft die informatie en wie heeft er toegang toe?
Foute besluiten
AI maakt een samenvatting van een contract, cv of klachtenrapport. De tekst klinkt logisch, maar mist een belangrijk detail. Als niemand controleert, wordt een fout antwoord ineens input voor een besluit.
Onbewuste vooroordelen
Bij HR, fraudeonderzoek of klantselectie kan AI patronen overnemen die oneerlijk uitpakken. Juist daar vraagt de AI Act om extra aandacht.
Geen bewijs dat u in control bent
Als bestuur of toezichthouder vraagt welke AI-tools worden gebruikt, wilt u niet hoeven antwoorden: “dat weten we niet precies.”
Reputatieschade
Klanten verwachten dat u zorgvuldig omgaat met data. Één verkeerd voorbeeld kan genoeg zijn om vertrouwen te verliezen.
Wat zegt de AI Act hierover?
De AI Act is de Europese wet die regels stelt aan het ontwikkelen en gebruiken van kunstmatige intelligentie. De wet werkt met risicocategorieën. Niet elke AI-toepassing is zwaar gereguleerd. Een spamfilter is iets anders dan AI die helpt bij werving, beoordeling, kredietverlening of toegang tot publieke diensten. Maar de basisvraag is steeds dezelfde: wat doet het systeem, met welke gegevens, wie gebruikt het en welk effect kan het hebben op mensen?
Wie niet voldoet aan de AI Act kan te maken krijgen met stevige gevolgen. Denk aan toezicht, herstelmaatregelen, verplichte aanpassingen, gebruiksverboden en boetes. Bij de zwaarste overtredingen kunnen boetes oplopen tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Dat maakt AI niet alleen een innovatievraagstuk, maar ook een serieus bestuurs- en risicovraagstuk.
De tijdlijn loopt in stappen. De AI Act is in 2024 in werking getreden. Sinds februari 2025 gelden de verboden AI-praktijken en de verplichting om aandacht te besteden aan AI-geletterdheid. Vanaf augustus 2025 gelden regels voor aanbieders van algemene AI-modellen. Vanaf augustus 2026 worden onder meer transparantieverplichtingen belangrijker. Voor veel hoog-risico AI-toepassingen volgen de zwaarste verplichtingen later, richting 2027 en 2028. Organisaties hoeven dus niet in paniek te raken, maar wachten is ook geen verstandige optie.
Daarom is AI compliance praktischer dan veel bestuurders denken. Het begint niet met dikke rapporten, maar met overzicht: welke AI-toepassingen gebruiken we al, welke data gaan erin, wie is eigenaar, welke risico's zien we en welke afspraken gelden? Zonder dat overzicht blijft schaduw-AI buiten beeld.
Een herkenbaar voorbeeld
Een concreet voorbeeld. Een HR-team ontvangt vijftig sollicitaties. Iemand uploadt de cv's naar een AI-tool en vraagt: “Maak een top 10 van de beste kandidaten.” Dat scheelt tijd. Maar welke criteria gebruikt de tool? Worden kandidaten eerlijk beoordeeld? Zijn persoonsgegevens veilig verwerkt? En is duidelijk dat een mens de eindbeslissing neemt? Zonder afspraken lijkt dit efficiënt, maar het kan juridisch en reputatiegevoelig worden.
Een tweede voorbeeld. Een salesmanager gebruikt AI om een voorstel voor een klant te maken. In de prompt staan marges, prijsafspraken en interne onderhandelingsruimte. De output ziet er goed uit, maar vertrouwelijke bedrijfsinformatie is wel gedeeld met een externe tool. Dat is geen innovatieprobleem. Dat is een risicomanagementprobleem.
Of neem een finance-afdeling. Een medewerker laat AI meekijken naar een spreadsheet met prognoses, kostprijzen of cashflowgegevens. De analyse kan helpen, maar financiële informatie is gevoelig. Voor u het weet, is bedrijfsinformatie gebruikt in een omgeving waar de organisatie geen zicht op heeft.
Ook in communicatie gaat het snel. Een medewerker laat AI een reactie op een klacht schrijven. De toon is vriendelijk, maar de inhoud klopt net niet met beleid of toezeggingen. Dan lijkt AI tijd te besparen, terwijl het juist nieuwe verwachtingen of juridische risico's kan creëren.
En denk aan notulen. Een team uploadt een opname of transcript van een intern overleg om automatisch actiepunten te maken. Handig, maar wat als daarin namen, klantcases, strategie of vertrouwelijke besluiten staan? Niet alles wat technisch kan, is ook verstandig om zonder afspraken te doen.
Van verbieden naar beheersen
Verbieden klinkt stoer, maar werkt in de praktijk vaak slecht. Dan gaan medewerkers alsnog zelf zoeken naar oplossingen. Beter is om duidelijk te maken wat wel en niet mag. Bijvoorbeeld: geen persoonsgegevens in publieke AI-tools, geen vertrouwelijke documenten uploaden, altijd menselijke controle bij klantadvies en één plek waar medewerkers AI-tools kunnen melden.
Drie tips om grip te krijgen op schaduw-AI
- 1
Maak AI-gebruik zichtbaar
Vraag teams welke AI-tools zij gebruiken en waarvoor. Begin niet met controle, maar met nieuwsgierigheid. U krijgt pas grip als medewerkers durven vertellen wat zij doen.
- 2
Maak eenvoudige spelregels
Leg vast welke gegevens nooit in publieke AI-tools mogen, wanneer menselijke controle nodig is en wie eigenaar is van een AI-toepassing.
- 3
Train op risicodenken
Leer medewerkers niet alleen hoe AI werkt, maar vooral wanneer AI-gebruik gevoelig wordt. Gebruik voorbeelden uit hun eigen werk. Zo groeit AI-geletterdheid én een betere risicocultuur.
Volgende stap
Weet u waar schaduw-AI in uw organisatie ontstaat?
Doe de AI Risicoscan en zie binnen enkele minuten waar u risico loopt — met een top-5 risico's en een concreet 30-dagenplan. Liever een keynote of werksessie over AI Act, AI compliance en verantwoorde AI? Neem dan contact op.
Over mij
Martin de Bruin
Ik ben Martin de Bruin. Al ruim 20 jaar werk ik als interim risk- en verandermanager voor organisaties die te maken hebben met verandering, druk en complexe besluiten. In die rol heb ik geleerd dat beleid pas waarde heeft als mensen het begrijpen en kunnen toepassen. Ik zie snel waar risico's ontstaan, waar governance te ingewikkeld wordt en waar bestuur, management en operatie elkaar nodig hebben. Die ervaring neem ik mee in mijn werk rond AI, AI Act en AI compliance.
Via martin-debruin.nl presenteer ik mijn werk als keynote spreker, analist en sparringpartner over verantwoorde AI. Mijn insteek is onafhankelijk en pragmatisch: geen leverancier-pitch of hype, maar scherpe duiding, praktische voorbeelden en volgende stappen die organisaties direct kunnen gebruiken.
Met aicompliancy.nl help ik organisaties om AI-risico's aantoonbaar te beheersen. Voor het MKB ligt de nadruk op praktische AI-compliance, risicoscans en duidelijke eerste stappen. Voor grotere organisaties gaat het om AI-governance, risicomanagement, controls en aantoonbaarheid richting bestuur, auditor en toezichthouder.