Schaduw-AI is geen ongehoorzaamheid. Het is een symptoom.

Ergens in jouw organisatie zit iemand met een verslag in ChatGPT. Op de eigen telefoon, in de pauze, omdat het anders vanavond nog thuis moet gebeuren.

Die persoon is geen roekeloze medewerker. Het is meestal juist iemand die het werk serieus neemt, die de registratiedruk zat is en die ergens heeft ontdekt dat een half uur uitwerken ook vier minuten kan duren. Niemand heeft het verboden, want niemand heeft er ooit iets over gezegd.

Dat noemen we schaduw-AI: AI-tools die in het werk gebruikt worden zonder dat de organisatie het weet, heeft afgesproken of ergens heeft vastgelegd. Het gesprek erover gaat in mijn ervaring bijna altijd over regels. Zelden over de vraag waarom het gebeurt.

Waar het vandaan komt

Wat mij opvalt als ik bij organisaties in het sociaal domein kom: schaduw-AI ontstaat vrijwel altijd op de plekken waar het werk knelt.

De rapportage die blijft liggen. De brief die naar begrijpelijke taal moet, voor een inwoner die anders niet snapt wat er van hem verwacht wordt. Het teamoverleg waarvan niemand meer notulen wil maken. Het plan van aanpak dat vandaag af moet, terwijl er twee crisissen tussendoor kwamen.

Iemand lost daar een echt probleem mee op. Een probleem dat de organisatie zelf niet heeft opgelost, en soms niet eens in beeld heeft. Dat is oncomfortabel, want het betekent dat schaduw-AI niet alleen een risico is. Het is ook informatie. Het laat vrij precies zien waar je processen te zwaar zijn.

Ik denk dat we daar te snel overheen stappen. Zodra het woord “schaduw” valt, wordt het een beveiligingsvraagstuk, en verdwijnt de vraag wat de medewerker eigenlijk aan het oplossen was.

Waarom het toch echt een probleem is

En toch. Dat het begrijpelijk is, maakt het niet minder risicovol.

Cliëntgegevens in een gratis consumentenaccount blijven cliëntgegevens in een gratis consumentenaccount. Je weet niet waar ze staan, wie ze kan inzien en of ze gebruikt worden om een model te trainen. Bij een gemeente of jeugdzorgorganisatie gaat het bovendien zelden om neutrale informatie. Het gaat over schulden, over een uithuisplaatsing, over een psychische diagnose, over een gezinssituatie die iemand nooit zelf heeft gekozen om te delen.

Daar komt bij dat je als organisatie iets moet kunnen uitleggen. Sinds 2 augustus 2026 geldt de transparantieverplichting uit de AI-verordening: mensen moeten weten wanneer ze met AI te maken hebben. Dat is geen papieren eis. Het is de basis van vertrouwen aan de keukentafel. Maar je kunt niet uitleggen wat je niet weet. Zonder zicht op welke tools er gebruikt worden, kun je een inwoner ook geen eerlijk antwoord geven op de vraag of dit besluit door een computer is voorbereid.

En als het misgaat, ligt het niet bij die ene medewerker. Het ligt bij de organisatie.

Waarom een verbod het niet oplost

De eerste reflex is vaak een mail: vanaf nu geen AI-tools zonder toestemming.

Ik snap die reflex. Hij is alleen zelden effectief. Het gebruik stopt niet, het wordt stiller. De tool verhuist van de werklaptop naar de privételefoon, en daarmee verlies je precies wat je nodig had: zicht.

Erger nog, je maakt het onmogelijk om te leren. Iemand die per ongeluk te veel in een prompt heeft geplakt, meldt dat na een verbod niet meer. Terwijl juist die melding het moment is waarop je iets kunt repareren.

Een verbod is dus geen beleid. Het is uitstel, met minder informatie.

Wat volgens mij wel helpt

Ik heb hier geen kant-en-klaar model voor, en ik wantrouw iedereen die dat wel belooft. Maar drie dingen zie ik terugkomen bij organisaties waar het de goede kant op gaat.

1. Begin met amnestie, niet met beleid. Vraag eerst wat er gebruikt wordt, expliciet zonder gevolgen. Niet via een enquête die bij de leidinggevende terechtkomt, maar in een teamoverleg waar iemand veilig kan zeggen: ik gebruik dit al een half jaar. Je krijgt dan in één sessie meer zicht dan met een half jaar governance.
2. Zorg dat er een fatsoenlijk alternatief is. Schaduw-AI verdwijnt niet door regels, maar doordat de geregelde route beter werkt dan de sluiproute. Is de goedgekeurde tool traag, lelijk of onbruikbaar, dan heb je het probleem alleen verplaatst.
3. Investeer in oordeelsvermogen, niet in een lijst. De AI-verordening vraagt sinds 27 juli 2026 van organisaties dat ze maatregelen nemen die de AI-geletterdheid van medewerkers ondersteunen, passend bij hun kennis, ervaring en werkcontext. Dat is bewust geen examen. Het gaat erom dat een consulent zelf kan inschatten wanneer een tool geschikt is en wanneer niet, ook in een situatie die in geen enkel protocol staat. Een verbodslijst veroudert binnen een kwartaal. Beoordelingsvermogen niet.

De eerlijke kanttekening

Dit klinkt netter dan het in de praktijk is.

Amnestie werkt alleen als er ook echt geen gevolgen zijn, en dat is moeilijk vol te houden op het moment dat blijkt dat er iets is gebeurd wat je liever niet had geweten. De eerste die eerlijk is, betaalt vaak de hoogste prijs. Zolang dat zo is, blijft de schaduw bestaan, hoe goed je intenties ook zijn.

En er is een tweede ongemak. Soms is schaduw-AI het bewijs dat medewerkers slimmer omgaan met hun tijd dan de organisatie met hun agenda. Dan is de vraag niet alleen hoe je dit onder controle krijgt, maar ook waarom iemand dit zelf moest oplossen.

Op die laatste vraag heb ik geen antwoord dat in een beleidsstuk past.

Weet je welke AI-tools er in jouw team echt gebruikt worden, of vermoed je het vooral? En wat zou er moeten veranderen voordat iemand het je uit zichzelf vertelt?