Blog·september 2026·9 min leestijd

Shadow AI is geen technologieprobleem. Het is een uitgestelde beslissing.

De vraag is niet óf uw organisatie AI gebruikt. Dat gebeurt al. De vraag is hoe, binnen welke kaders, en wie dat beslist. Over draagvlak, transparantie en een beslissing die te lang wordt uitgesteld.

Shadow IT is niet nieuw. Shadow AI inmiddels ook niet meer. Medewerkers willen vooruit en efficiënter werken, en als de organisatie daar geen goede oplossing voor biedt, zoeken ze er zelf één. Dat is op zichzelf positief: mensen zien kansen en willen slimmer werken. Maar bij het opnemen en verwerken van vergaderingen ontstaat wel een belangrijke vraag: waar gaan de audio, de transcripties en de andere gegevens eigenlijk naartoe?

Dit artikel gaat niet over de vraag of uw organisatie AI moet gebruiken. Die vraag is al beantwoord, meestal door uw medewerkers zelf. Het gaat over de vraag die daarna komt en die in veel organisaties open blijft staan: hoe dan, binnen welke kaders, en wie beslist dat?

Vooraf: dit artikel is algemene informatie, geen juridisch advies.

"Wij gebruiken AI. Ik niet."

Een wereldwijd universitair onderzoek van begin 2025, onder 48.000 mensen in 47 landen, laat zien hoe groot het gat is tussen wat organisaties denken en wat er gebeurt. Bijna zes op de tien werknemers gebruiken bewust AI op het werk. Ruim de helft van hen (57 procent) zegt dat gebruik te verbergen of AI-werk als eigen werk te presenteren. Bijna de helft heeft bedrijfsgegevens in gratis, publieke AI-tools gezet. Twee derde controleert de uitkomst niet. En minder dan de helft heeft ooit een vorm van AI-training gehad (bron).

Nederland wijkt daar niet van af. In een onderzoek uit juni 2026 onder ruim duizend werkende Nederlanders bij middelgrote en grote bedrijven had één op de vijf op eigen kosten een abonnement op een AI-tool afgesloten voor het werk. Maar 43 procent zei duidelijke AI-richtlijnen van de werkgever te hebben gekregen. En het meest veelzeggend: van het hoger management kende 60 procent de geldende richtlijnen, op uitvoerend niveau 37 procent (bron).

Zet daar de officiële cijfers naast. Volgens het CBS gebruikte in 2024 22,7 procent van de Nederlandse bedrijven met tien of meer werkzame personen AI-technologie; bij bedrijven met tien tot twintig mensen was dat 17,8 procent (bron). Het bedrijf zegt "wij niet". De medewerker doet het wel. En in een onderzoek van mei 2026 onder 20.000 kenniswerkers in tien landen, waaronder Nederland, zei maar één op de vier AI-gebruikers dat de leiding van hun organisatie duidelijk en consequent op één lijn zit over AI (bron).

Zet die cijfers naast elkaar en u ziet het echte probleem. Het is niet dat mensen AI gebruiken. Het is dat ze het niet zeggen, en dat de organisatie het niet ziet. Op organisatieniveau klopt "wij gebruiken nauwelijks AI", en op de werkvloer gebruikt meer dan de helft het dagelijks of wekelijks, met eigen tools en op eigen kosten. Precies in dat gat leeft shadow AI.

Dat gat is geen kwestie van onwil. Wie iets gebruikt waarvan hij niet zeker weet of het mag, houdt het liever voor zich. En zolang niemand het zegt, kan de organisatie er ook niets mee. U kunt geen kaders stellen voor wat u niet ziet, en u kunt niemand helpen die niet durft te vragen. Zonder transparantie vaart u als organisatie blind, met de beste mensen aan het roer.

Niet óf AI, maar hoe, en binnen welke kaders

Veel organisaties praten over AI. Sommige doen er al veel mee. Weinig organisaties hebben besloten hoe. Dat is het verschil tussen praten, doen en kaders stellen, en het laatste is waar het op vastloopt.

Een beslissing die niet wordt genomen, wordt alsnog genomen. Alleen dan door de medewerker, op woensdagmiddag, met een deadline in het vooruitzicht. Dat is de kern van shadow AI: het is het gevolg van een uitgestelde beslissing, niet van een gebrek aan regels.

Het uitstel is begrijpelijk. AI voelt als een onderwerp waar je eerst verstand van moet hebben voordat je er iets over mag vinden. Dus wacht de directie op IT, wacht IT op een beleidsstuk, en wacht het beleidsstuk op een werkgroep die nog moet worden samengesteld. Intussen gaat het werk door, en dat werk wordt gedaan met de tools die voorhanden zijn.

De beslissing die nodig is, is kleiner dan hij lijkt. Niet "wat vinden wij van AI", maar: welke tools mogen we gebruiken, waarvoor, en wat mag er nooit in. Dat is geen AI-strategie. Dat is gewoon een kader, en een kader kun je in een middag opstellen als je weet wat mensen nu al doen.

Draagvlak: een kader maak je met de mensen die het gebruiken

Een kader dat van bovenaf wordt opgelegd, verandert weinig aan de cijfers hierboven. Het maakt hooguit dat mensen nog iets minder zeggen. Wat wel werkt, is beginnen bij de praktijk: vraag medewerkers wat ze nu gebruiken en waarom, en beloof dat daar geen gevolgen aan zitten. Niet om te controleren, maar om te begrijpen welke behoefte erachter zit.

Het antwoord is bijna altijd hetzelfde: mensen willen minder tijd kwijt zijn aan nawerk. Verslagen, samenvattingen, mails na een gesprek. Dat is een legitieme behoefte, en een kader dat die behoefte serieus neemt, krijgt draagvlak. Een kader dat alleen zegt wat niet mag, wordt gelezen als een verbod op slimmer werken en verdwijnt in een la.

Draagvlak betekent ook dat het kader uitlegt waarom. Waarom een klantgesprek niet in een gratis app mag, is voor de meeste mensen direct duidelijk zodra iemand het zegt: die opname bevat de naam van de klant, de reden van het gesprek en de afspraken, en niemand weet waar die dienst dat bewaart. Wie dat begrijpt, heeft geen regel meer nodig. Wie het niet weet, houdt zich ook niet aan de regel.

De AI-verordening helpt hier, en vraagt het ook

De Europese AI-verordening wordt vaak gezien als iets wat er "aan zit te komen". Dat beeld klopt niet meer. De verordening is sinds 1 augustus 2024 van kracht, en een deel ervan geldt nu al voor iedere organisatie die AI gebruikt, ook als die zelf niets bouwt en alleen kant-en-klare tools inzet.

Het relevante deel voor dit onderwerp is artikel 4: sinds 2 februari 2025 moeten aanbieders én gebruikers van AI-systemen ervoor zorgen dat hun personeel over voldoende kennis en vaardigheden beschikt om er verantwoord mee te werken. Wat "voldoende" is, hangt af van de rol en de context. De verordening schrijft geen cursus of certificaat voor. De overige verplichtingen, waaronder die voor systemen met een hoog risico, worden in de jaren daarna gefaseerd ingevoerd; de precieze data zijn in 2026 nog verschoven, dus die noemen we hier bewust niet.

Wij lezen artikel 4 niet als een dreiging maar als een steun in de rug. Het vraagt precies wat draagvlak nodig heeft: dat mensen weten wat een AI-tool wel en niet kan, dat ze de uitkomst controleren, en dat de organisatie daar iets aan doet in plaats van het aan het toeval over te laten. Wie dat regelt omdat het het werk beter maakt, voldoet aan de verordening zonder er een project van te maken.

IT krijgt de verzoeken. Hoort de beslissing daar?

In de praktijk komen de vragen bij IT terecht. "Mag ik deze tool gebruiken?" "Kunnen we een licentie nemen?" "Is dit veilig?" IT beantwoordt die vragen zo goed mogelijk, maar zit daarmee in een lastige positie. Een AI-tool voor vergaderingen raakt namelijk aan vier dingen tegelijk:

• Gegevens. Waar worden audio en transcript verwerkt, hoe lang blijven ze bewaard, en wie kan erbij? Dat is een vraag voor wie over privacy gaat: de functionaris gegevensbescherming, of degene die die rol in de praktijk vervult.
• Werk. Welke gesprekken mogen worden opgenomen, wie moet dat vooraf weten, en wat gebeurt er met een verslag dat een fout bevat? Dat is een vraag voor de leidinggevende en voor HR.
• Contract. Is er een verwerkersovereenkomst, staat de verwerking binnen de EU, en wat gebeurt er met de gegevens als het contract stopt? Dat is een vraag voor inkoop of de directie.
• Kennis. Weten de mensen die de tool gebruiken wat hij wel en niet kan, en dat de uitkomst gecontroleerd moet worden? Dat is de kennis uit artikel 4, en dus een vraag voor HR en de lijn.

IT kan de technische kant beoordelen, maar de beslissing zelf is breder. Als IT de enige plek is waar AI-verzoeken binnenkomen, gebeurt één van twee dingen: IT zegt uit voorzichtigheid nee, en de medewerker gaat alsnog zijn eigen weg, of IT zegt ja zonder dat iemand naar de andere drie vragen heeft gekeken.

Wie beslist dan wel?

Ons antwoord is niet "een AI-commissie". Een commissie is precies het soort uitstel dat shadow AI in de hand werkt. Wat wél werkt, in organisaties van twintig tot een paar honderd mensen, is dit:

Eén eigenaar met mandaat. Iemand uit de directie of het management die de beslissing over AI-tools mag nemen en daar tijd voor krijgt. Niet omdat die persoon alles van AI weet, maar omdat er iemand moet zijn die ja of nee kan zeggen. In een klein bedrijf is dat vaak de directeur zelf; in een groter bedrijf een operationeel directeur of het hoofd bedrijfsvoering.

Drie vaste adviseurs. IT voor de techniek, de privacyverantwoordelijke voor de gegevens, en HR voor werk en kennis. Zij adviseren, de eigenaar beslist. Dat overleg hoeft geen vergadering te zijn; een verzoek dat binnen een week langs alle drie is geweest, is snel genoeg.

Een vaste set vragen per verzoek. Waar worden de gegevens verwerkt en opgeslagen? Hoe lang blijven ze bewaard, en wordt dat afgedwongen? Wie heeft er toegang, ook bij de leverancier? Is er een verwerkersovereenkomst? En: wat is het alternatief als we nee zeggen? Die laatste vraag wordt het vaakst vergeten en is de belangrijkste.

Een antwoord binnen twee weken. De reden dat medewerkers hun eigen tools kiezen, is niet dat ze de regels niet kennen. Het is dat het antwoord te lang uitblijft. Een kader dat sneller is dan de gratis app, wint het van de gratis app.

Wat een werkbaar kader bevat

Een AI-beleid van dertig pagina's leest niemand. Wat wel wordt gelezen, is één pagina met vijf dingen:

• Een lijst van tools die zijn toegestaan, met per tool waarvoor. Kort, en bijgehouden.
• Een lijst van wat nooit in een externe AI-tool mag: persoonsgegevens van klanten, medische informatie, personeelsgesprekken, financiële cijfers die niet openbaar zijn. Concreet, met voorbeelden uit uw eigen praktijk, en met de reden erbij.
• De weg om een nieuwe tool aan te vragen, en de belofte hoe snel er antwoord komt.
• Wat medewerkers moeten weten voordat ze een AI-tool gebruiken, als vast onderdeel van het inwerken en van het jaarlijkse gesprek. Daarmee vult u artikel 4 op een manier die bij uw organisatie past.
• Een alternatief dat echt beter is dan wat mensen nu zelf gebruiken.

Dat laatste punt bepaalt of de andere vier werken. Shadow AI voorkomt u niet met richtlijnen alleen. U moet mensen vooral een goed alternatief geven.

Het alternatief moet beter zijn, niet alleen veiliger

Wie een gratis transcriptie-app afwijst en er niets tegenover zet, krijgt dezelfde app terug op een privételefoon. Het alternatief moet daarom minstens zo makkelijk zijn als wat mensen nu doen, en daarnaast de vier vragen van hierboven beantwoorden.

Dat is ook het uitgangspunt achter Forgewise Recall. Elke organisatie krijgt een eigen omgeving bij een Europese hostingpartij, niet gedeeld met andere klanten van Recall. De opname wordt verwerkt op infrastructuur die uitsluitend voor die omgeving draait. De audio kan niet terechtkomen op infrastructuur die met andere klanten wordt gedeeld, blijft binnen de eigen omgeving en wordt na zeven dagen automatisch gewist. Alleen de tekst gaat, binnen de EU, naar de AI-analyse, onder een verwerkersovereenkomst: de tekst wordt daar niet opgeslagen, niet gebruikt om modellen te trainen, en de aanbieder van het model krijgt hem niet te zien. Het verslag, de besluiten en de actiepunten met eigenaar komen terug in de eigen omgeving, waar een auditlogboek bijhoudt wie wat heeft bekeken. In het verslag en in elke export staat dat de inhoud door AI is gegenereerd en gecontroleerd moet worden, zodat de gebruiker weet dat de eindverantwoordelijkheid bij hem ligt. En er ligt een verwerkersovereenkomst onder, met vastgelegde bewaartermijnen en een wisprocedure bij het einde van het contract.

Voor de medewerker verandert er weinig: opnemen, wachten, verslag. Voor de organisatie verandert alles: de vier vragen zijn beantwoord voordat de eerste vergadering wordt opgenomen, en iedereen mag hardop zeggen dat hij AI gebruikt, omdat het antwoord op "mag dit" ja is. Dat is wat governance hoort te doen. Niet innovatie afremmen, maar mogelijk maken binnen duidelijke kaders.

Tot slot: wie beslist?

Als u dit leest en denkt "bij ons is dat nog niet belegd", dan is dat geen slecht nieuws. Het betekent dat de eerste stap klein is. Vraag deze week aan uw mensen wat ze nu gebruiken, zonder gevolgen. Wijs één eigenaar aan. Stel de vijf vragen. Geef binnen twee weken antwoord.

Het is geen AI-strategie. Het is een beslissing die te lang is uitgesteld, en die u vandaag kunt nemen.

Wilt u zien hoe een eigen omgeving voor vergaderingen er in de praktijk uitziet? Vraag een eigen omgeving aan; na goedkeuring staat die doorgaans binnen een werkdag klaar, en u probeert het veertien dagen zonder verplichtingen.

Forgewise Recall: van vergadering naar samenvatting, besluiten en actiepunten, in uw eigen omgeving. Probeer 14 dagen gratis.