De verborgen risico’s van jouw AI-beleid

​AI op een veilige manier gebruiken binnen je onderneming? Dat is vaak moeilijker dan je denkt. Er zijn heel wat aandachtspunten en een totaal verbod verhoogt het risico dat medewerkers onder de radar met AI aan de slag gaan. Hoe ga je hier als IT-professional en werkgever mee om en hoe kan je de minder zichtbare risico’s van je AI-beleid beperken?

Recent hoorde ik iemand vertellen dat het gebruik van AI bij hem op het werk verboden was en de toegang tot dergelijke applicaties was afgesloten. Maar hij had er wat op gevonden. Hij stuurde werkdocumenten gewoon door naar zijn privé-mailadres en ging er op zijn thuiswerkdagen mee aan de slag. Hij had duidelijk niet stilgestaan bij het veiligheidslek dat hij op deze manier creëerde en zijn werkgever was er al helemaal niet van op de hoogte.

Jammer genoeg is deze man niet de enige die het zo aanpakt. AI is toegankelijker dan ooit en daar zijn risico’s aan verbonden. Uit Inside ITSM 2026 blijkt dat dertig procent van de Belgische IT-professionals grote risico’s ziet bij het gebruik van AI, met name op het gebied van dataprivacy en security. De vraag is dus: hoe ga je veilig om met AI op de werkvloer?

Uit TOPdesk’s Inside ITSM 2026- onderzoek blijkt ook dat bij de helft van de organisaties (52%) IT de drijvende kracht achter AI-adoptie. IT’ers moeten dus de balans vinden tussen veiligheid en gebruik. AI blokkeren is een mogelijkheid, maar ruil je daarmee niet het ene veiligheidsrisico in voor een ander?

De risico’s van blokkeren als AI-beleid

Heel wat bedrijven en organisaties vinden de risico’s die het gebruik van AI met zich meebrengt zo groot, dat het gebruik verbieden de enige optie lijkt. Maar is dit verstandig? Voordat je als werkgever of IT’er deze ogenschijnlijk makkelijke oplossing doorvoert, sta je best even stil bij de mogelijke gevolgen ervan. Mensen willen AI gebruiken en zullen dat ook doen. Meer en meer zijn ze eraan gewend geraakt in hun privéleven en zullen ze dus de weg van privé-mailadressen en persoonlijke AI-accounts buiten de organisatie bewandelen.

Het resultaat? Je hebt geen enkele controle of zicht meer op wat er met (gevoelige) bedrijfsinformatie gebeurt. Toegegeven, dat heb je ook niet honderd procent als je AI-gebruik wel toestaat, maar dan kan je in ieder geval beschermingsmaatregelen nemen. De vraag die je moet beantwoorden is: wat is het echte risico van het openstellen van AI in de organisatie in vergelijking met het verbieden?

Gulden middenweg

De uitdaging ligt in het zo goed mogelijk afdekken van securityrisico’s. Daar zijn drie concrete stappen voor:

1. Verbieden? Bied een alternatief.

Als je gegronde redenen hebt om bijvoorbeeld specifiek ChatGPT te verbieden, bekijk dan of er AI-alternatieven zijn die je wel kan toestaan. Onderzoek welke AI-tools voor jouw organisatie een geschikte optie zijn. Misschien kan je Microsoft Copilot aanbieden met strenge instellingen, zodat data binnen het bedrijfsnetwerk blijft. Als je niets voorziet, dan weet je één ding zeker: mensen gaan hun eigen AI-tools gebruiken.

2. Stel richtlijnen op.

Vertel medewerkers hoe ze veilig kunnen omgaan met AI. Bepaal bijvoorbeeld duidelijk welke bedrijfsinformatie niet in een AI-tool mag worden ingegeven. Definieer wat gevoelige data is en wat niet, ook al is dat niet makkelijk. Maak dit zo concreet mogelijk en spreek erover met je medewerkers. Onderzoek welke tools je kan inzetten om data eerst te scannen op gevoeligheid, vóór ze bij AI-toepassingen terechtkomt.

3. Monitoren in plaats van blokkeren.

Het is veiliger om goed te monitoren hoe AI in de organisatie wordt gebruikt, dan dat medewerkers er onder de radar mee aan de slag gaan.

Opleiding als sleutel

Of je AI-toepassingen nu omwille van veiligheidsproblemen blokkeert of het toch aanbiedt binnen een gecontroleerde omgeving, één ding is cruciaal: educatie. En dat bedoel ik geen vrijblijvende sensibilisering, maar echte training waarin collega’s leren wat er in de praktijk kan gebeuren als je onbezonnen met AI werkt. Dergelijke opleiding is, door de AI Act, trouwens wettelijk verplicht. Elke organisatie moet kunnen aantonen dat het medewerkers verantwoord leert omgaan met deze nieuwe technologie.

De eerste stap is medewerkers uitleggen hoe een AI-tool precies werkt. Het kan zijn dat ze ChatGPT goed kennen omdat ze het privé gebruiken, maar Copilot nog helemaal niet. Bespreek ook de risico’s: wat zijn de veiligheidsvoordelen van werken in de ene AI-tool ten opzichte van een andere? En wat gebeurt er als gevoelige bedrijfsinformatie in een publieke AI-tool worden ingebracht?

Geen angst, maar controle

Of je AI nu blokkeert, vrijgeeft of voor een tussenweg kiest: elke organisatie moet zelf bepalen hoe ze met AI wil omgaan. Als IT-professional is het belangrijk om kritisch naar dat beleid te kijken en de risico’s concreet te maken. Het gaat er vooral om dat je begrijpt wat elke keuze betekent.

Blokkeren zonder alternatief duwt medewerkers in de richting van creatieve, maar ronduit risicovolle oplossingen buiten het zicht van de organisatie. Voorzie daarom een veilige AI-tool, duidelijke richtlijnen en opleiding. Zo hoef je AI niet te verbieden uit angst, maar kan je het gebruik net gecontroleerd mogelijk maken.