Medewerkers gebruiken ChatGPT: hoe groot is het risico?

Ergens in jouw bedrijf gebruikt op dit moment waarschijnlijk iemand ChatGPT. Niet stiekem om lui te zijn, maar om sneller een mail te schrijven, een klacht samen te vatten of een stuk tekst te vertalen. Handig. Alleen: je weet vaak niet welke informatie er precies in gaat. En daar zit het risico. Als je medewerkers ChatGPT gebruiken zonder afspraken, kan vertrouwelijke bedrijfsdata ongemerkt op een systeem buiten je bereik belanden. Dat verschijnsel heeft een naam gekregen: Shadow AI. In dit artikel lees je hoe groot het risico echt is, wat de wet ervan vindt, en, belangrijker, wat je eraan doet zonder AI helemaal te verbieden.

Wat is Shadow AI?

Shadow AI is AI-gebruik dat buiten het zicht van de organisatie gebeurt. Je medewerkers ontdekken dat ChatGPT, Gemini of Claude hun werk sneller maakt en gaan ermee aan de slag, zonder dat iemand heeft afgesproken wat er wel en niet in mag. De NOS besteedde er in juni 2026 nog aandacht aan in Nieuwsuur: bij organisaties zonder duidelijke afspraken gaan werknemers zelf met ChatGPT aan de slag en gooien ze er data in waar persoons- of bedrijfsgegevens in zitten, zonder dat ze zich dat realiseren.

Het venijn zit in de goede bedoelingen. De medewerker die een klantdossier in ChatGPT plakt om er snel een nette samenvatting van te maken, wil gewoon zijn werk goed doen. Maar dat dossier, met naam, adres, misschien een BSN of medische informatie, staat nu op een systeem dat jij niet beheert. En bij de gratis versies van veel AI-tools mag dat materiaal worden gebruikt om het model verder te trainen.

Wat er echt mis kan gaan

Dit is geen doemverhaal. Het is gewoon al gebeurd, ook dichtbij.

• Gemeente Eindhoven: uit een steekproef bleek dat medewerkers in één maand tijd meer dan duizend documenten met persoonsgegevens naar externe AI-tools hadden geüpload, BSN-nummers, zorggegevens, financieel gevoelige data. Dat leverde een datalek op, gemeld bij de Autoriteit Persoonsgegevens.
• Amazon: nadat interne bedrijfsinformatie via een AI-model openbaar bleek te worden, bond het techbedrijf het AI-gebruik onder werknemers aan banden. Interne documentatie was terug te vinden in ChatGPT.
• Jouw bedrijf: een offerte met je scherpste prijzen, een klantenbestand, een nog niet aangekondigde deal. Eén keer geplakt in de verkeerde tool en je hebt geen idee meer waar het blijft.

De rekening: wat kost een datalek je?

Een datalek is niet alleen een privacyprobleem, het is een kostenpost. Drie soorten kosten lopen op.

• Boetes. Lekken er persoonsgegevens, dan val je onder de privacywet (AVG). Je moet het binnen 72 uur melden bij de Autoriteit Persoonsgegevens. De boetes lopen op tot 20 miljoen euro of 4% van je wereldwijde jaaromzet, het hoogste van de twee.
• Herstel. Uitzoeken wat er precies gelekt is, klanten informeren, juridisch advies, je systemen dichttimmeren. Dat kost tijd en geld die je nergens had begroot.
• Vertrouwen. Het moeilijkst terug te verdienen. Een klant die hoort dat zijn gegevens zijn gelekt, denkt twee keer na voordat hij weer iets bij je achterlaat.

Mag het eigenlijk wel? Wat de wet zegt

Twee regels zijn hier belangrijk, en allebei gelden ze nu al.

• De privacywet (AVG): persoonsgegevens mogen niet zomaar naar een externe partij. Stop je een klantdossier in een gratis AI-tool, dan deel je die gegevens met een bedrijf buiten je controle. Dat mag in veel gevallen simpelweg niet.
• De AI-wet (AI Act): sinds februari 2025 ben je als werkgever verplicht te zorgen dat je mensen voldoende "AI-geletterdheid" hebben, ze moeten weten hoe ze veilig met AI werken. Niets doen is dus geen neutrale keuze meer; het botst met een regel die al van kracht is.

Daar komt vanaf 2 augustus 2026 een regel bij: als je klanten met een AI-chatbot praten, moet je dat duidelijk melden. Bouw je iets met AI in, dan kun je die melding maar beter meteen goed inrichten. Daarover schreef ik apart in mijn artikel over de AI Act voor het MKB.

Verbieden werkt niet. Dit wel.

De verleiding is groot om AI dan maar helemaal te verbieden. Maar dat werkt niet. Je medewerkers gebruiken het omdat het hun werk echt makkelijker maakt, verbied je het, dan doen ze het op hun privételefoon en heb je nóg minder zicht. De ethisch hacker die de NOS sprak, zei het treffend: het beste wat je kunt doen is wél iets faciliteren, zodat je ook ziet hoe het wordt gebruikt.

Met andere woorden: neem de reden weg waarom mensen stiekem ChatGPT gebruiken. Geef ze een veilige manier om hetzelfde werk te doen, binnen een omgeving die jij in beheer hebt.

• Maak afspraken. Een halve pagina is genoeg: wat mag wel, wat mag niet, welke informatie nooit. Mensen houden zich aan regels die ze begrijpen.
• Gebruik geen gratis versies voor werk. Zakelijke versies van AI-tools beloven dat ze je data niet gebruiken om hun model te trainen. Dat is het minimum.
• Geef je team één veilige plek. In plaats van tien losse tools waar niemand zicht op heeft: één omgeving die jij beheert en die doet wat je team nodig heeft.
• Leg uit waaróm. Een medewerker die snapt dat een geplakt klantdossier een datalek kan worden, doet het niet meer. Angst werkt niet, begrip wel.

Hoe Socialo dit aanpakt

Mijn aanpak begint niet bij "AI verbieden" of "AI invoeren", maar bij de vraag: wat probeert je team eigenlijk te doen met ChatGPT? Vaak is het een handvol terugkerende klusjes, klantvragen beantwoorden, mails opstellen, documenten samenvatten, vertalen. Precies dat werk bouw ik na in een opzet die jij in eigen beheer hebt, zodat de gegevens binnen je bedrijf blijven.

Het verschil voor je medewerker is nul: het werk gaat nog steeds sneller. Het verschil voor jou is groot: je weet wat erin gaat, je data blijft van jou, en je voldoet meteen aan de regels in plaats van achteraf brandjes te blussen. Probleem eerst, tool tweede, niet AI om de AI, maar een oplossing voor de reden waarom je mensen er nu stiekem mee werken.

Wat je deze week al kunt doen

Ook zonder ons kun je vandaag het grootste risico al verkleinen. Drie stappen.

• Vraag rond. Niet beschuldigend, gewoon: "gebruiken jullie ChatGPT voor werk, en waarvoor?" Je krijgt eerlijke antwoorden en je weet meteen waar het schuurt.
• Spreek één regel af: nooit persoonsgegevens of vertrouwelijke informatie in een gratis AI-tool. Vandaag in te voeren, gratis, en het dekt de grootste risico's af.
• Bepaal welke klusjes je team het vaakst aan AI uitbesteedt. Dat lijstje is precies de basis voor een veilige opzet die je later kunt bouwen.