Wat shadow AI is — en wat het niet is
Shadow IT was de ongekeurde dropbox of de privé-WhatsApp-groep. Shadow AI is dezelfde beweging met taalmodellen: iemand plakt een klantmail in een gratis chatbot, vat een contract samen, of laat een tool tekst schrijven zonder dat IT of de leiding dat ziet. Het motief is meestal snelheid, niet kwade wil.
Het risico is niet “AI an sich”. Het is data die de organisatie niet meer kan plaatsen: een prompt in een consumentenaccount, een plugin die meeleest, of een Copilot-licentie die niemand heeft uitgelegd. Zonder afspraak weet u niet welke bronnen het model ziet en wat er terugkomt in een antwoord naar een klant.
Copilot in Microsoft 365 versus een losse tool
Microsoft 365 Copilot in een tenant die u (of uw MSP) beheert, werkt met de rechten die de medewerker al heeft: mail, SharePoint, Teams. Dat is geen vrijbrief — verkeerde sharing blijft verkeerde sharing — maar het is wél een andere situatie dan een persoonlijk ChatGPT-account. Google Workspace heeft eigen AI-hulpmiddelen in een beheerde tenant; het principe is hetzelfde: eerst de suite die u al als primaire cloud koos.
Een losse browsertool kan nuttig zijn voor algemene tekst. Zodra iemand klantdossiers, personeelsgegevens of niet-openbare prijzen plakt, is dat geen “handige shortcut” meer maar een data-afspraak die u niet heeft gemaakt. Zeg dat hardop, kort, zonder dreigement.
Wat u deze maand praktisch vastlegt
Drie afspraken zijn voor de meeste MKB’s genoeg om te beginnen:
- welke tool is goedgekeurd (bijvoorbeeld Copilot in Microsoft 365, of Gemini in Google Workspace) en welke niet voor bedrijfsdata;
- welke gegevens niet in een prompt horen: bijzondere persoonsgegevens, niet-getekende contracten, inloggegevens, ticketinhoud van derden;
- waar iemand een twijfelgeval neerlegt: het ticketportaal, niet een openbaar mailadres — en wie Copilot of vergelijkbare licenties aanzet.
Meer diepte
Wat Floor ICT als MSP kan instellen
Bij MSP-klanten met Microsoft 365 of Google Workspace kan Floor ICT helpen met wie welke app of Copilot-achtige functie krijgt, met MFA ernaast, en met on/offboarding zodat een vertrekkende medewerker geen toegang houdt. Productnamen van beveiligingstools noemen we hier niet. Tenant-backup van AI-gesprekken is niet automatisch hetzelfde als werkplek-backup in Elite — vraag dat na in de intake als het ertoe doet.
Academy ernaast, geen verbodstheater
Een PDF-beleid dat niemand leest, lost shadow AI niet op. Korte how-to (hoe u Copilot in Outlook gebruikt) plus awareness (wat u niet plakt) past bij Floor ICT Academy: op uitnodiging, met quiz. Dat is geen compliance-stempel en geen belofte dat niemand ooit een verkeerde prompt typt.
AVG en leveranciersvragen
Generatieve AI raakt verwerking van persoonsgegevens als medewerkers die in een prompt zetten. U blijft verwerkingsverantwoordelijke voor wat uw team deelt. Dit artikel is geen AVG-advies. Als een klant in het kader van NIS2 of een audit vraagt hoe u AI gebruikt, helpt het als het antwoord feitelijk is: welke tenant, welke licentie, welke instructie — niet “we gebruiken geen AI” terwijl de browser iets anders laat zien.