Shadow AI: waarom verbieden niet werkt

Vorige maand vroeg een klant me om een lijstje op te stellen van AI-tools die verboden moesten worden. Begrijpelijk: er waren verhalen opgedoken over medewerkers die klantengegevens in ChatGPT plakten, en de zaakvoerder wilde dat stoppen. Mijn antwoord verraste hem. Een verbod gaat het probleem niet oplossen. Het gaat het alleen onzichtbaar maken.

Het kattenkwaad is er al

Shadow AI - het gebruik van AI-tools buiten elk zicht of beleid van de organisatie - bestaat in zowat elk bedrijf waar ik binnenkom, groot of klein. Mensen gebruiken AI om mails te herschrijven, offertes op te stellen, notities samen te vatten of code te debuggen, met hun eigen account, op hun eigen telefoon, vaak zonder erover na te denken. Niet uit onwil of onachtzaamheid, maar omdat het werkt en omdat niemand hen iets anders heeft aangeboden.

Een verbod verandert daar weinig aan. Het verplaatst het gedrag naar de schaduw: privételefoons in plaats van de bedrijfslaptop, persoonlijke accounts in plaats van een beheerde omgeving. Je verliest net het beetje zicht dat je had, en het risico dat je probeerde te vermijden - data die ergens verkeerd terechtkomt - wordt groter in plaats van kleiner.

Geef het een speelplaats

De aanpak die wél werkt, is het kattenkwaad een speelplaats geven. Concreet betekent dat drie dingen. Eerst: kies een of enkele tools die je als organisatie goedkeurt en maak ze makkelijk toegankelijk, met een zakelijk account waarbij je weet welke afspraken er gelden over data. Ten tweede: leg in gewone taal uit wat wel en niet kan - geen klantendossiers in een publieke chatbot, wel een samenvatting van een intern verslag. De meeste mensen houden zich graag aan een duidelijke regel, zolang ze snappen waarom ze bestaat. Ten derde: maak experimenteren officieel. Een kwartiertje per week om iets uit te proberen, gedeeld in een groepje, weegt zwaarder door dan tien pagina’s beleid die niemand leest.

Vertrouwen is geen risico, het is een strategie

Verbieden voelt als controle, maar is vaak het tegenovergestelde: je geeft de controle uit handen aan wie toch wel doorgaat, alleen dan zonder dat je het weet. Een speelplaats - begrensd, uitgelegd, met een paar heldere hekken - geeft je net meer grip. Je ziet wat er gebeurt, je kan bijsturen, en je bouwt stap voor stap kennis op in plaats van angst.

Bij de klant van vorige maand hebben we uiteindelijk geen verbodslijst gemaakt. We kozen één tool, schreven in een halve pagina op wat wel en niet kon, en organiseerden een sessie waarin het team zelf voorbeelden aandroeg van waar AI hen tijd bespaarde. Drie maanden later gebruikte iedereen dezelfde tool, met dezelfde afspraken. Niet omdat het verplicht was, maar omdat het de makkelijkste weg was geworden.