Schaduw-AI in het mkb.

Wat schaduw-AI is

Schaduw-AI is het gebruik van AI-gereedschappen zonder goedkeuring van de eigen IT, meestal via privétoegang tot diensten als ChatGPT, Gemini of Claude. Medewerkers laten teksten formuleren, e-mails samenvatten of offertes opstellen, vaak met echte bedrijfsdata. De term leunt op de oudere schaduw-IT, dus software die in het bedrijf draait zonder dat de IT ervan weet. Het verschil: AI is in weken in het dagelijkse werk beland, niet in jaren, en de adoptie is hoog. Volgens Bitkom zette voor het eerst elke tweede onderneming in Duitsland AI in (enquête 2024). Het gebruik door individuen loopt daarbij voor op de officiële invoering.

Databasis en methodiek

Deze analyse steunt op de representatieve Bitkom-Research-enquête “Beschäftigte nutzen vermehrt Schatten-KI”, gepubliceerd op 21 oktober 2025. Bevraagd werden 604 ondernemingen in Duitsland vanaf 20 medewerkers, telefonisch, in de periode van kalenderweek 27 tot 32 van 2025. Als adoptiecontext gebruiken we de Bitkom-data over AI-gebruik uit 2024. We voegen openbare enquêtes samen, we verzinnen geen cijfers en interpoleren geen waarden tussen rapportagemomenten.

Bevinding 1: schaduw-AI is in het mkb aangekomen

Samen genomen gaan vier op de tien ondernemingen ervan uit dat hun medewerkers privé AI-toegang in de werkcontext gebruiken. In 8 procent van de ondernemingen is dat naar eigen inschatting wijdverbreid, een waarde die tegenover 2024 (4 procent) is verdubbeld. Nog eens 17 procent meldt losse gevallen, en nog eens 17 procent vermoedt het zonder het zeker te weten. Het werkelijke aantal ligt vermoedelijk hoger, want niet elk privégebruik valt de werkgever op.

Bevinding 2: de governancekloof is het eigenlijke risico

Slechts 23 procent van de ondernemingen heeft enige regels voor de inzet van AI opgesteld. Anders gezegd: in meer dan drie op de vier ondernemingen gebruiken medewerkers AI zonder dat duidelijk is wat wel en niet mag. Precies hier ontstaat het risico. Wie een offerte, een klantmail of een conceptcontract in een privé AI-toegang kopieert, geeft bedrijfsgegevens en mogelijk persoonsgegevens door aan een dienst waarmee de onderneming geen verwerkersovereenkomst heeft en waarvan de serverlocatie vaak buiten de EU ligt. Dat is geen theoretisch probleem, maar een alledaagse handeling zonder juridisch kader.

Bevinding 3: waarom verboden niet werken

De voor de hand liggende reactie is een verbod. Verschillende grote concerns deden dat in 2023 voor; zo verboden Samsung, JPMorgan en Amazon het gebruik van ChatGPT in het bedrijf. Maar een verbod lost het probleem alleen op papier op. Zolang medewerkers met AI sneller en beter werken maar geen goedgekeurd gereedschap krijgen, wijken ze uit naar privétoegang. Schaduw-AI is daarom geen disciplineprobleem, maar een aanbodprobleem. Wie geen gesanctioneerd, AVG-conform gereedschap aanbiedt, krijgt de niet-gesanctioneerde variant, alleen zonder enige controle.

Wat de data samen zeggen

Drie structuren. Ten eerste: AI is in de volle breedte van het personeel aangekomen, sneller dan de meeste IT-afdelingen konden reageren. Ten tweede: de governance loopt achter, drie op de vier ondernemingen hebben geen regels, en een verbod verschuift het probleem alleen naar de schaduw. Ten derde: de hefboom ligt bij het aanbod. Een goedgekeurd, in Europa gehost AI-gereedschap met toegang tot de eigen bedrijfskennis neemt schaduw-AI de grond weg, want dan is de goedgekeurde variant ook de makkelijkere.

Wat dit voor ondernemingen betekent

De praktische consequentie is niet meer controle, maar een beter aanbod. Een interne AI-assistent die de gedocumenteerde bedrijfskennis raadpleegt, op Europese infrastructuur draait en een verwerkersovereenkomst meebrengt, dekt precies de gevallen af waarvoor medewerkers anders privétoegang gebruiken. Hij is goedgekeurd, hij is AVG-conform, en hij kent de eigen processen beter dan een openbare dienst. Zo verdwijnt niet het AI-gebruik, maar de schaduw eromheen.

Bronnenlijst

• Bitkom, “Beschäftigte nutzen vermehrt Schatten-KI” (persbericht, 21 oktober 2025, representatief, 604 ondernemingen vanaf 20 medewerkers)
• Bitkom, AI-gebruik in Duitse ondernemingen (enquête 2024)