Shadow AI: wat is het en hoe pak je het aan als HR?

Shadow AI is het gebruik van AI tools door medewerkers zonder toestemming of medeweten van de werkgever of de IT afdeling. Denk aan een collega die een contract in een gratis chatbot plakt, of een recruiter die cv’s laat samenvatten via een persoonlijk account. Shadow AI levert snelheid op, maar zet gevoelige gegevens, AVG-naleving en bedrijfsgeheimen onder druk. Voor HR is het een vraag van beleid, training en vertrouwen.

Wat is shadow AI precies?

Shadow AI is elke vorm van kunstmatige intelligentie die werknemers op het werk gebruiken buiten het zicht van de organisatie. Het gaat om AI tools die niet zijn goedgekeurd, niet zijn getoetst op privacy en security, en waarover geen afspraken bestaan. De term is afgeleid van shadow IT: software en apps die medewerkers zelf installeren zonder dat IT ervan weet.

De meeste shadow AI draait om generatieve AI en generatieve AI tools. Werknemers gebruiken publieke chatbots zoals ChatGPT, Gemini of Claude met een privéaccount, vaak op persoonlijke apparaten. Ook AI-functies in browserextensies, notuleerapps en vertaaltools vallen eronder. Hetzelfde geldt voor AI in cloudoplossingen die een afdeling zelf afsluit. Shadow AI is daarmee zelden kwade wil. Meestal wil een werknemer sneller werken met de middelen die voorhanden zijn. Shadow AI is zo een bijproduct van de digitale transformatie: de technologie gaat sneller dan de afspraken.

Voor HR is shadow AI extra relevant, omdat HR dagelijks met de meest gevoelige informatie in een organisatie werkt. Lees in ons overzicht van AI in HR hoe AI de rol van HR verandert en waar de kansen liggen.

Wat is het verschil tussen shadow AI en shadow IT?

Shadow AI is een specifieke vorm van shadow IT, met een extra risico: de tool doet iets met de data die je invoert. Bij shadow IT gaat het om ongeautoriseerde software, zoals een eigen Dropbox of een los planningsprogramma. Zo’n programma slaat bestanden op, maar verwerkt de inhoud niet zelf.

Bij shadow AI analyseert een AI model de ingevoerde tekst, en sommige aanbieders gebruiken die input om hun AI modellen verder te trainen. Een stuk interne tekst kan zo buiten de organisatie terechtkomen, zonder dat iemand dat merkt. Traditionele beveiligingstools zien dit vaak niet, omdat het verkeer naar een chatbot eruitziet als gewoon surfen. Shadow IT draait om de vraag wáár data staat. Shadow AI draait ook om de vraag wat er met die data gebeurt.

Waarom gebruiken medewerkers shadow AI?

Werknemers gebruiken shadow AI omdat AI tools hun werk sneller en makkelijker maken, en omdat de organisatie vaak geen goedgekeurd alternatief biedt. Het Work Trend Index-onderzoek van Microsoft en LinkedIn uit 2024 liet zien dat 75% van de kenniswerkers AI op het werk gebruikt. Van die gebruikers neemt 78% de eigen AI tools mee naar het werk.

De belangrijkste redenen op een rij:

• Er is geen zakelijke AI tool beschikbaar, dus medewerkers grijpen naar gratis tools of losse HR tools.
• Er bestaan geen duidelijke richtlijnen, waardoor niemand weet wat wel en niet mag.
• De werkdruk is hoog en AI scheelt direct tijd bij schrijven, samenvatten en analyseren.
• Goedkeuringsprocessen voor nieuwe tools duren lang, terwijl een chatbot binnen een minuut werkt.
• Medewerkers onderschatten de risico’s, omdat de tool voelt als een zoekmachine.

Shadow AI is daarmee vooral een signaal. Werknemers laten zien dat ze AI willen inzetten. De vraag voor de organisatie is niet óf er AI gebruikt wordt, maar hoe je dat gebruik veilig en zichtbaar maakt.

Voorbeelden van shadow AI op de werkvloer

Shadow AI ziet er in de praktijk heel gewoon uit. Het gebeurt op elke afdeling, en zeker ook binnen HR. Deze voorbeelden komen vaak voor:

• Een HR medewerker plakt een verzuimdossier in een publieke chatbot om er een samenvatting van te maken.
• Een recruiter laat cv’s en motivatiebrieven beoordelen door een gratis AI tool.
• Een manager laat een functioneringsgesprek opnemen en uitwerken met een notuleerapp op zijn telefoon.
• Een salesmedewerker uploadt een klantenlijst om een mailing te laten schrijven.
• Een ontwikkelaar plakt source code in een chatbot om een fout te laten vinden.
• Een collega vertaalt een vertrouwelijk contract via een online vertaaltool met AI.
• Een controller laat AI een data analyse maken op een export uit de boekhouding.

In elk voorbeeld verlaat informatie de organisatie. Soms gaat het om persoonsgegevens van medewerkers of klanten, soms om bedrijfsgeheimen. Zulke situaties kunnen leiden tot een datalek.

Nieuwe ontwikkelingen maken het beeld breder. Met agentic AI voeren AI tools zelfstandig taken uit, zoals mails versturen of bestanden ophalen. Krijgt zo’n agent toegang tot interne systemen zonder afspraken, dan groeit het risico snel.

Welke risico’s brengt shadow AI met zich mee?

Het grootste risico van shadow AI is verlies van controle over gevoelige data. Zet een medewerker informatie in een niet-goedgekeurde tool, dan verliest de organisatie het zicht. Waar staat die data, wie kan erbij en traint de aanbieder ermee? Daaruit volgen verschillende risico’s.

Datalekken en de AVG

Persoonsgegevens invoeren in een publieke chatbot kan een datalek zijn. De AVG vraagt dat je persoonsgegevens alleen verwerkt met een doel, een grondslag en passende beveiliging. Met een gratis chatbot heb je meestal geen verwerkersovereenkomst. Voor datalekken gelden meldregels onder de AVG wet. De exacte en actuele regels vind je op de website van de Rijksoverheid.

Bedrijfsgeheimen en vertrouwelijke gegevens

Strategie, prijzen, klantcontracten en source code zijn waardevol voor concurrenten. Komen die vertrouwelijke gegevens bij een AI aanbieder terecht, dan is de schade lastig terug te draaien. Spreek daarom in de geheimhoudingsplicht van medewerkers ook af hoe ze met AI tools omgaan. Werk je met een geheimhoudingsverklaring, neem AI dan expliciet op in de tekst.

Onjuiste of bevooroordeelde uitkomsten

AI modellen kunnen overtuigend klinkende fouten maken. In HR is het risico op vooroordelen groot. Generatieve AI die cv’s beoordeelt, kan patronen uit trainingsdata overnemen en zo kandidaten onbedoeld uitsluiten.

Compliance en reputatie

Zonder overzicht over het gebruik van AI tools kan een organisatie niet aantonen dat ze voldoet aan wetgeving. Dat raakt de AVG, maar ook de Europese AI Act. Een datalek dat in het nieuws komt, schaadt bovendien het vertrouwen van klanten en medewerkers. Compliance draait daarom niet alleen om regels, maar ook om de reputatie van je organisatie als werkgever.

Verborgen kosten

Shadow AI kost ook geld. Volgens het Cost of a Data Breach Report 2025 van IBM speelde shadow AI een rol bij 20% van de onderzochte datalekken. Die lekken kostten gemiddeld 670.000 dollar meer dan andere incidenten. Daarnaast betalen medewerkers soms zelf voor abonnementen, of declareren ze losse AI tools zonder dat iemand overzicht heeft.

Wat zeggen de AVG en de Europese AI-verordening over shadow AI?

De AVG en de AI-verordening verbieden AI niet, maar ze leggen wel de verantwoordelijkheid bij de werkgever. Gebruiken medewerkers AI tools met persoonsgegevens, dan blijft de organisatie verantwoordelijk voor die verwerking. Dat geldt ook als de werkgever er niets van wist.

De AI Act voegt daar een verplichting aan toe. Organisaties die AI gebruiken moeten zorgen voor voldoende AI-geletterdheid bij hun medewerkers. Dat betekent dat medewerkers begrijpen wat AI kan, waar de risico’s liggen en hoe ze er verantwoord mee werken. Een organisatie die niet weet welke AI tools in gebruik zijn, kan die kennis moeilijk borgen.

Voor HR betekent dit concreet:

• Breng in kaart welke AI tools medewerkers nu gebruiken en voor welke taken.
• Leg vast welke data wel en niet in een AI tool mag.
• Zorg voor een verwerkersovereenkomst bij elke tool die persoonsgegevens verwerkt.
• Train medewerkers in verantwoord gebruik van AI.
• Houd extra toezicht bij AI in werving en beoordeling, want de AI Act noemt die toepassingen hoog risico.

Wil je weten hoe je persoonsgegevens van medewerkers in het algemeen goed beschermt? In ons artikel over het AVG-proof personeelsdossier lees je waar je op let. Ook onze tips voor een AVG-proof HR administratie helpen je op weg.

Waarom is shadow AI een onderwerp voor HR?

Shadow AI is een onderwerp voor HR omdat het gaat over gedrag, afspraken en ontwikkeling van medewerkers. IT kan tools blokkeren, maar dat lost de onderliggende behoefte niet op. HR bepaalt hoe medewerkers leren, welke afspraken in het personeelshandboek staan en hoe je een open cultuur bouwt.

Daarnaast werkt HR zelf met grote hoeveelheden gevoelige gegevens en data. Denk aan salarissen, verzuim, beoordelingen en contracten. Juist daar is de verleiding groot om AI te gebruiken. Een verslag van een lastig gesprek samenvatten scheelt tijd, maar de inhoud is zeer vertrouwelijk.

HR staat daarmee aan twee kanten. Als afdeling moet HR zelf veilig werken. Als beleidsmaker helpt HR de hele organisatie om AI op een goede manier te omarmen. Een helder HR beleid met afspraken over AI is daarvoor het startpunt.

Hoe pak je shadow AI aan in je organisatie?

Je pakt shadow AI aan door gebruik zichtbaar te maken, duidelijke afspraken te maken en veilige alternatieven te bieden. Een verbod werkt zelden. Medewerkers gaan dan door op hun telefoon, waardoor je nog minder zicht hebt. Dit stappenplan helpt je om shadow AI te beheersen:

• Stap 1: Breng het huidige gebruik in kaart met een korte, anonieme enquête. Vraag welke AI tools collega’s gebruiken en waarvoor.
• Stap 2: Bepaal per type data wat mag. Publieke informatie mag vaak wel, persoonsgegevens en klantgegevens alleen in goedgekeurde tools.
• Stap 3: Kies veilige alternatieven, zoals een zakelijk AI account met een verwerkersovereenkomst en zonder training op jouw data.
• Stap 4: Leg de afspraken vast in een kort AI beleid van een paar pagina’s, met voorbeelden uit de praktijk.
• Stap 5: Train werknemers in verantwoord gebruik van AI, passend bij hun rol en de tools die ze gebruiken.
• Stap 6: Wijs een aanspreekpunt aan voor vragen en voor het aanvragen van nieuwe AI tools.
• Stap 7: Evalueer de afspraken minimaal twee keer per jaar, omdat AI snel verandert.

Monitoring kan helpen, maar zet het in met mate. Te veel controle schaadt het vertrouwen, en medewerkers zoeken dan andere wegen. Een goed gesprek in een teamoverleg levert vaak meer op dan een technische blokkade. Vraag gerust door: welke taken kosten veel tijd, en waar zou AI echt helpen? Wil je minder handwerk zonder losse tools, kijk dan eerst naar HR automatisering binnen je eigen systemen.

Een teamtraining over AI werkt goed als je het praktisch houdt. Laat zien wat wel kan, met de tools die je organisatie aanbiedt. Medewerkers die snappen waarom de afspraken er zijn, houden zich er eerder aan.

Wat hoort er in afspraken over AI om shadow AI te voorkomen?

Goede afspraken over AI beantwoorden drie vragen: welke AI tools mogen, welke data mag erin en wie is verantwoordelijk. Zonder duidelijke afspraken vult iedere werknemer dat zelf in. Een overzichtelijke set regels is daarom de basis van AI governance in een kleine of middelgrote organisatie.

Dit zijn de belangrijkste punten die je vastlegt:

• Een lijst met goedgekeurde AI tools, plus de route om een nieuwe tool aan te vragen.
• Een indeling van data: openbare informatie, interne gegevens, gevoelige documenten en persoonsgegevens.
• Per categorie welke AI tools werknemers mogen gebruiken, met voorbeelden uit de eigen praktijk.
• De regel dat een mens AI-uitkomsten altijd controleert voordat ze worden gebruikt of gedeeld.
• Afspraken over AI op privételefoons, eigen laptops en privéaccounts.
• Wat een werknemer doet als er per ongeluk gevoelige informatie in een AI tool is beland.

Houd de afspraken kort en praktisch. Een document van twintig pagina’s leest niemand. Een overzicht met concrete situaties werkt beter: wat doe je als je een klantmail wilt herschrijven, of een verslag wilt samenvatten? Zo snapt elke werknemer meteen wat de regels in het dagelijks werk betekenen.

Betrek naast HR ook IT, security en de privacy officer bij het opstellen. Elk team ziet andere risico’s. IT kent de cyberdreigingen en de monitoring die mogelijk is. De privacy officer bewaakt de compliance met de AVG en ziet welke data extra bescherming nodig heeft. HR zorgt dat de afspraken passen bij de cultuur en dat werknemers ze ook echt kennen. Vergeet daarnaast andere gebruikers van je systemen niet, zoals freelancers en uitzendkrachten. Ook zij gebruiken AI tools, en ook voor hen gelden de regels zodra ze met data van jouw organisatie werken.

Verbieden of faciliteren: wat werkt beter tegen shadow AI?

Faciliteren werkt beter dan verbieden. Organisaties die AI tools blokkeren zonder alternatief, verschuiven het probleem naar privételefoons en thuiscomputers. Het gebruik verdwijnt niet, het wordt alleen onzichtbaar.

Faciliteren betekent dat je werknemers een veilige route geeft. Dat kan een zakelijke versie van een bekende AI assistent zijn, of AI die al in je bestaande software zit. Het voordeel van AI in systemen die je al gebruikt: de data blijft binnen een omgeving waarover je afspraken hebt. Denk aan cloud HR software met AI-functies, in plaats van een losse app.

Een vergelijking met BYOD ligt voor de hand. Ook bij eigen apparaten op het werk was een verbod geen oplossing. Het gebruik van kunstmatige intelligentie volgt hetzelfde patroon. Organisaties maakten afspraken over beveiliging en gebruik. Met AI gaat het net zo. Sommigen noemen het al BYOAI: bring your own AI.

Zo werkt veilig AI gebruik in HoorayHR

HoorayHR is alles-in-één HR software voor het MKB, waarmee je HR-taken en AI veilig combineert binnen één omgeving. Alle medewerkerdata staat in het digitaal personeelsdossier, met rechten per rol. Zo hoeven collega’s geen gegevens naar externe tools te kopiëren om er iets mee te doen.

Onze AI-functies verminderen je HR administratie. Data verlaat je organisatie daarbij niet ongecontroleerd:

• Met onze Meeting Agent neem je een gesprek op en krijg je een transcript, samenvatting en actiepunten, die meteen op de juiste plek in HoorayHR staan.
• Met onze MCP praat je met jouw HR-data via de AI-assistent die je al gebruikt, zoals Claude, ChatGPT of Copilot. Iedereen werkt binnen de eigen rechten in HoorayHR.
• Met Chat stel je een HR-vraag en krijg je antwoord op basis van je eigen HoorayHR-data.

Terugkerende taken, zoals het laten ondertekenen van AI-afspraken door nieuwe collega’s, zet je in HR workflows. Daarnaast bewaar je documenten en afspraken centraal in ons documentenbeheer. Je AI beleid deel je zo met alle medewerkers, en je ziet wie het heeft gelezen. HoorayHR is ISO 27001-gecertificeerd en AVG-proof. Bekijk op onze pagina over AI in HoorayHR wat er allemaal mogelijk is.

Shadow AI verdwijnt niet vanzelf, en dat hoeft ook niet. Het laat zien dat medewerkers slimmer willen werken. Organisaties die dat serieus nemen, maken van een risico een voorsprong. Begin met een eerlijk gesprek over welke AI tools je collega’s al gebruiken. Daarna bouw je stap voor stap aan afspraken, training en veilige alternatieven, zodat AI echt tijd vrijmaakt voor mensen.