De verborgen risico’s van jouw AI-beleid

AI op een veilige manier gebruiken binnen je onder­ne­ming? Dat is vaak moei­lijker dan je denkt. Er zijn heel wat aandachts­punten en een totaal verbod verhoogt het risico dat mede­wer­kers onder de radar met AI aan de slag gaan. Hoe ga je hier als IT-profes­si­onal en werkgever mee om en hoe kan je de minder zichtbare risico’s van je AI-beleid beperken?

Recent hoorde ik iemand vertellen dat het gebruik van AI bij hem op het werk verboden was en de toegang tot derge­lijke appli­ca­ties was afge­sloten. Maar hij had er wat op gevonden. Hij stuurde werk­do­cu­menten gewoon door naar zijn privé-mailadres en ging er op zijn thuis­werk­dagen mee aan de slag. Hij had duidelijk niet stil­ge­staan bij het veilig­heidslek dat hij op deze manier creëerde en zijn werkgever was er al helemaal niet van op de hoogte. 

Jammer genoeg is deze man niet de enige die het zo aanpakt. AI is toegan­ke­lijker dan ooit en daar zijn risico’s aan verbonden. Uit Inside ITSM 2026 blijkt dat dertig procent van de Belgische IT-profes­si­o­nals grote risico’s ziet bij het gebruik van AI, met name op het gebied van data­pri­vacy en security. De vraag is dus: hoe ga je veilig om met AI op de werkvloer?

Uit TOPdesk’s Inside ITSM 2026- onderzoek blijkt ook dat bij de helft van de orga­ni­sa­ties (52%) IT de drijvende kracht achter AI-adoptie. IT’ers moeten dus de balans vinden tussen veilig­heid en gebruik. AI blokkeren is een moge­lijk­heid, maar ruil je daarmee niet het ene veilig­heids­ri­sico in voor een ander?

De risico’s van blokkeren als AI-beleid

Heel wat bedrijven en orga­ni­sa­ties vinden de risico’s die het gebruik van AI met zich meebrengt zo groot, dat het gebruik verbieden de enige optie lijkt. Maar is dit verstandig? Voordat je als werkgever of IT’er deze ogen­schijn­lijk makke­lijke oplossing doorvoert, sta je best even stil bij de mogelijke gevolgen ervan. Mensen willen AI gebruiken en zullen dat ook doen. Meer en meer zijn ze eraan gewend geraakt in hun privéleven en zullen ze dus de weg van privé-mail­adressen en persoon­lijke AI-accounts buiten de orga­ni­satie bewandelen. 

Het resultaat? Je hebt geen enkele controle of zicht meer op wat er met (gevoelige) bedrijfs­in­for­matie gebeurt. Toege­geven, dat heb je ook niet honderd procent als je AI-gebruik wel toestaat, maar dan kan je in ieder geval bescher­mings­maat­re­gelen nemen. De vraag die je moet beant­woorden is: wat is het echte risico van het open­stellen van AI in de orga­ni­satie in verge­lij­king met het verbieden?

Gulden middenweg

De uitdaging ligt in het zo goed mogelijk afdekken van securityrisico’s. Daar zijn drie concrete stappen voor:

1. Verbieden? Bied een alternatief.

Als je gegronde redenen hebt om bijvoor­beeld specifiek ChatGPT te verbieden, bekijk dan of er AI-alter­na­tieven zijn die je wel kan toestaan. Onderzoek welke AI-tools voor jouw orga­ni­satie een geschikte optie zijn. Misschien kan je Microsoft Copilot aanbieden met strenge instel­lingen, zodat data binnen het bedrijfs­net­werk blijft. Als je niets voorziet, dan weet je één ding zeker: mensen gaan hun eigen AI-tools gebruiken.

2. Stel richt­lijnen op.

Vertel mede­wer­kers hoe ze veilig kunnen omgaan met AI. Bepaal bijvoor­beeld duidelijk welke bedrijfs­in­for­matie niet in een AI-tool mag worden ingegeven. Definieer wat gevoelige data is en wat niet, ook al is dat niet makkelijk.  Maak dit zo concreet mogelijk en spreek erover met je mede­wer­kers. Onderzoek welke tools je kan inzetten om data eerst te scannen op gevoe­lig­heid, vóór ze bij AI-toepas­singen terechtkomt.

3. Monitoren in plaats van blokkeren.

Het is veiliger om goed te monitoren hoe AI in de orga­ni­satie wordt gebruikt, dan dat mede­wer­kers er onder de radar mee aan de slag gaan.

Opleiding als sleutel

Of je AI-toepas­singen nu omwille van veilig­heids­pro­blemen blokkeert of het toch aanbiedt binnen een gecon­tro­leerde omgeving, één ding is cruciaal: educatie. En dat bedoel ik geen vrij­blij­vende sensi­bi­li­se­ring, maar echte training waarin collega’s leren wat er in de praktijk kan gebeuren als je onbe­zonnen met AI werkt. Derge­lijke opleiding is, door de AI Act, trouwens wettelijk verplicht. Elke orga­ni­satie moet kunnen aantonen dat het mede­wer­kers verant­woord leert omgaan met deze nieuwe technologie.

De eerste stap is mede­wer­kers uitleggen hoe een AI-tool precies werkt. Het kan zijn dat ze ChatGPT goed kennen omdat ze het privé gebruiken, maar Copilot nog helemaal niet. Bespreek ook de risico’s: wat zijn de veilig­heids­voor­delen van werken in de ene AI-tool ten opzichte van een andere? En wat gebeurt er als gevoelige bedrijfs­in­for­matie in een publieke AI-tool worden ingebracht? 

Geen angst, maar controle

Of je AI nu blokkeert, vrijgeeft of voor een tussenweg kiest: elke orga­ni­satie moet zelf bepalen hoe ze met AI wil omgaan. Als IT-profes­si­onal is het belang­rijk om kritisch naar dat beleid te kijken en de risico’s concreet te maken. Het gaat er vooral om dat je begrijpt wat elke keuze betekent.

Blokkeren zonder alter­na­tief duwt mede­wer­kers in de richting van creatieve, maar ronduit risi­co­volle oplos­singen buiten het zicht van de orga­ni­satie. Voorzie daarom een veilige AI-tool, duide­lijke richt­lijnen en opleiding. Zo hoef je AI niet te verbieden uit angst, maar kan je het gebruik net gecon­tro­leerd mogelijk maken.