Shadow AI: bijna de helft van je team gebruikt AI stiekem — zo krijgt het mkb in Overijssel grip

Je verkoper plakt een klantofferte in ChatGPT om er snel een nette samenvatting van te maken. Je administratie laat een AI-tool een leveranciersfactuur uitlezen. Je marketeer draait teksten door een gratis online model. Niemand meldt het, niemand vraagt het — het werkt gewoon.

Dat heet shadow AI, en het is inmiddels de normaalste zaak van de wereld. 86% van de medewerkers gebruikt wekelijks AI voor werktaken. Maar 46,8% doet dat zonder het intern te melden — terwijl 97% van de mkb-bedrijven zegt een AI-beleid te hebben. Dat gat tussen papier en praktijk is het echte probleem.

Voor mkb-bedrijven in Overijssel is de oplossing niet een verbod. Die werkt niet en kost je bovendien de productiviteitswinst. De oplossing is zicht: een AI-register.

Waarom shadow AI je meer kost dan je denkt

Het gaat zelden mis omdat medewerkers kwaad willen. Het gaat mis op vier plekken.

1. Bedrijfsdata verlaat je organisatie. Een offerte, een klantenlijst of een concept-contract in een gratis consumententool betekent dat je informatie mogelijk gebruikt wordt voor modeltraining. Bij een klant met een geheimhoudingsverklaring is dat een contractbreuk, niet alleen een risico.

2. Je voldoet niet aan de AI Act. Sinds 2 augustus 2026 gelden de transparantieverplichtingen, en de verplichting rond AI-geletterdheid loopt al sinds februari 2025. Je moet kunnen aantonen wat je gebruikt en dat je team de risico's kent. Kun je niet benoemen welke tools er draaien, dan kun je dat per definitie niet aantonen. Meer daarover in AI Act sinds 2 augustus 2026.

3. Niemand controleert de kwaliteit. AI-output die zonder check bij een klant belandt, is een reputatierisico. Een verkeerd bedrag in een offerte of een verzonnen technische specificatie kost je meer dan de tijd die je bespaarde.

4. Je mist de winst. Dit is de vergeten kant. Als je verkoper zelf een slimme werkwijze heeft gevonden, gebruikt de rest van je team die niet. Wat één iemand stiekem doet, had een proces voor iedereen kunnen zijn.

Het AI-register: zes kolommen, meer niet

Een AI-register klinkt zwaar. In de praktijk is het een spreadsheet met zes kolommen:

Kolom	Wat je invult
Tool	Naam en aanbieder (ChatGPT, Copilot, Claude, een branchespecifieke tool)
Doel	Waar wordt hij voor gebruikt — concreet, niet "algemeen"
Gebruikers	Welke afdeling of rol
Data	Welke informatie gaat erin; staan daar persoons- of klantgegevens bij?
Risico	Laag / midden / hoog — vooral: wat gebeurt er als de output fout is?
Eigenaar	Wie is aanspreekpunt en controleert

Dat is het. De waarde zit niet in het invullen, maar in wat je ziet zodra het er staat.

Hoe je het register gevuld krijgt (zonder heksenjacht)

De grootste fout is dit aankondigen als controle. Dan meldt niemand iets en houd je een leeg register.

Wat wél werkt:

Vraag het als hulp, niet als audit. "Welke AI-tools gebruiken jullie? We willen ervoor zorgen dat je ze veilig én goed kunt blijven gebruiken." Zeg er expliciet bij dat er niets afgepakt wordt.
Geef een week de tijd en vraag mensen te noteren wat ze tegenkomen, ook eenmalig gebruik.
Kijk mee in de facturen. Losse abonnementen van €20 per maand op iemands zakelijke creditcard zijn een goede vindplaats.
Check je browserextensies en integraties in Google Workspace of Microsoft 365.

Reken op verrassingen. Bij de meeste mkb-bedrijven staan er twee tot drie keer meer tools op de lijst dan de directeur verwachtte.

Van register naar beleid: kanaliseren in plaats van verbieden

Zodra je het overzicht hebt, wordt beleid maken makkelijk. Je hoeft namelijk geen theorie te bedenken — je reageert op wat er echt gebeurt.

Een werkbaar mkb-beleid bevat:

Een groene lijst: goedgekeurde tools met een zakelijk account, waar je gewoon mee mag werken.
Een rode lijn: welke informatie er nooit in gaat (klantgegevens, personeelsdossiers, broncode, contracten).
Een controleregel: AI-output die naar buiten gaat, wordt altijd door een mens gecontroleerd.
Een meldroute: wil iemand een nieuwe tool proberen, dan is er één plek om dat te vragen. Snel antwoord, anders begint shadow AI opnieuw.

De structurele oplossing: breng de kennis naar binnen

Shadow AI ontstaat omdat de officiële weg te traag is of niet bestaat. Wil je het echt oplossen, dan geef je je team een betere optie dan de gratis tool.

Voor veel mkb-bedrijven is dat een interne AI-assistent op de eigen bedrijfsdata: een assistent die is aangesloten op je eigen procedures, productinformatie, handleidingen en documenten. Je team stelt gewoon een vraag in normale taal en krijgt een onderbouwd antwoord — mét bronvermelding, en zonder dat er iets van je bedrijf naar buiten gaat.

Dat lost drie dingen tegelijk op: de data blijft binnen, de antwoorden kloppen, en het gebruik is zichtbaar. Precies wat een register moet borgen, maar dan opgelost bij de bron.

Wil je daarnaast zien wát er gebeurt, dan helpt een dashboard waarin je gebruik en resultaat naast elkaar zet. Zo weet je niet alleen dat AI gebruikt wordt, maar ook wat het oplevert.

Begin klein, deze week

Je hoeft dit niet perfect te doen. Een half ingevuld register is oneindig veel beter dan geen register. Zet vandaag een spreadsheet klaar, stel je team één vraag, en kijk over een week wat er staat.

Xilly werkt met mkb-bedrijven in Overijssel — van Deventer en Zwolle tot Apeldoorn — aan precies deze stap: van ongecontroleerd AI-gebruik naar automatisering die je bewust hebt ingericht. Bekijk AI-automatisering voor wat dat concreet inhoudt.

Xilly — Deventer Herfordstraat 8D, 7418 EX Deventer Actief voor mkb in Deventer en omstreken, en in heel Overijssel.

Wil je weten welke AI-tools er in jouw bedrijf rondzwerven en wat je ermee kunt? Plan een vrijblijvend gesprek.