16 mei 2026 · Joos Luteijn · 8 minuten leestijd
Veel werkgevers verbieden ChatGPT, Copilot of Claude, of zetten er proxies omheen. De argumenten zijn valide: privacy, security, EU AI Act. Niemand wil dat klantgegevens of broncode in een gratis chatbot belanden bij de bigtech in de USA. De zorgen zijn terecht.
En toch werkt het niet.
Een verbod stopt het gebruik namelijk niet. Het maakt het alleen onzichtbaar. Uit een wereldwijd onderzoek van KPMG en University of Melbourne onder 48.000 medewerkers in 47 landen blijkt dat 57% van de werknemers hun AI-gebruik op het werk verbergt en AI-gegenereerd werk als eigen werk presenteert. Het is een gecombineerd cijfer: verbergen én eigen-werk-claimen lopen samen. Voor het schaduw-AI vraagstuk is vooral het verbergen relevant. Dit verborgen gebruik noemen we schaduw-AI.
Mijn stelling: een AI-verbod zegt meer over de organisatie dan over de medewerker.
Dat schaduw-AI percentage zegt op zichzelf nog niets. Hoog is geen alarm, laag is geen geruststelling. Het gaat om de combinatie, de dynamiek tussen het beleid van de werkgever en het gedrag van de werknemer.
Want denk eens door: als de organisatie veilige en bruikbare AI faciliteert, en medewerkers dat aanbod kennen, dan vervalt de logische reden om uit te wijken naar persoonlijke abonnementen. Het percentage zakt. Niet door verboden, maar omdat het alternatief gewoon beter is.
Tegelijkertijd geldt: als medewerkers geen behoefte voelen aan AI in hun werk, ontstaat er ook geen schaduwgebruik. Niet vanwege controle, maar vanwege ontbrekende motivatie.
Een laag percentage kan dus twee kanten op vallen. Het kan zijn omdat de organisatie het netjes geregeld heeft. Of omdat de werkvloer in slaap is.
Zet je beleid en gedrag tegen elkaar af, dan ontstaan er vier herkenbare situaties. Ik noem dit de Schaduw-AI Matrix.
Op de horizontale as: AI-beleid van de werkgever (afwezig of restrictief versus aanwezig en passend). Op de verticale as: schaduw-AI gebruik door medewerkers (laag versus hoog). Vier kwadranten.
Geen schaduw-AI te bekennen. Maar ook geen interne adoptie, geen ervaring, geen leereffect. Niemand zet de eerste stap, niemand voelt urgentie. Het lijkt op rust, maar het is achterstand. Ooit…
Van bovenaf komt er niets, dus mensen regelen het zelf. Eigen accounts, eigen prompts, eigen risico’s. De energie is er. De richting niet. Bloedlink. Voor IT spannend, voor compliance ongemakkelijk. Klantgegevens belanden in publieke modellen, kennis blijft bij individuen, AI-geletterdheid (artikel 4 EU AI Act) is niet aantoonbaar geborgd. Het is ook het signaal dat er energie is op de werkvloer; de vraag is alleen of de leiding die energie nog vóór is, of er definitief achter aanloopt.
Misschien wel de meest pijnlijke situatie. De licenties zijn aangeschaft, het beleid is geschreven, er is een centrale AI-omgeving. En tóch blijven medewerkers naar privé-abonnementen grijpen. Het officiële aanbod sluit niet aan op de praktijk. Mensen kiezen de weg eromheen, adoptie mislukt. Geen falen van governance, maar een afstand tussen wat is uitgerold en wat op de werkvloer nodig is. Vaak ontbreekt een goede dialoog tussen medewerkers en beleidsmakers; het beleid wordt gevoeld als rem, niet als steun.
Hier zakt het schaduw-AI percentage vanzelf. Niet omdat medewerkers stoppen met AI, maar omdat ze het via de officiële weg doen. Beleid en gebruik lopen samen op. Werkvloer en regie vinden elkaar in een feedback loop. Privacy, security, AVG én EU AI Act zijn geborgd binnen de werkstroom. Adoptie en governance schalen samen op. Het walhalla.
Tegelijkertijd geldt: als medewerkers geen behoefte voelen aan AI in hun werk, ontstaat er ook geen schaduwgebruik. Niet vanwege controle, maar vanwege ontbrekende motivatie.
Een laag Shadow AI-percentage kan dus twee kanten op vallen. Het kan zijn omdat de organisatie het netjes geregeld heeft. Of omdat de werkvloer in slaap is.
De Schaduw-AI Matrix laat twee dingen tegelijk zien.
De bovenste rij (Wildgroei en Mismatch) toont direct risico. Hoog schaduw-AI betekent dat klantgegevens, broncode en strategische informatie ergens belanden waar je geen zicht op hebt. Compliance, security en privacy staan onder druk.
De rechter kolom (Mismatch en Balans) toont groeipotentieel. Beleid en infrastructuur zijn de basis waarop AI kan schalen, waarop ervaring kan worden opgedaan, waarop talent zich kan ontwikkelen.
Mismatch heeft beide: risico én bouwstenen voor groei. Het is verbeterbaar als de organisatie de afstand tussen beleid en praktijk durft te dichten. Balans heeft alleen groei, geen risico; daar wil je naartoe.
En dan is er Stilstand.
Een laag schaduw-AI percentage oogt wellicht geruststellend. Maar Stilstand is feitelijk het grootste risico-kwadrant.
Geen beleid, geen ervaring, geen leereffect. Concurrenten bouwen voorsprong op die later moeilijk in te halen is. Talent dat met AI wil werken zoekt elders een omgeving. En als straks externe druk komt — wetgeving, klanten, markt — staat de organisatie zonder bouwstenen.
Wie het schaduw-AI cijfer leest zonder die twee assen erbij te nemen, leest het verkeerd.
Wanneer ik AI-beleid noem, gaat het niet alleen om welke tools je faciliteert of welke proxies je instelt. Het gaat ook om wat je doet met de mensen die met die tools werken.
De EU AI Act vraagt sinds februari 2025 om aantoonbare AI-geletterdheid (artikel 4). Medewerkers moeten begrijpen wat AI doet en niet doet, welke gevaren eraan kleven, en hoe ze ermee om moeten gaan. Dat is geen tool-training. Het is het vermogen om kritisch te beoordelen wat AI levert, wat je AI mag toevertrouwen, en wanneer AI je in de luren legt.
Het belangrijkste effect zit in het hart van het schaduw-AI vraagstuk. Een medewerker die niet weet dat een gratis chatbot zijn input mogelijk hergebruikt voor training, of dat outputs zonder verificatie tot reputatieschade leiden, ziet niet waarom hij geen klantgegevens of broncode mag uploaden. Een formeel verbod blijft dan een regel zonder begrip, en regels zonder begrip worden in de schaduw genegeerd. Een medewerker die de gevaren wél snapt, kiest vaker zelf voor de verantwoorde route. Ook zonder dat IT meekijkt.
AI-geletterdheid is daarmee het stille fundament onder de Schaduw-AI Matrix. Het maakt het verschil tussen beleid dat op papier mooi staat en beleid dat werkt op de werkvloer. Een organisatie die wil regisseren in plaats van verbieden, kan niet zonder.
In ons werk zien we deze verhouding bij elke organisatie waar we naar binnen kijken. En het beeld wordt pas compleet als we het van twee kanten meten.
Aan de ene kant is er de Team Scan. Die kijkt naar wat medewerkers feitelijk doen met AI. Welke tools, in welke contexten (privé, werk, beide), hoe vaak, welke impact ervaren ze. Wat is hun trainingsbehoefte. Welke randvoorwaarden missen ze. En ja, hoe groot is het schaduwgebruik. De Team Scan brengt de werkvloer in kaart langs negen dimensies, gebaseerd op gevalideerde wetenschappelijke modellen voor technologie-acceptatie.
Aan de andere kant is er de Maturity Scan. Die kijkt niet naar wat medewerkers doen, maar naar waar de organisatie als geheel staat. Is er een AI-strategie? Is governance belegd? Loopt er een AI-geletterdheidsprogramma dat aansluit op artikel 4 van de EU AI Act? Is de data-infrastructuur op orde? Zijn rollen en verantwoordelijkheden helder?
Die twee samen vertellen het verhaal achter het schaduw-AI cijfer. De Team Scan laat zien hoe groot de wil van medewerkers is, en waar de behoefte aan AI feitelijk wringt. De Maturity Scan laat zien hoe goed de organisatie die wil opvangt. Het verschil tussen die twee bepaalt in welk kwadrant van de Schaduw-AI Matrix je staat.
Een organisatie kan op de Maturity Scan netjes scoren op governance, en tegelijk op de Team Scan zien dat een derde van haar adviseurs eigen tools gebruikt. Dat is geen falen van de governance, maar een Mismatch-signaal: de governance sluit niet aan op het feitelijke werk. Een andere organisatie kan op de Team Scan zien dat medewerkers staan te trappelen, terwijl de Maturity Scan laat zien dat er nog geen kader is. Geen probleem van de werkvloer, maar een tempo-verschil tussen praktijk en sturing.
Werkt niet. Het verschuift het gebruik naar persoonlijke accounts en daarmee buiten elk zicht. Het cijfer zakt naar nul in je proxylogs, maar de werkelijkheid blijft.
Passief toelaten. Geeft rust ten opzichte van verbieden, maar lost niets op. De risico’s blijven, de bouwstenen ontbreken.
Een centrale, veilige AI-omgeving aanbieden die het werk daadwerkelijk verbetert. Het beste alternatief tegen privé-tools is een beter intern aanbod. Dit is de richting waar veel organisaties nu naar bewegen.
Een stap verder. Niet alleen mogelijk maken, maar actief vormgeven. Beleid dat meeloopt met de werkvloer. Een feedback loop tussen IT, beleid en medewerkers. AI-geletterdheid als onderdeel van het beleid, zodat medewerkers de gevaren van werken met gevoelige klantinformatie zelf inzien en de verantwoorde route herkennen. Adoptie en governance schalen samen op.
Mijn pleidooi: ga voor regisseren. Niet omdat het modieus klinkt. Maar omdat de andere drie opties uitgaan van controle over AI-gebruik. Regisseren gaat over richting geven aan wat al gebeurt. Het erkent dat medewerkers altijd zullen winnen, en zet die energie om in iets dat de organisatie verder brengt.
Gillespie, N., Lockey, S., Ward, T., Macdade, A., & Hassed, G. (2025). Trust, attitudes and use of artificial intelligence: A global study 2025. University of Melbourne en KPMG. Wereldwijd onderzoek onder 48.000 werknemers in 47 landen. Het cijfer betreft de gecombineerde meting dat 57% van werknemers hun AI-gebruik verbergt en AI-gegenereerd werk als eigen presenteert.
Joos Luteijn werkt 20+ jaar in strategie, technologie en organisatieontwikkeling, met teams tot 45 professionals. Vanuit Transforming the Dots helpt hij organisaties grip te krijgen op AI-adoptie via onderzoek, advies en coaching. Hij is gastexpert in de Studio Beeckestijn-podcast over AI-adoptie.