Shadow AI: wat doe je als medewerkers AI gebruiken zonder het te vragen?
Kort antwoord
Shadow AI (schaduw-AI) is het gebruik van AI-tools die de leiding niet kent of niet heeft goedgekeurd – meestal gratis ChatGPT of andere apps op het eigen account van de medewerker. Het risico: persoonsgegevens en vertrouwelijke informatie belanden bij een dienst zonder verwerkersovereenkomst, misschien voor training. Een verbod werkt zelden. Wat wel werkt, is een goed alternatief: goedgekeurde tools, een kort AI-beleid, een training en een makkelijke manier om nieuw gebruik te registreren.
Waarom gebeurt het?
Omdat AI helpt. Medewerkers die hebben gemerkt hoeveel tijd een AI kan besparen, gebruiken die – ook als het bedrijf nog niets heeft besloten. Het probleem is niet het gebruik, maar dat gegevens terechtkomen waar ze niet horen.
Wat je morgen kunt doen
Kies één goedgekeurde tool met een zakelijk abonnement, schrijf een kort AI-beleid, en geef iedereen een korte training. Met GoalCube kunnen medewerkers AI op echte gegevens gebruiken zonder dat de namen de EU verlaten – zodat er geen reden meer is om eromheen te werken.
Zo pakken jullie het aan
- Vraag het zonder te straffen.Een anonieme rondvraag geeft een eerlijk beeld.
- Bied een goed alternatief.Een zakelijk abonnement met verwerkersovereenkomst dat makkelijker is dan de gratis app.
- Bescherm gegevens automatisch.Met GoalCube ziet de AI alleen codes, dus je kunt AI veilig op echte gegevens gebruiken.
- Maak registreren makkelijk.Nieuw gebruik moet binnen een minuut te registreren zijn.
- Volg het op.GoalCube logt wanneer een dataset zonder registratie wordt gebruikt, en toont dat bovenaan de status.
Dit zegt de wet
- Artikel 28 en 32 AVG
- Persoonsgegevens mogen alleen naar leveranciers met een verwerkersovereenkomst en passende beveiliging.
- Artikel 4 AI-verordening
- AI-geletterdheid geldt voor al het AI-gebruik in het werk – ook het gebruik dat de leiding niet kent.
Vragen en antwoorden
Moeten we ChatGPT verbieden?
Een verbod verplaatst het gebruik meestal naar privételefoons. Een goedgekeurd alternatief dat de gegevens beschermt, werkt beter.
Is het een datalek als een medewerker persoonsgegevens in gratis ChatGPT heeft gezet?
Dat kan. Beoordeel het als mogelijke inbreuk in verband met persoonsgegevens, en meld het binnen 72 uur bij de toezichthouder (de AP in Nederland, de GBA in België) als het waarschijnlijk een risico voor de betrokkenen meebrengt.
Hoe ontdekt GoalCube shadow AI?
Gebruikt de AI een dataset zonder bevestigde registratie, dan wordt dat gelogd en waarschuwt de status bovenaan.
Bronnen
Geschreven door de redactie van GoalCube. Laatst bijgewerkt 11 oktober 2026. GoalCube helpt jullie de AI Act en de AVG te volgen. Het is geen juridisch advies.
Wees er als eerste bij.
We verwachten in november 2026 live te gaan. Meld je aan, dan hoor je van ons zodra jullie aan de slag kunnen.