Het verborgen risico van schaduw-AI en hoe dit te verhelpen

IT-leiders hebben jarenlang gewerkt aan het opzetten van beveiligingskaders, het handhaven van nalevingsbeleid en het beheren van risico’s binnen de hele onderneming. Toen kwam generatieve AI op de markt en begonnen medewerkers zelfstandig problemen op te lossen.

Het resultaat is wat nu 'schaduw-AI' wordt genoemd: niet-goedgekeurde consumententools die binnen de hele organisatie worden gebruikt zonder toezicht van IT, beveiligingsbeoordeling of governance-controles. Volgens het Enterprise AI-rapport  van Nitro is het probleem veel wijdverbreider dan de meeste organisaties beseffen, en reiken de risico's veel verder dan alleen beleidsschendingen.

De werkelijke omvang van schaduw-AI

Uit het onderzoek onder meer dan 1.000 professionals bleek dat 68% van de leidinggevenden en 50% van de medewerkers op het werk niet-goedgekeurde AI-tools gebruikt. Dit zijn geen geïsoleerde incidenten of uitzonderingsgevallen. Het gebruik van niet-goedgekeurde AI is standaardgedrag geworden in alle functies en op alle niveaus.

Nog zorgwekkender is wat werknemers met deze tools doen. Een op de drie werknemers heeft vertrouwelijke gegevens verwerkt via niet-gecontroleerde AI-platforms. Dat omvat klantinformatie, financiële gegevens, juridische documenten en intellectueel eigendom die door tools stromen met onbekende praktijken voor gegevensverwerking, zonder audittrail en zonder zichtbaarheid voor IT- of compliance-teams. Voor organisaties in gereguleerde sectoren leidt dit tot onmiddellijke compliance-risico's. Voor alle organisaties creëert het gegevensbeveiligingsrisico's die moeilijk in te schatten zijn en achteraf bijna onmogelijk te verhelpen.

Waarom maken werknemers gebruik van niet-goedgekeurde AI-tools?

Het instinct is om schaduw-AI te beschouwen als een tekortkoming in de naleving die strengere beleidsregels en krachtigere handhaving vereist. Maar de enquêtegegevens vertellen een ander verhaal. Medewerkers gebruiken geen niet-goedgekeurde tools omdat ze IT willen omzeilen of beveiligingsprotocollen willen negeren. Ze gebruiken ze omdat de goedgekeurde alternatieven niet aan hun behoeften voldoen. De goedgekeurde tools zijn traag, moeilijk te gebruiken of bestaan simpelweg niet voor de taken die medewerkers moeten uitvoeren.

Als iemand voor een vergadering in 30 minuten een contract van 50 pagina's moet samenvatten, gebruikt hij of zij alles wat de klus klaart. Wanneer de goedgekeurde workflow vereist dat er een ticket wordt ingediend, op toegang wordt gewacht en een training wordt gevolgd voordat een AI-tool kan worden gebruikt, zoeken werknemers een snellere manier. Schaduw-AI is een symptoom van onvervulde behoeften en een signaal dat AI-tools voor bedrijven geen gelijke tred houden met wat werknemers daadwerkelijk nodig hebben.

Het blootleggen van de kloof in bruikbaarheid die het risico van schaduw-AI veroorzaakt

Uit hetzelfde onderzoek bleek dat 68% van de leidinggevenden druk voelt om betere AI-tools aan hun teams te leveren, terwijl slechts 57% van de medewerkers druk voelt om de reeds aangeboden AI-tools te gebruiken. Die kloof onthult de kern van het probleem: organisaties investeren in AI-mogelijkheden, maar die mogelijkheden bereiken medewerkers niet op een manier die aansluit bij hun daadwerkelijke workflows.

Extra training is niet de oplossing. Uit de enquêtegegevens blijkt dat wanneer een tool intuïtief en nuttig is, mensen deze zonder uitgebreide ondersteuning omarmen. Wanneer het veel moeite kost om er toegang toe te krijgen of het te leren, zoeken ze naar alternatieven. Dit creëert een uitdagende dynamiek voor IT-leiders. Zij zijn verantwoordelijk voor beveiliging en governance, maar ze kunnen geen tools beveiligen waarover ze geen controle hebben. En ze kunnen geen controle uitoefenen op tools als medewerkers deze niet gebruiken.

Gebruiksvriendelijkheid versus governance in schaduw-AI

Om de kloof op het gebied van schaduw-AI te dichten, moet tegelijkertijd aan governance en gebruiksvriendelijkheid worden gewerkt. Als de focus op het ene ligt zonder het andere, levert dat onvolledige resultaten op.

Wat governance betreft, hebben organisaties duidelijk beleid nodig over welke AI-tools zijn goedgekeurd, hoe gegevens moeten worden behandeld en welke soorten content nooit via AI mogen worden verwerkt. Medewerkers moeten de risico's van het gebruik van niet-gecontroleerde tools begrijpen, met name bij het omgaan met gevoelige informatie. En IT heeft inzicht nodig in AI-gebruiks patronen om hiaten en opkomende risico's te identificeren.

Maar beleid alleen zal het gedrag niet veranderen als de goedgekeurde tools niet even gebruiksvriendelijk zijn als de consumentenalternatieven waar medewerkers nu al naar grijpen. Wat betreft de bruikbaarheid moeten IT-leiders AI-tools evalueren op dezelfde manier als werknemers dat doen. Helpt dit mij om mijn werk sneller te doen? Kan ik er toegang toe krijgen zonder al te veel moeite? Werkt het binnen de tools die ik al gebruik? Als het antwoord op een van deze vragen nee is, zal de acceptatie eronder lijden, ongeacht hoe sterk de beveiligingsfuncties zijn.

Hoe bouw je AI-tools die werknemers daadwerkelijk zullen gebruiken

De meest effectieve aanpak om schaduw-AI te verminderen, is ervoor te zorgen dat de veilige keuze ook de gemakkelijke keuze is. Dat betekent dat AI-mogelijkheden rechtstreeks moeten worden ingebouwd in de documentworkflows waar teams dagelijks op vertrouwen, in plaats van werknemers te vragen aparte tools te gebruiken of hun gevestigde processen te veranderen.

De aanpak van Nitro weerspiegelt dit principe. Tools zoals Document Assistant, Table Extract en Smart Redact zijn ontworpen om specifieke, veelvoorkomende taken op te lossen binnen de PDF- en documentworkflows die medewerkers al gebruiken. Er is geen aparte applicatie nodig, geen extra login en geen leercurve die barrières opwerpt voor de acceptatie.

Beveiliging en compliance zijn ingebouwd in het ontwerp in plaats van toegevoegd als beperkingen die de bruikbaarheid beperken. Gegevens worden verwerkt in tijdelijke sessies zonder opslag. Alle AI-tools voldoen aan de SOC 2-, ISO 27001- en HIPAA-normen. En omdat de tools binnen een gereguleerde omgeving werken, behoudt IT zichtbaarheid en controle zonder obstakels voor eindgebruikers te creëren. Wanneer medewerkers hun AI-ondersteunde taken kunnen uitvoeren via goedgekeurde tools die net zo goed werken als de consumentenalternatieven, wordt schaduw-AI overbodig.

De weg vooruit naar gereguleerd AI-gebruik in ondernemingen

Schaduw-AI vertegenwoordigt een kloof tussen wat werknemers nodig hebben en wat organisaties momenteel bieden. IT-leiders die dit uitsluitend als een governanceprobleem beschouwen, zullen dezelfde strijd blijven voeren naarmate er nieuwe consumententools opduiken en werknemers workarounds blijven vinden.

Degenen die de onderliggende kloof in bruikbaarheid aanpakken, zullen merken dat acceptatie vanzelf volgt. Wanneer de goedgekeurde tools daadwerkelijk eenvoudiger en effectiever zijn dan de alternatieven, zullen medewerkers ze gebruiken. De veiligheidsrisico's nemen af, de blootstelling aan compliance-risico's wordt kleiner en IT krijgt weer inzicht in hoe AI binnen de organisatie wordt gebruikt. De onderzoeksgegevens maken duidelijk wat er op het spel staat. Nu tweederde van de leidinggevenden en de helft van de medewerkers al niet-goedgekeurde tools gebruikt, is dit het moment om schaduw-AI aan te pakken.

Lees het rapport  Enterprise AI: The Reality Behind the Hype  voor de volledige bevindingen over schaduw-AI, acceptatie door bedrijven en wat succesvolle AI-implementaties onderscheidt van de rest.