De cijfers vertellen een verhaal dat de meeste leidinggevenden liever niet zouden horen. Terwijl organisaties zich haasten om AI-abonnementen voor ondernemingen aan te schaffen, heeft 98% inmiddels werknemers die niet-goedgekeurde AI-toepassingen gebruiken.
Van die werknemers geeft 38% toe zonder toestemming gevoelige werkgegevens met AI-tools te delen. Misschien wel het meest verontrustend: 81% van de werknemers en 88% van de beveiligingsleiders—juist de mensen die verantwoordelijk zijn voor het voorkomen van dit gedrag—geven aan zelf niet-goedgekeurde AI-tools te gebruiken.
Deze kloof tussen AI in de ondernemingsstrategie en de realiteit van werknemers heeft geleid tot wat beveiligingsprofessionals "schaduw-AI" noemen, en de uitdaging neemt snel toe. Tussen 2023 en 2024 groeide het gebruik van generatieve AI-toepassingen door werknemers van 74% naar 96%. Maar slechts 31% van de organisaties heeft formele, uitgebreide AI-beleidsregels opgesteld om dat gebruik te reguleren.
Create a Free Account to Keep Reading—and Keep Leading Smarter
Unlock this piece and join a community of forward-thinking leaders discovering tools, playbooks, and insights for thriving in the age of AI.
Have an account? Log In
Voor CIO's en CHRO's vormt dit een governancecrisis die niet alleen met inkoop kan worden opgelost. De traditionele aanpak van "koop de juiste tool en verplicht het gebruik ervan" werkt niet wanneer werknemers via gratis consumententoepassingen toegang hebben tot vergelijkbare mogelijkheden. De vraag voor managementteams is hoe ze controle kunnen krijgen zonder de productiviteitswinst teniet te doen die AI aanvankelijk aantrekkelijk maakte.
Omvang van onzichtbaar AI-gebruik
Schaduw-AI verschilt qua omvang en toegankelijkheid van eerdere uitdagingen rond schaduw-IT. Een werknemer kan niet tijdens de lunch vanaf zijn telefoon een schaduwserver of inkoopsysteem opzetten. Hij of zij kan absoluut vertrouwelijke klantgegevens in ChatGPT of Claude plakken om een antwoordmail op te stellen, een functioneringsgesprek te schrijven of een spreadsheet te analyseren.
In maart 2024 werd 27,4% van de bedrijfsgegevens die werknemers in AI-tools invoerden als gevoelig geclassificeerd, tegenover 10,7% een jaar eerder. Dit gaat niet alleen om de hoeveelheid, maar ook om de snelheid.
Het gedistribueerde karakter van AI-gebruik maakt traditionele monitoringbenaderingen ontoereikend. In tegenstelling tot software-installaties waarvoor beheerdersrechten nodig zijn of SaaS-tools die administratieve sporen van inkoop achterlaten, laat AI-gebruik via persoonlijke accounts slechts minimale technische sporen na.
Bij organisaties met veel schaduw-AI leidde een beveiligingsinbreuk volgens IBM's rapport over de kosten van een datalek uit 2025 tot de compromittering van meer persoonlijk identificeerbare informatie (65%) en de blootstelling van meer intellectueel eigendom (40%) dan bij organisaties met minder schaduw-AI. Deze incidenten voegden ook gemiddeld $670,000 toe aan de kosten van een datalek.
Wanneer werknemers HR-gegevens, financiële informatie of klantgegevens verwerken via AI-tools voor consumenten, verliezen organisaties de bewakingsketen. Ze kunnen niet aantonen dat ze voldoen aan regelgeving voor gegevensbescherming, kunnen niet controleren welke informatie de organisatie heeft verlaten en kunnen niet garanderen dat gegevens worden verwijderd wanneer de wet dat vereist.
De concentratie van risico's is vooral groot bij kleinere organisaties. Bedrijven met 11 tot 50 werknemers vertoonden het dichtste gebruik van schaduw-AI, met gemiddeld 269 niet-goedgekeurde AI-tools per 1.000 werknemers.
Zelfs middelgrote organisaties met 500 tot 1.000 werknemers hadden ongeveer 200 schaduw-AI-tools per 1.000 gebruikers. Dit zijn geen tijdelijke experimenten; bij sommige schaduw-AI-toepassingen bedraagt de mediane gebruiksduur meer dan 400 dagen onafgebroken, zonder formele goedkeuring of toezicht.
Dit is momenteel een van de meest voorkomende realiteiten: AI-adoptie vindt al plaats, of de leiding zich daar nu op heeft voorbereid of niet. De slechtste reactie is om dit een halt toe te roepen. Dat leidt tot meer schaduwgebruik en tast het vertrouwen aan.
Mindset van snelheid versus beveiliging
Recent onderzoek onthult een ongemakkelijke waarheid over de houding van werknemers tegenover AI-governance. Van de werknemers is 60% het ermee eens dat het gebruik van niet-goedgekeurde AI-tools de beveiligingsrisico's waard is als het hen helpt sneller te werken of deadlines te halen. Nog eens 21% denkt dat hun werkgever een "oogje zou dichtknijpen" bij het gebruik van niet-goedgekeurde AI-tools, zolang het werk maar op tijd wordt afgerond.
Deze afweging verschuift afhankelijk van het organisatieniveau. Van de presidenten en leidinggevenden op C-niveau is 69% van mening dat snelheid zwaarder weegt dan zorgen over privacy of beveiliging. Op directeursniveau of bij senior vice-presidenten ligt dat percentage op 66%. Daarentegen deelt slechts 37% van de mensen in administratieve functies en 38% in junior managementfuncties deze opvatting.
De mensen met de meeste bevoegdheid om governancebeleid te veranderen, zijn degenen die dit beleid het waarschijnlijkst negeren.
De gegevens die werknemers delen weerspiegelen deze risicotolerantie. Een derde heeft onderzoek of datasets gedeeld via niet-goedgekeurde AI-tools, meer dan een kwart heeft werknemersgegevens gedeeld, waaronder namen, salarisgegevens of informatie over prestaties, en 23% heeft financiële overzichten of verkoopgegevens gedeeld.
AI Governance
Waarom blokkeren niet werkt
Organisaties die schaduw-AI proberen op te lossen met beperkingen, ontdekken een fundamenteel probleem. Werknemers vinden manieren om geblokkeerde toepassingen te gebruiken. Blokkeren elimineert het gedrag niet; het drijft het alleen verder de ondergrondse wereld in en neemt het zicht erop weg.
Mensen in je organisatie gebruiken het. Ze gebruiken het voortdurend. Dus misschien moet je AI-amnestie afkondigen en zeggen: kom uit het duister en laat ons zien wat je met AI gebruikt. Gebruik de voorkeursinstrumenten die goed zijn afgeschermd, waarbij het model niet wordt getraind en alles beveiligd is. Maar kom uit de schaduw, geen schaduw-AI meer. Je hebt amnestie. Het maakt ons niet uit dat je dit in het verleden hebt gebruikt. We hebben besloten dat het ons gewoon niet uitmaakt. Maar breng het alsjeblieft naar buiten en laten we samen uitzoeken hoe we dit kunnen aanpakken.
De kenniskloof maakt deze uitdaging nog groter. Hoewel 40% van de werknemers zich herinnert AI-training te hebben gekregen, gebruikt 40% nog steeds dagelijks niet-goedgekeurde hulpmiddelen. Nog opmerkelijker is dat onderzoekers een positieve correlatie vonden tussen gebruikers die aangaven dat ze de beveiligingsvereisten voor AI begrepen en hun regelmatige gebruik van niet-goedgekeurde AI-hulpmiddelen.
Naarmate werknemers meer kennis krijgen van AI-risico's, groeit ook hun vertrouwen in het zelf beoordelen van die risico's—zelfs ten koste van het volgen van bedrijfsbeleid.
Dit suggereert dat training in beveiligingsbewustzijn onvoldoende bescherming biedt. Minder dan de helft van de werknemers zegt de beleidsregels van hun bedrijf over AI-gebruik te kennen en te begrijpen. Het bestaande beleid gaat vaak niet in op de praktische redenen waarom werknemers zich in de eerste plaats tot schaduw-AI wenden.
Een praktisch AI-governancekader opbouwen
De Association voor de controle en het beheer van informatiesystemen heeft richtlijnen ontwikkeld voor organisaties om de volledige levenscyclus van AI-beheer aan te pakken. Volgens onderzoek van ISACA heeft slechts 31% van de organisaties formeel, uitgebreid AI-beleid ingevoerd, ondanks het feit dat 83% van de IT- en bedrijfsprofessionals gelooft dat werknemers binnen hun organisaties AI gebruiken.
De beste kaders beginnen met erkenning", zei Evans. "Ten eerste: maak een inventaris van waar AI al wordt gebruikt en waarom. Ten tweede: definieer duidelijke grenzen—welke gegevens zijn toegestaan, welke hulpmiddelen zijn goedgekeurd en waar menselijk toezicht vereist is. Ten derde: wijs verantwoordelijkheid toe: wie is verantwoordelijk voor de resultaten wanneer AI beslissingen beïnvloedt? Governance moet snelheid veilig mogelijk maken en teams niet afremmen. Als dit goed wordt gedaan, verandert het informele experimenten in herhaalbare, verantwoorde uitvoering.
ISACA raadt aan het COBIT-raamwerk—dat traditioneel wordt gebruikt voor IT-governance—aan te passen om AI-specifieke uitdagingen aan te pakken. Deze aanpak werkt omdat de meeste organisaties al op COBIT gebaseerde governancestructuren hebben, waardoor AI-governance een uitbreiding wordt in plaats van een volledige herbouw.
Bekijk daarom de stappen die dit met zich meebrengt:
Strategische afstemming
Zorgt ervoor dat AI-initiatieven rechtstreeks aansluiten op bedrijfsdoelstellingen, in plaats van als afzonderlijke technologieprojecten te bestaan. Dit betekent dat je niet vraagt: "Wat kan AI doen?", maar: "Welke bedrijfsproblemen moeten worden opgelost en kan AI daarbij helpen?"
Inventarisatie en risicoclassificatie
Breng de bestaande AI-hulpmiddelen die in gebruik zijn—zowel goedgekeurde als niet-goedgekeurde— in kaart en classificeer ze op risiconiveau. Een chatbot voor klantenservice die routinematige vragen verwerkt, brengt andere risico's met zich mee dan een AI-hulpmiddel dat gegevens over de prestaties van werknemers of financiële prognoses analyseert. Deze classificatie bepaalt welk governanceniveau passend is voor verschillende hulpmiddelen en gebruikssituaties.
AI-risicobeheer integreren in bestaande organisatorische processen.
Integratie met softwareontwikkeling, projectmanagement en veranderingsbeheer zorgt ervoor dat risico's vroegtijdig en regelmatig worden beoordeeld. Vanuit het perspectief van privacy en datagovernance biedt het correct bijhouden van bedrijfsmiddelen, gegevens en modellen een holistisch beeld van het AI-gebruik. Processen voor het beheer van risico's van derden moeten bijhouden welke leveranciers AI gebruiken en hoe zij die beveiligen.
Datagrenzen vaststellen
Organisaties hebben expliciet beleid nodig waarin wordt vastgelegd welke informatie wel en niet via AI-systemen mag worden verwerkt. Deze grenzen werken doorgaans volgens een getrapt systeem: openbare informatie mag in elk AI-hulpmiddel worden gebruikt, interne informatie vereist bedrijfsoplossingen met overeenkomsten voor gegevensbescherming en vertrouwelijke informatie is beperkt tot specifieke, streng gecontroleerde AI-omgevingen.
Het raamwerk benadrukt dat AI-governance alomvattend moet zijn en de volledige AI-levenscyclus van begin tot eind moet bewaken. Dit omvat het vastleggen van relevante metagegevens in elke fase, zodat het governanceraamwerk alle aspecten van modelontwikkeling, implementatie en monitoring omvat.
AI-governance moet volledige zichtbaarheid bieden van alle AI-modellen binnen het bedrijfsecosysteem, transparantie bevorderen en belanghebbenden in staat stellen te begrijpen hoe modellen worden ontwikkeld, gebruikt en beheerd.
Praktische stappen om aan de slag te gaan
Organisaties hoeven niet van de ene op de andere dag een volledig governanceraamwerk te implementeren. De aanpak van ISACA stelt een gefaseerde implementatie voor:
Fase 1: Zichtbaarheid creëren (week 1-4)
- Voer binnen alle afdelingen een audit van AI-tools uit
- Maak een AI-register waarin medewerkers moeten vastleggen welke tools ze gebruiken en voor welke doeleinden
- Classificeer tools op basis van risiconiveau (laag, gemiddeld, hoog, kritiek)
- Breng in kaart welke gegevenstypen met elke tool worden verwerkt
Fase 2: Beleid en grenzen definiëren (week 5-8)
- Ontwikkel duidelijke standaarden voor gegevensclassificatie (openbaar, intern, vertrouwelijk, beperkt)
- Maak gelaagd gebruiksbeleid dat het risiconiveau van tools koppelt aan de gevoeligheid van gegevens
- Stel goedkeuringsprocessen in voor aanvragen van nieuwe AI-tools
- Definieer rollen en verantwoordelijkheden (wie keurt wat goed, wie houdt toezicht op naleving)
Fase 3: Controles implementeren (week 9-16)
- Implementeer technische controles (preventie van gegevensverlies, toegangsbeheer)
- Bied goedgekeurde alternatieven voor veelgebruikte schaduw-AI-tools
- Start trainingen voor medewerkers over goedgekeurde tools en beleid voor gegevensverwerking
- Stel monitoringsystemen in voor afwijkende patronen in AI-gebruik
Fase 4: Continue verbetering (doorlopend)
- Voer regelmatig audits uit (elk kwartaal wordt aanbevolen) naar niet-goedgekeurd AI-gebruik
- Beoordeel en actualiseer beleid naarmate AI-mogelijkheden zich ontwikkelen
- Meet nalevingspercentages en de effectiviteit van governance
- Verzamel feedback van medewerkers over ontbrekende tools en knelpunten in het beleid
Het belangrijkste is om AI-governance te behandelen als een product met een toegewezen verantwoordelijke, in plaats van als een beleidsdocument. Net zoals organisaties chief security officers hebben met teams die verantwoordelijk zijn voor beveiliging, vereist effectieve AI-governance iemand - of dat nu een hoofd AI-functionaris, hoofd datafunctionaris of een speciaal AI-governanceteam is - die verantwoordelijk is voor het onderhouden van het raamwerk als een dynamisch systeem.
AI-sandboxen voor veilig experimenteren
Misschien wel de belangrijkste ontwikkeling op het gebied van governance voor schaduw-AI is het concept van "AI-sandboxen": gecontroleerde omgevingen waarin medewerkers met AI-mogelijkheden kunnen experimenteren zonder gevoelige gegevens in gevaar te brengen.
Sandboxen erkennen een fundamentele waarheid: medewerkers gebruiken schaduw-AI omdat het hen helpt beter te werken. Toegang blokkeren zonder alternatieven te bieden neemt de behoefte niet weg.
Harvard University liep voorop met deze aanpak toen docenten en onderzoekers veilige toegang nodig hadden tot grote taalmodellen zonder het risico te lopen dat gegevens naar externe leveranciers zouden lekken. De universiteit lanceerde een veilige AI-sandbox met ondersteuning voor GPT-3.5, GPT-4, Claude 2 en PaLM 2 Bison.
Meer dan 50 pilotgebruikers gebruikten de sandbox om AI voor onderwijs en onderzoek te testen en tegelijkertijd vertrouwelijke gegevens te beschermen. De gecontroleerde tests vormden ook input voor de inkoopbeslissingen van Harvard voor toekomstige AI-integraties.
De overheid van Massachusetts bouwde vergelijkbare geïsoleerde sandboxen met behulp van AWS-infrastructuur voor AI-tools, waaronder chatbots en inkoopsystemen. Deze systemen maakten veilige experimenten met een laag risico mogelijk, stroomlijnden diensten en vormden input voor bredere strategieën voor AI-adoptie. Steden zoals New Jersey en Washington D.C. implementeerden vergelijkbare aanpakken met Azure.
In de financiële sector werkte de Britse Financial Conduct Authority samen met NVIDIA om wat zij een "superkrachtige sandbox" noemden te creëren, waarmee bedrijven toegang kregen tot AI-modellen, datasets en regelgevende richtlijnen. De sandbox stimuleerde innovatie op het gebied van fraudedetectie, risicobeheer en automatisering en waarborgde tegelijkertijd naleving en toezicht.
Het sandboxconcept creëert aangewezen omgevingen waar teams AI-tools voor specifieke toepassingen kunnen testen met behulp van opgeschoonde gegevens. Een financieel team kan experimenteren met AI-aangedreven voorspellingsmodellen op basis van historische gegevens waaruit klantidentificatiegegevens zijn verwijderd. Een HR-team kan tools voor het screenen van cv's testen met synthetische kandidatenprofielen. Marketing kan campagneconcepten uitwerken zonder informatie over nog niet uitgebrachte producten te delen.
Deze omgevingen dienen twee doelen. Ze voorzien in de behoefte van medewerkers aan AI-mogelijkheden en bieden IT- en compliance-teams tegelijkertijd gecontroleerde testomgevingen om nieuwe tools te evalueren voordat ze organisatiebreed worden ingezet.
Wanneer een team in de sandbox een waardevolle AI-toepassing identificeert, kan de organisatie de tool grondig beoordelen en passende overeenkomsten voor gegevensbescherming onderhandelen voordat deze breder wordt uitgerold.
De rol van de CHRO in AI-governance
Hoewel CIO's doorgaans het voortouw nemen bij initiatieven voor AI-governance, spelen CHRO's een even cruciale rol die vaak wordt onderschat. Schaduw-AI is niet alleen een technologieprobleem, maar ook een personeelsprobleem dat voortkomt uit de manier waarop medewerkers werken, de productiviteitsdruk waarmee ze te maken hebben en de vraag of ze erop vertrouwen dat officiële tools in hun behoeften voorzien.
CHRO's moeten de culturele dynamiek aanpakken die de toepassing van schaduw-AI stimuleert. Wanneer medewerkers denken dat het aanvragen van toegang tot nieuwe AI-tools een inkoopproces van zes maanden in gang zet, zullen ze omwegen zoeken. Wanneer ze IT-beleid eerder zien als een belemmering voor productiviteit dan als legitiem risicobeheer, gebeurt hetzelfde.
Dit vereist dat CHRO's pleiten voor governancekaders die beveiliging in evenwicht brengen met gebruiksvriendelijkheid. Een systeem waarvoor vijftien goedkeuringsstappen nodig zijn om een AI-schrijftool te gebruiken, zal falen, ongeacht hoe theoretisch veilig het is. Medewerkers zullen in plaats daarvan gewoon ChatGPT gebruiken en het nooit vermelden. Effectieve governance maakt de juiste route de gemakkelijkste route.
CHRO's zijn ook verantwoordelijk voor het veranderingsmanagement dat nodig is om het gedrag van medewerkers te verschuiven van schaduw-AI naar goedgekeurde alternatieven. Dit omvat communicatie over waarom governance belangrijk is, training in goedgekeurde tools en het creëren van duidelijke kanalen waarlangs medewerkers nieuwe mogelijkheden kunnen aanvragen wanneer de huidige tools niet aan hun behoeften voldoen.
Ook het aspect van prestatiemanagement mag niet worden genegeerd. Organisaties moeten beslissen hoe ze omgaan met medewerkers die het AI-gebruiksbeleid overtreden. Steeds meer medewerkers vertrouwen AI-tools meer dan hun managers of collega's, wat wijst op een verschuiving van vertrouwen in menselijke relaties naar vertrouwen in technologie. Deze vertrouwensdynamiek maakt handhaving ingewikkeld. Te streng, en medewerkers verbergen hun AI-gebruik nog zorgvuldiger; te soepel, en beleid wordt betekenisloos.
Monitoringsystemen die werken
Effectieve AI-monitoring vereist een balans tussen beveiligingsbehoeften, privacyzorgen en het vertrouwen van medewerkers. De meest effectieve aanpakken richten zich op gegevensverplaatsing in plaats van op individueel gedrag. Systemen controleren of grote hoeveelheden mogelijk gevoelige informatie naar klemborden worden gekopieerd of naar externe websites worden geüpload—patronen die wijzen op mogelijk gegevensverlies in plaats van op routinematig werk.
De context is bij monitoring van enorm belang. Een ingenieur die code in een AI-tool plakt, kan hulp zoeken bij het opsporen van fouten, maar kan ook bedrijfseigen algoritmen delen. Het monitoringsysteem moet het verschil begrijpen, vaak met behulp van gegevensclassificatiesystemen die gevoelige coderepositories anders markeren dan open-sourceprojecten.
Sommige organisaties implementeren educatiesystemen die "op het juiste moment" ingrijpen wanneer risicovol gedrag wordt gedetecteerd. Als een medewerker probeert wat op klantgegevens lijkt in een externe AI-tool te plakken, genereert het systeem een waarschuwing waarin het beleid voor gegevensbescherming wordt uitgelegd en de medewerker naar goedgekeurde alternatieven wordt verwezen. Dit zorgt voor voorlichting zonder te bestraffen en biedt een uitweg voordat beleidsovertredingen plaatsvinden.
AI in Governance - Exploring
De inkoopvraag
Een belangrijke aanjager van schaduw-AI is frictie bij inkoop. Medewerkers kunnen binnen enkele minuten een ChatGPT- of Claude-account aanmaken en aan de slag gaan. IT zover krijgen dat een zakelijke AI-tool wordt goedgekeurd, aangeschaft en geïmplementeerd, kan maanden duren. Dit verschil in doorlooptijd garandeert de toepassing van schaduw-AI.
Vooruitstrevende organisaties creëren versnelde inkoopprocessen voor AI-tools die aan bepaalde criteria voldoen. Als een tool geen toegang tot gevoelige gegevens vereist, niet met kernsystemen integreert en een beperkte gebruikersgroep bedient, kan goedkeuring binnen dagen in plaats van maanden plaatsvinden. Dit vermindert de stimulans voor gebruik buiten de officiële kanalen en behoudt tegelijkertijd passend toezicht voor implementaties met een hoger risico.
Sommige organisaties voeren "AI-tooldatabanken" in: vooraf goedgekeurde catalogi met AI-diensten waartoe medewerkers onmiddellijk toegang hebben via zakelijke overeenkomsten. In plaats van voor elke nieuwe AI-tool contracten te onderhandelen, sluit IT overkoepelende overeenkomsten met grote aanbieders, waarna medewerkers toegang kunnen activeren wanneer dat nodig is. Dit biedt de snelheid van schaduw-AI met de governance van goedgekeurde tools.
Waar governance tekortschiet
Huidige AI-governancekaders hebben moeite met verschillende opkomende uitdagingen. De eerste is de toenemende capaciteit van AI-tools die in andere software zijn ingebouwd. Microsoft Copilot is rechtstreeks geïntegreerd in Office 365, de AI-functies van Adobe bevinden zich in Creative Cloud en Salesforce Einstein werkt binnen CRM-processen. Deze "onzichtbare" AI-mogelijkheden worden niet geregistreerd als afzonderlijke tools waarvoor governance nodig is, maar verwerken wel aanzienlijke hoeveelheden bedrijfsgegevens.
De tweede uitdaging heeft betrekking op persoonlijke apparaten. Veel organisaties hebben beleid voor het gebruik van persoonlijke apparaten, waarmee werknemers vanaf hun persoonlijke telefoons en laptops toegang hebben tot zakelijke e-mail en documenten. Wanneer die apparaten AI-assistenten hebben—Siri, Google Assistant of tools van derden—die toegang hebben tot zakelijke gegevens, wordt traditionele netwerkgebaseerde monitoring ineffectief.
De derde uitdaging is het onderscheid tussen AI-gebruik en AI-afhankelijkheid. Governancekaders kunnen bepalen tot welke tools werknemers toegang hebben, maar hebben moeite om te bepalen of werknemers passende vaardigheden voor kritisch denken ontwikkelen of te afhankelijk worden van AI-uitvoer. Een werknemer die AI gebruikt om elke e-mail op te stellen, overtreedt mogelijk geen enkel beleid, terwijl diegene schrijfvaardigheden ontwikkelt tegen een fractie van het tempo van vóór AI.
Hoe succes eruitziet
Organisaties die het AI-gebruik succesvol beheren zonder de productiviteit te beknotten, delen verschillende kenmerken.
- Ze stellen duidelijke, eenvoudige beleidsregels op die werknemers kunnen begrijpen en volgen zonder juridische interpretatie.
- Ze bieden goedgekeurde alternatieven die daadwerkelijk voldoen aan de behoeften van werknemers, in plaats van inferieure vervangers die mensen terugdrijven naar niet-goedgekeurde tools.
- Ze creëren feedbackmechanismen waarmee werknemers tekortkomingen in goedgekeurde tools kunnen melden of nieuwe mogelijkheden kunnen aanvragen.
- Ze beschouwen governance als een voortdurend gesprek in plaats van als een statisch regelboek.
Regelmatige communicatie over waarom beleidsregels bestaan, welke risico's ze beperken en hoe ze zich ontwikkelen, zorgt ervoor dat werknemers betrokken blijven. Wanneer werknemers begrijpen dat governance hen beschermt tegen aansprakelijkheid, datalekken die hun eigen informatie in gevaar kunnen brengen en overtredingen van regelgeving, wordt naleving cultureel in plaats van afgedwongen.
Organisaties die moeite hebben met schaduw-AI vertonen vaak tegenovergestelde kenmerken:
- Complex beleid waarvoor juridische interpretatie nodig is
- Goedgekeurde tools die qua mogelijkheden en gebruiksgemak achterlopen op consumententoepassingen
- Eenrichtingscommunicatie waarbij IT beleidsregels oplegt zonder de achterliggende redenen toe te lichten of feedback te vragen.
De weg vooruit
Schaduw-AI zal niet verdwijnen. Consumententoepassingen voor AI zullen zich qua mogelijkheden en toegankelijkheid blijven verbeteren, waardoor ze voortdurend aantrekkelijk blijven voor werknemers die productiviteitswinst zoeken. De uitdaging op het gebied van governance is niet het uitbannen van schaduw-AI, maar het kanaliseren van AI-adoptie naar beheerde systemen die zowel de belangen van de organisatie als de productiviteit van werknemers beschermen.
Dit vereist samenwerking tussen CIO's, CHRO's en bedrijfsleiders om kaders te creëren die in de praktijk werken in plaats van alleen in beleidsdocumenten. Het vereist investeringen in goedgekeurde tools die daadwerkelijk kunnen concurreren met consumententoepassingen, in plaats van als bureaucratische vervangers te dienen. Het vereist vertrouwen dat werknemers goede beslissingen zullen nemen wanneer ze duidelijke richtlijnen krijgen, en dat de leiding de middelen beschikbaar zal stellen die nodig zijn om effectief binnen de grenzen van governance te werken.
Het alternatief is een groeiende kloof tussen officieel beleid en de dagelijkse praktijk, waarbij het gebruik van schaduw-AI blijft toenemen op manieren die organisaties noch kunnen zien, noch kunnen beheren. In 2025 bleek uit gegevens dat naar verwachting ongeveer een derde van de generatieve-AI-projecten binnen ondernemingen zou vastlopen door een slechte datakwaliteit, ontoereikende risicobeheersing, oplopende kosten of onduidelijke bedrijfswaarde. Onderzoek wijst erop dat meer dan 80% van de AI-projecten in het algemeen mislukt.
