Bijna de helft werknemers gebruikt privé-AI voor werk

U moet kunnen aantonen welke AI-diensten werknemers gebruiken, welke gegevens daarin gaan en wie dat mag goedkeuren. Zonder die zichtbaarheid verliest u controle over persoonsgegevens en bedrijfsinformatie.

De aanleiding is een analyse van 2 oktober 2026 van werknemersgebruik van privé-AI voor werkdoeleinden, die stelt dat bijna de helft van de werknemers privé-AI-accounts voor werk inzet, ruim een derde daarvan zonder medeweten van de organisatie, en weinigen weten welke tools zijn toegestaan. Het onderzoek toont aan dat werknemers AI sneller in hun dagelijkse werk opnemen dan organisaties beleid en zichtbaarheid op orde brengen. In onze inschatting is het kernprobleem niet dat werknemers AI gebruiken, maar dat zij dit doen zonder dat de organisatie kan aantonen welke gegevens via welke diensten worden verwerkt — een directe schending van de verantwoordingsplicht onder de AVG.

Hoe groot is het gat tussen beleid en werkelijkheid?

De beschreven resultaten tonen aan dat werknemers privé-AI massaal gebruiken terwijl organisaties geen zicht hebben op welke tools en welke gegevens daarin gaan. Ruim een derde van de gebruikers doet dit zonder toestemming of medeweten van hun organisatie. Tegelijkertijd weet nog geen twee op de vijf werknemers welke AI-tools op het werk zijn toegestaan. Dit patroon is niet nieuw: eerder onderzoek beschreef dezelfde trend, waarbij slechts een kwart van de werknemers duidelijke organisatierichtlijnen rapporteerde.

Internationaal onderzoek wijst dezelfde richting. Uit bevragingen onder kantoorprofessionals bij grote organisaties in Australië, Japan, het Verenigd Koninkrijk en de Verenigde Staten bleek dat twee derde AI op het werk gebruikte terwijl men dacht dat dit volgens bedrijfsbeleid niet was toegestaan. De analyse daarvan beschrijft dat AI-adoptie sneller groeit dan het beleid dat die adoptie moet beheersen, met klantgegevens, financiële informatie en vertrouwelijke bedrijfsdocumenten die in publieke tools belanden.

Welke risico's ontstaan door onzichtbaar gebruik?

Het risico zit niet in het gebruik zelf, maar in het verlies van controle over informatieverwerking. Als werknemers vertrouwelijke stukken in een publieke AI-dienst plakken via hun eigen account, kan de organisatie niet aantonen welke gegevenscategorie, welke rechtsbasis en welke menselijke controle van toepassing waren. Dit raakt direct aan de verantwoordingsplicht van organisaties onder de AVG: u moet kunnen laten zien hoe persoonsgegevens worden verwerkt.

De gebruiksvoorwaarden van AI-aanbieders spelen hier een rol. Trainingsdefaults en bewaarregels verschillen per dienst en per abonnement. Zonder zicht op welke diensten werknemers gebruiken, kunt u niet beoordelen welke risico's voor gegevensverwerking ontstaan.

• Onzichtbare gegevensverwerking — persoonsgegevens en bedrijfsinformatie gaan via privéaccounts naar diensten buiten organisatiecontrole.
• Verlies van rechtsbasis — u kunt niet aantonen welke toestemming of rechtsbasis voor de verwerking gold.
• Trainings- en retentierisico's — standaardinstellingen van AI-diensten kunnen gegevens voor modeltraining gebruiken of langer bewaren dan uw beleid toestaat.
• Audit- en compliance-gat — u kunt niet aantonen dat verwerking in lijn met regelgeving plaatsvond.
• Ongecontroleerde gegevensafvloeiing — gevoelige informatie bereikt diensten die u niet hebt geëvalueerd of goedgekeurd.

Welke stappen moet u nemen om zichtbaarheid te krijgen?

Begin met een korte, bruikbare set regels in plaats van een abstract verbod dat toch wordt genegeerd. De onderzoeksresultaten laten zien dat onbekendheid met regels juist het probleem is. Een werkbaar, goedgekeurd alternatief verlaagt de prikkel om naar privé-accounts uit te wijken.

1. Definieer welke AI-diensten zijn toegestaan — leg vast welke tools werknemers mogen gebruiken en onder welke voorwaarden, en communiceer dit duidelijk.
2. Specificeer welke gegevens verboden zijn — bepaal welke categorieën (persoonsgegevens, financiële informatie, vertrouwelijke documenten) niet in externe AI-diensten mogen gaan.
3. Bied een goedgekeurd alternatief — zorg dat werknemers toegang hebben tot een interne of contractueel beveiligde AI-tool die hun werkstroom ondersteunt.
4. Meet periodiek of werknemers de regels kennen — voer terugkerende toetsen uit en bied een laagdrempelig meldpunt voor twijfelgevallen in plaats van eenmalige beleidsmededeling.
5. Documenteer wie welke AI-diensten goedkeurt — leg vast welke rol beslissingen over AI-gebruik neemt en hoe die worden geregistreerd.

Hoe past dit in uw governance-kader?

Deze stappen horen bij een breder overzicht van AI-governance waarin beleid, training en toezicht samenhangen in plaats van los van elkaar te bestaan. Het eindoordeel over acceptabel gebruik blijft bij u en uw professionals. De waarde van meten zit in het sluiten van de kloof die het onderzoek blootlegt: tussen wat werknemers doen en wat u kunt aantonen.

Automatisering kan u helpen zichtbaarheid te krijgen — logging van AI-diensten, waarschuwingen bij ongebruikelijke patronen, inventarisatie van gebruikte tools. Maar de beoordeling van welke gegevens in welke diensten mogen gaan, en hoe u dat verantwoordt, blijft uw professionele oordeel. Tooling ondersteunt dat oordeel; het vervangt het niet.