Shadow AI in je kmo: je team gebruikt AI al, alleen weet je het niet

Vraag in een willekeurige kmo of het team AI gebruikt, en de zaakvoerder zegt vaak “nog niet echt”. Vraag het aan de medewerkers, en je hoort iets anders: de ene laat mails herschrijven, de andere vat offertes samen, een derde vertaalt klantenmails. Op een privé-account, op de eigen gsm, zonder dat iemand het weet. Dat heet shadow AI: AI-gebruik dat buiten het zicht van de organisatie gebeurt.

Het goede nieuws: het betekent dat je mensen zelf al zien wat AI hen oplevert. Het minder goede nieuws: je hebt geen idee welke gegevens er intussen in welke tool belanden.

Waarom het gebeurt

Shadow AI is zelden kwade wil. Het ontstaat omdat de tools gratis en binnen een minuut beschikbaar zijn, omdat ze echt tijd winnen, en omdat niemand gezegd heeft wat wel en niet mag. Wie geen afspraken krijgt, maakt ze zelf. Of schaamt zich een beetje en zegt het gewoon niet.

Wat het risico is

• Bedrijfsgegevens in de verkeerde tool. Gratis consumentenversies kunnen standaard je gesprekken gebruiken om hun modellen te verbeteren. Een klantenlijst, een contract of een loonoverzicht hoort daar niet in. Hoe dat precies zit, lees je in is ChatGPT veilig voor bedrijfsdata?
• Persoonsgegevens zonder afspraken. Wie gegevens van klanten of collega’s in een tool plakt zonder verwerkersovereenkomst, zit met een privacyvraag die je als organisatie moet kunnen beantwoorden.
• Fouten die niemand nakijkt. AI-output klinkt overtuigend, ook als hij fout is. Zonder de afspraak dat je alles naleest, glipt een verzonnen cijfer zo in een offerte.
• Kennis die bij één persoon blijft. De collega die ontdekte hoe je in tien minuten een verslag maakt, houdt dat voor zich. Je team wint minder dan het zou kunnen.

Waarom verbieden niet werkt

De reflex is begrijpelijk: “Dan verbieden we het.” Maar een verbod duwt het gebruik alleen verder onder de radar, naar privé-gsm’s en thuis. Je verliest het zicht helemaal, en je mensen verliezen de tijdswinst die ze net ontdekt hadden. Beter is het omgekeerde: maak het zichtbaar, geef een veilige weg en spreek af wat er niet in mag.

Zo pak je het aan in vier stappen

1. Vraag het, zonder schuldgevoel. Een korte, anonieme vraag aan het team: welke AI-tools gebruik je, waarvoor, en op welk account? Zeg er vooraf bij dat het gaat om in kaart brengen, niet om straffen. Je zult verrast zijn.
2. Kies één goedgekeurde tool. Werken jullie in Microsoft 365, dan heeft iedereen met een werkaccount meestal al Copilot Chat, binnen de zakelijke gegevensbescherming van jullie omgeving. Een zakelijk abonnement op een andere tool kan ook. Belangrijk is dat er één veilige weg is. Meer in Copilot Chat of Microsoft 365 Copilot.
3. Spreek een handvol regels af, op één pagina. Wat nooit in een AI-tool mag, dat je output altijd naleest, en wie het aanspreekpunt is. Een volledige set vind je in AI veilig gebruiken op de werkvloer.
4. Leer het samen. Een halve dag met het hele team op jullie eigen taken zet iedereen op dezelfde lijn en haalt de beste trucs uit de schaduw. Wat één collega ontdekte, wordt zo van iedereen.

En de AI Act?

Artikel 4 van de AI Act vraagt dat organisaties die AI gebruiken, maatregelen nemen om de AI-geletterdheid van hun mensen te ondersteunen. Shadow AI is precies de situatie waarin dat nog niet gebeurt: mensen gebruiken AI zonder dat iemand hen uitlegt wat wel en niet kan. Bovenstaande vier stappen zijn meteen een eerste, aantoonbare maatregel. Wat de wet precies vraagt (en wat niet), lees je in AI-geletterdheid en de AI Act.

Samengevat

• Shadow AI is AI-gebruik buiten het zicht van de organisatie. In de meeste kmo’s is het er al.
• Het risico zit in bedrijfs- en persoonsgegevens in de verkeerde tool, en in fouten die niemand nakijkt.
• Verbieden duwt het verder weg. Breng het in beeld, kies één veilige tool, maak een paar afspraken en leer het samen.

Wil je dat in één keer goed regelen met je hele team? Een AI-workshop op jullie eigen cases doet precies dat, inclusief de afspraken. Voor een groter team is er de AI-dag voor het hele team.