Zomerbezetting en Shadow AI: hoe voorkomt u datalekken buiten het zicht van IT?

Tijdens de zomermaanden verandert de bezetting binnen veel organisaties. Vaste krachten gaan met verlof, tijdelijke krachten vangen gaten op en werknemers nemen taken over buiten hun vertrouwde routine. De werkdruk blijft gelijk, terwijl de capaciteit daalt. In die context grijpen medewerkers sneller naar ongeautoriseerde AI-tools om achterstanden weg te werken.

Dit fenomeen, ook wel Shadow AI genoemd, vormt een van de grootste juridische risico's voor de bescherming van bedrijfsgeheimen en persoonsgegevens.

De route naar een AVG-datalek

Het probleem zit zelden in kwaadwillendheid. Een vervanger krijgt de opdracht om een complexe Excel-sheet met klantinformatie op te schonen, plakt de volledige dataset in een gratis publieke AI-tool om formules te genereren, en veroorzaakt daarmee mogelijk een datalek, en in elk geval een onrechtmatige verwerking van persoonsgegevens.

Wanneer persoonsgegevens worden ingevoerd in publiek toegankelijke taalmodellen zonder zakelijke verwerkersovereenkomst, gebeuren er juridisch gezien twee dingen.

Verwerking zonder verwerkersovereenkomst (artikel 28 AVG): er ontbreekt een verwerkersovereenkomst met de aanbieder. U kunt niet aantonen welke technische en organisatorische maatregelen die partij neemt om de data te beveiligen.

Doorgifte buiten de EER (hoofdstuk V AVG, artikel 44 e.v.): veel gratis AI-diensten verwerken data op servers in de Verenigde Staten. Doorgifte daarheen is alleen toegestaan als de aanbieder is aangesloten bij het EU-US Data Privacy Framework, of als er Standard Contractual Clauses met aanvullende maatregelen zijn overeengekomen. Bij gratis consumentendiensten ontbreekt zo'n grondslag meestal.

Zodra gevoelige gegevens via open invoervelden worden gebruikt om het model van de leverancier verder te trainen, wordt het terughalen of laten verwijderen van die gegevens in de praktijk zeer moeilijk en kunt u niet meer garanderen dat u er controle over houdt.

Het verlies van intellectueel eigendom en geheimhouding

Naast privacywetgeving raakt Shadow AI direct aan de Wet bescherming bedrijfsgeheimen. Een bedrijf kan zich volgens de wet alleen beroepen op geheimhouding als er aantoonbaar redelijke maatregelen zijn genomen om die informatie geheim te houden.

Wanneer broncode, financiële kwartaalcijfers, strategische offertes of patentdocumenten door personeel in een publiek model worden geplaatst waarvan de gebruiksvoorwaarden data-extractie toestaan, staat die bescherming onder druk. De wederpartij of concurrent kan stellen dat u nalatig bent geweest in uw geheimhoudingsplicht.

Interne oplossingen: verbieden werkt niet, inrichten wel

Een algeheel verbod op AI op de werkvloer is in 2026 niet meer realistisch en leidt er alleen toe dat medewerkers het stiekem doen op persoonlijke telefoons of laptops. U lost dit probleem operationeel en juridisch op door duidelijke kaders te stellen.

Stel een heldere AI-gebruiksrichtlijn op. Beperk dit document tot maximaal twee pagina's. Medewerkers moeten in één oogopslag zien welke categorieën data (klantdata, financiële administratie, intellectueel eigendom) onder geen beding in externe tools mogen worden ingevoerd.

Bied een goedgekeurd zakelijk alternatief aan. Richt zakelijke accounts of afgeschermde interne AI-omgevingen in waarin schriftelijk is vastgelegd dat ingevoerde gegevens niet worden opgeslagen voor trainingsdoeleinden en binnen de Europese Unie blijven.

Sluit verwerkersovereenkomsten af. Controleer of elke AI-tool waarmee zakelijk wordt gewerkt is voorzien van een addendum dat voldoet aan de eisen van de Autoriteit Persoonsgegevens.

Het risico van Shadow AI ontstaat wanneer het gemak van de medewerker groter is dan de drempel van het interne beleid. Door veilige infrastructuur beschikbaar te stellen en duidelijke contractuele afspraken te maken, houdt u grip op uw data.

Heeft uw organisatie nog geen formeel AI-beleid, of twijfelt u over de contractvoorwaarden van uw huidige tools? REZA Legal helpt u met het opstellen van een werkbaar beleid en een sluitend gebruiksreglement.