Door Tom Janssens · Oprichter, Easy Cyber Protection · Laatst nagekeken 16 juli 2026 · Hoe wij dit schrijven

Schaduw-AI-governance voor KMO's: vind het, beslis, houd controle

Een AI-beleid schrijven is een klus van een week. Het waar houden is het moeilijke deel: elke maand verschijnen nieuwe AI-tools, medewerkers nemen ze in gebruik zonder te vragen, en de goedgekeurde lijst van vorig kwartaal klopt stilletjes niet meer. Deze gids behandelt de governance-kant van schaduw-AI voor kleine en middelgrote ondernemingen (KMO's): hoe je de tools met artificiële intelligentie (AI) vindt die al in gebruik zijn, hoe je per tool beslist wat ermee gebeurt, en hoe je controle houdt zonder AI-politie te worden. De gids eindigt met een gratis, bewerkbaar beleidssjabloon.

Kantoor in de schemering met één verlichte laptop tussen donkere, symbool voor niet-goedgekeurde AI-tools op het werk — De tools zijn al binnen. Governance beslist wat er daarna gebeurt.

Waarom één beleid niet volstaat

Een KnowBe4-bevraging van Nederlandse organisaties (rapport "From Agentic Risk to Human Wins", juni 2026; geen Belgische cijfers gepubliceerd) mat de kloof: 50% had geen duidelijke regels voor AI-gebruik, 27% van de medewerkers grijpt naar niet-goedgekeurde AI-tools als officiële ontbreken, en 58% draait al autonome AI-agents. Het veelzeggende cijfer is het laatste: AI-gebruik is niet langer alleen mensen die tekst in chatbots plakken. Het is ook software die zelfstandig handelt, aangesloten door één enthousiaste collega.

! De toollijst veroudert. AI-leveranciers brengen maandelijks nieuwe producten en functies uit. Een shortlist die in januari werd goedgekeurd, is in april onvolledig. Zonder reviewritme beschrijft het beleid een werkplek die niet meer bestaat.
! Nieuwe medewerkers zagen het beleid nooit. Het beleid werd één keer voorgesteld, in een teamvergadering van twee jaar personeelsverloop geleden. Governance betekent dat het beleid deel is van de onboarding, geen folklore.
! Agents overleven hun makers. Een AI-agent gekoppeld aan je mailbox of klantendata blijft draaien wanneer de collega die hem opzette van rol verandert of vertrekt. Iemand moet er eigenaar van zijn, anders is niemand het.
! De wet gaat er nu van uit dat je het weet. Vanaf 2 augustus 2026 vereist artikel 50 van de Europese AI-verordening (EU AI Act) labels op bepaalde AI-gegenereerde content en chatbots die zich kenbaar maken. Je kunt geen labelplicht naleven voor tools waarvan je niet weet dat ze bestaan; een actuele inventaris is de wettelijke ondergrens, geen extraatje.

Stap 1: Vind wat echt in gebruik is

Opsporen is geen bewaking. Het doel is een eerlijk beeld, en eerlijkheid vraagt veiligheid: kondig aan dat de inventaris zonder schuldvraag verloopt, en combineer dan wat mensen je vertellen met wat je systemen al weten.

Vraag het, anoniem

Een bevraging met drie vragen levert het grootste deel van het beeld: welke AI-tools gebruik je voor je werk, voor welke taken, en met welk soort data? Anoniem, kort, twee keer per jaar herhaald. Mensen antwoorden eerlijk als het antwoord hen niet kan schaden.

Volg het geld

Controleer kaartafschriften en onkostennota's op AI-abonnementen. Een kost van €20 per maand is vaak het eerste harde bewijs van een tool die niemand vermeldde.

Gebruik de signalen die IT al heeft

Je IT-partner kan oplijsten met welke AI-domeinen je netwerk praat (via DNS- of firewall-logs) en welke browserextensies op beheerde machines staan. Zo vind je de tools die de bevraging miste, ook die welke in andere software ingebouwd zitten.

Stel leveranciers de vraag

Je bestaande softwareleveranciers voegen AI-functies toe aan tools die je al goedkeurde. Vraag elke sleutelleverancier: welke van jullie functies sturen onze data naar een AI-model, en waar gaat ze naartoe? Schaduw-AI wordt je soms geleverd in een update.

Stap 2: Beslis per tool: goedkeuren, vervangen of blokkeren

Maak voor elke gevonden tool één van drie keuzes. De criteria blijven telkens dezelfde: wordt de invoer gebruikt om andermans model te trainen, waar wordt de data opgeslagen, kun je een zakelijk account met beheerderscontrole krijgen, en tekent de leverancier een verwerkersovereenkomst?

Keur goed de tools die slagen en die mensen aantoonbaar nodig hebben. Vereis zakelijke accounts, schakel trainen op jouw data uit waar die instelling bestaat, en zet de tool op de goedgekeurde lijst met een interne eigenaar.
Vervang populaire tools die niet door de criteria raken door een goedgekeurd alternatief dat dezelfde nood dekt. Een verbod zonder vervanger verplaatst het gebruik alleen maar naar privételefoons. De nood is echt; beantwoord ze met een tool die jij beheert.
Blokkeer de kleine rest: tools die verboden data verwerken zonder aanvaardbare voorwaarden en zonder legitieme nood. Blokkeer ze technisch waar mogelijk, en zeg waarom. Een uitgelegde blokkering wordt gevolgd; een stille wordt omzeild.

Autonome agents verdienen één extra regel: behandel elke AI-agent als een nieuwe medewerker. Hij krijgt een eigenaar (een persoon die verantwoordelijk is voor wat hij doet), een geschreven scope (welke systemen hij mag aanraken, welke data hij mag lezen) en een offboardingstap (vertrekt zijn eigenaar, dan wordt de agent overgedragen of uitgeschakeld en worden zijn toegangssleutels ingetrokken). Een agent zonder eigenaar is een account waar niemand naar kijkt.

Stap 3: Houd controle met een kwartaallus

Governance is de kleinste set gewoontes die het beeld actueel houdt. Voor een KMO volstaan vier gewoontes:

Eén register, één eigenaar

Eén pagina of spreadsheet met elke goedgekeurde tool en agent: naam, doel, toegelaten data, interne eigenaar, reviewdatum. Eén persoon is eigenaar van het register zelf. Draait je bedrijf al op een complianceplatform, bewaar het register daar, naast het andere bewijs.

Een kwartaalreview

Vijftien minuten, vier vragen: nieuwe tools gespot sinds vorig kwartaal? Goedgekeurde tools die niet meer gebruikt worden (verwijder ze, sluit de accounts)? Gewijzigde leveranciersvoorwaarden? Agents zonder actuele eigenaar? Zet het in hetzelfde agendaslot als je patch- of toegangsreview.

Onboarding en offboarding

Nieuwe medewerkers krijgen het AI-beleid samen met hun laptop, niet via osmose. Vertrekkers triggeren een controle: waren zij eigenaar van tools of agents in het register? Draag over voor je hun accounts deactiveert.

Een meldroute zonder schuldvraag

Beslis vandaag aan wie medewerkers het melden wanneer data in de verkeerde tool belandt, en beloof dat melden nooit bestraft wordt. Je kunt alleen schade beperken waarvan je hoort, en je hoort er snel van alleen als melden veilig is.

Het gratis beleidssjabloon

De download hieronder is een volledig, bewerkbaar AI-gebruiksbeleid in platte tekst (Markdown): open het in Word, je beleidstool of eender welke editor, vervang de placeholders tussen haakjes door je eigen namen en tools, en je hebt een bruikbaar beleid van één pagina plus het AI-toolregister en de agentregels uit deze gids. Geen e-mailmuur; vrij te gebruiken en aan te passen.

Het beleid van één pagina: goedgekeurde tools, verboden datacategorieën, labelplicht, contactpersoon
Het register voor AI-tools en agents als invultabel (tool, doel, toegelaten data, eigenaar, reviewdatum)
De agentregels: eigenaar, scope, offboarding
De checklist voor de kwartaalreview, klaar om in een terugkerende agenda-uitnodiging te plakken

Download het beleidssjabloon (gratis, Markdown)

Ook beschikbaar in het Engels en het Frans; wissel de taal op deze pagina om die versie te downloaden.

De MSP-invalshoek

Voor managed service providers (MSP's) is schaduw-AI-governance terugkerend werk, en net daarom een betere dienst dan een eenmalige beleidsoplevering: de opsporingssignalen (DNS, extensies, abonnementen) komen uit systemen die je al beheert, de kwartaalreview past in het ritme dat je al draait voor patching en toegang, en het register hoort natuurlijk thuis naast het compliancebewijs dat je al bijhoudt. Lever het sjabloon als startartefact en de kwartaallus als de dienst.

FAQ

Wat is het verschil met een AI-gebruiksbeleid?

Het beleid is het document; governance is wat het waar houdt. Onze gids over aanvaardbaar AI-gebruik doorloopt het schrijven van het beleid van één pagina in vijf stappen. Deze gids behandelt wat eromheen hoort: de tools vinden, per tool beslissen, agents een eigenaar geven, en de kwartaalreview die het beleid vers houdt. Het sjabloon hieronder bevat zowel de beleidspagina als de governance-onderdelen.

Kunnen we AI-tools niet gewoon blokkeren op de firewall?

Blokkeren heeft een plaats, maar als laatste stap, niet als strategie. Medewerkers gebruiken AI-tools omdat ze echt tijd besparen; blokkeer alles en het gebruik verhuist naar privétoestellen waar je nul zicht op hebt. Keur eerst goed of vervang, blokkeer de rest, en zeg altijd waarom een tool geblokkeerd is.

Tellen AI-functies in onze bestaande software als schaduw-AI?

Ja, en ze zijn het makkelijkst te missen. Een leveranciersupdate kan een AI-assistent toevoegen die je data naar een model stuurt zonder dat iemand in je bedrijf ervoor koos. Vraag je sleutelleveranciers welke functies data naar AI-modellen sturen en waar die data naartoe gaat, en noteer de antwoorden in hetzelfde register.

Wat is het minimum voor een bedrijf met 10 mensen?

Het sjabloon één keer ingevuld, één verantwoordelijke, en de kwartaalreview van vijftien minuten. Dat volstaat echt op die schaal: het punt is geen papierwerk, maar dat iemand op elk moment kan antwoorden op "welke AI-tools gebruiken we, met welke data?", ook op 2 augustus 2026 wanneer de labelplichten van de EU AI Act gelden.