De AI heeft zich sneller in het dagelijks leven van werknemers genesteld dan de regels die haar zouden moeten reguleren. Dat blijkt uit de tweede editie van de Barometer AI, Onderneming en Duurzaamheid, uitgevoerd in maart 2026 onder 826 IT- en digitale professionals in Frankrijk, het Verenigd Koninkrijk, Duitsland en Spanje. Volgens de studie constateert 66% van de respondenten Shadow AI, dat wil zeggen het gebruik van AI-tools die niet door hun bedrijf zijn goedgekeurd.
Coauteur van de barometer met Laurent Inard (Forvis Mazars), Dejan Glavas, hoogleraar financiën en AI aan de ESSCA School of Management, gaat in op deze blinde vlekken en de te stellen regels.
Goedgekeurde tools die moeite hebben te concurreren
Volgens Dejan Glavas komt de goedgekeurde tool vaak na de gewoonte. Onder de respondenten die een wijdverspreide Shadow AI constateren terwijl hun bedrijf eigen tools levert, komen drie redenen terug. Gewoonte staat op de eerste plaats, omdat werknemers al een assistent hadden geadopteerd voordat hun werkgever er een voorstelde. Daarna volgen prestaties, waarbij de geleverde tool over het algemeen als minder goed wordt beoordeeld, en gebruiksgemak, omdat interne tools soms trager of minder praktisch zijn.
Volgens hem doet een goedgekeurde tool die kan wedijveren met die op de markt Shadow AI zekerder terugdringen dan een herinnering aan het reglement. Het fenomeen is meer uitgesproken in Frankrijk, waar een op de vijf bedrijven het als wijdverspreid beschrijft, tegenover een op de tien in de drie andere landen. Hij geeft twee verklaringen. Ten eerste de regulering: minder dan de helft van de Franse bedrijven leidt zijn werknemers op over AI, tegenover drie op de vier in het Verenigd Koninkrijk. « Wanneer de regel en de opleiding laat komen, ontstaat het gebruik vanzelf », vat hij samen. Ten tweede, het interne aanbod: meer dan vier op de tien Franse bedrijven hebben nog geen tool om hun interne documenten met AI te bevragen.
Wat het verbod betreft, is de constatering hard. Een op de acht bedrijven constateert dat Shadow AI voortduurt ondanks een duidelijk verbod, terwijl tolerantie het meest voorkomende antwoord is, met 24%. Dejan Glavas beschouwt deze positie als « de meest kwetsbare », omdat het bedrijf op de hoogte is en het laat gebeuren, met een aansprakelijkheidsvraag die zich stelt op de dag dat gegevens uitlekken. Hij vindt dat een verbod zinvol blijft wanneer het specifiek is, bijvoorbeeld voor klantgegevens, loongegevens of een contract in onderhandeling. Voor de rest pleit hij voor regulering: aangeven welke toepassingen zijn toegestaan, met welke tools en op welke gegevens, en vervolgens een goed goedgekeurd tool leveren.
Geaccepteerde toepassingen, maar weinig gereguleerd
Transcriptie van vergaderingen staat bovenaan de lijst van onderschatte toepassingen. Vier op de vijf bedrijven gebruiken taalmodelen voor kantoorwerk, met name voor samenvattingen, verslagen van videoconferenties en het opstellen van e-mails. In Frankrijk geeft vier op de tien respondenten aan dat toestemming voor opname expliciet wordt gevraagd en wordt vastgelegd, terwijl voor nog eens vier op de tien deze informeel blijft of is verdwenen.
Een vergadering bevat namen, meningen over personen, soms bedrijfsgeheimen, wat in de eerste plaats onder de AVG valt, de Europese verordening over persoonsgegevens. Werving is een ander genoemd geval: het laten classificeren van sollicitaties door een AI lijkt onschuldig, maar deze toepassingen kunnen onder de hoogrisicosystemen van de AI Act vallen. Code, ten slotte, roept de vraag op van technische schuld en vaardigheden. Meer dan de helft van de bedrijven die ontwikkelen, verklaart dat ten minste een kwart van hun code door AI wordt ondersteund, een productiviteitswinst die gepaard kan gaan met technische schuld wanneer de controle vertraging oploopt.
Wat het wettelijk kader betreft, vindt Dejan Glavas dat de tekst goed doet waarvoor hij is geschreven. Sinds 2 augustus 2026 verplicht hij een persoon te informeren dat hij met een machine communiceert en AI-gegenereerde inhoud identificeerbaar te maken. De regels voor hoogrisicosystemen, zoals werving, zijn van toepassing vanaf december 2027. De beperking ervan, volgens hem, ligt in het doel: de AI Act reguleert systemen en degenen die ze leveren of implementeren, terwijl een werknemer die een document in zijn persoonlijke assistent plakt vooral onder intern beleid en de AVG valt. Minder dan drie op de tien respondenten zeggen dat hun bedrijf de tekst goed kent.
AI-agenten en governancekader
AI-agenten, die taken kunnen uitvoeren met beperkte menselijke tussenkomst, maken de zaak nog ingewikkelder, want « de agent handelt ». Met een assistent leest de werknemer een antwoord voordat hij het gebruikt; met een agent wordt de e-mail verzonden, het bestand aangepast, de bestelling geplaatst. Meer dan een op de drie bedrijven in Frankrijk gebruikt al autonome agenten, volgens de barometer, en bijna de helft van de Europese bedrijven gebruikt of test ze.
De middelen voor controle bestaan, vindt de professor. Ontwikkelaars spreken over ‘harnassen’, dat wil zeggen grenzen gesteld aan de agent: beperkte toegangsrechten, een logboek van zijn acties en menselijke goedkeuring voor elke onomkeerbare beslissing. Hij adviseert een register van agenten bij te houden, met een verantwoordelijke voor elk, vanaf de eerste implementatie, en noemt referentiekaders zoals het NIST AI Risk Management Framework of de ISO-normen 42001, 42005 en 23894. Samen met Laurent Inard beveelt hij aan uit te gaan van de werkelijke praktijken, te beginnen met een anonieme inventarisatie van de gebruikte tools, en vervolgens de toepassingen in drie lijsten te classificeren: wat is toegestaan, wat is toegestaan onder voorwaarden en wat is verboden. Gezien de snelheid van de ontwikkelingen vindt hij het belangrijk om herzieningsclausules op te nemen.
