Er is een cijfer dat het gesprek over AI-beleid zou moeten veranderen. In een bevraging van PagerDuty bij 1250 kantoorprofessionals van grote bedrijven zei 66 procent AI-tools gebruikt te hebben terwijl ze dachten dat het bedrijfsbeleid dat verbood. Niet één keer, in de marge: als manier van werken. En 39 procent zegt AI-gebruik stil te houden om restricties te omzeilen.
Zo ziet shadow AI eruit van binnenuit. Van buitenaf ziet de organisatie er nauwelijks iets van. De wereldwijde studie van KPMG en de Universiteit van Melbourne, bij meer dan 48.000 respondenten in 47 landen, vond dat 57 procent van de werknemers die AI gebruiken dat gebruik verbergt en AI-werk als eigen werk presenteert. En de telemetrie van Cyberhaven, die gedrag meet in plaats van antwoorden, ziet een derde van het ChatGPT-gebruik op het werk via persoonlijke accounts lopen, buiten elk dashboard dat de organisatie bezit.
De reflex is om dit als een complianceprobleem te lezen, en dat is het deels ook: dezelfde studies tonen gevoelige data die naar publieke tools stroomt. Maar de nuttigere lezing, zeker voor wie in verandering werkt, is volgens mij een andere. Shadow AI is informatie. Het is de eerlijkste gebruiksdata die je organisatie heeft.
Wat het stille omzeilen je vertelt
Begin bij de vraag waarom mensen om de regels heen werken. Onderzoek van Software AG vond dat 46 procent van de kenniswerkers met eigen AI-tools zou weigeren te stoppen, zelfs bij een uitdrukkelijk verbod. Dat is een opmerkelijk cijfer. De helft van de gebruikers vertelt je op voorhand dat een verbod niet gaat werken.
Vanwaar die koppigheid? De Work Trend Index van Microsoft en LinkedIn leverde de onderliggende motieven al in 2024, toen hij mat dat 78 procent van de AI-gebruikers eigen tools meebracht naar het werk. In dezelfde studie durfde 52 procent niet toe te geven AI te gebruiken voor belangrijk werk, en vreesde 53 procent er vervangbaar door te lijken. Leg die cijfers naast elkaar en de stilte wordt begrijpelijk. Mensen gebruiken AI omdat het hen helpt. Ze verbergen het omdat de organisatie een risico heeft gehangen aan eerlijkheid.
De PagerDuty-studie voegt er nog een laag aan toe: 81 procent van de respondenten vindt dat AI-beleid ongelijk wordt toegepast, met meer vrijheid voor het leiderschap dan voor de rest. En 72 procent denkt AI beter te begrijpen dan het team dat het beheert. Of ze gelijk hebben doet er bijna niet toe; dat is de overtuiging waarop je beleid landt.
Het stille omzeilen draagt dus minstens drie boodschappen. De tools die mensen kregen zijn niet goed genoeg, of mogen niet wat het werk vraagt. De regels worden niet vertrouwd, of niet als eerlijk ervaren. En open zijn over AI-gebruik voelt onveilig. Geen van die drie los je op met een strenger verbod. Een verbod maakt elk van de drie doorgaans erger.
Van tools naar agents
Dit zou al dringend genoeg zijn als het bij chatbots bleef. Dat is niet zo. Opsin Labs analyseerde deze maand productieomgevingen van bedrijven en zag de interacties tussen werknemers en AI-agents veertienvoudigen in de eerste helft van 2026. 60 procent van de agents met aangepaste rechten kreeg gewoon toegang tot alles. En het opvallendste cijfer: 67 procent van de agents wordt gebouwd door mensen zonder technische achtergrond: sales, customer success, operations.
De bouwcapaciteit is gedemocratiseerd. Het toezicht niet. Shadow AI krijgt een opvolger, schaduw-agents, en de dynamiek is dezelfde: de mensen die het dichtst bij het werk staan, bewegen sneller dan de organisatie eromheen.
Lezen in plaats van bestrijden
Dit alles betekent niet dat alles zomaar mag. Gevoelige data in publieke tools is een echt probleem, en dezelfde KPMG-studie vond dat 66 procent van de AI-gebruikers op output vertrouwt zonder de juistheid te checken. De organisatie die haar schouders ophaalt, staat even bloot als de organisatie die verbiedt.
Maar tussen verbieden en gedogen zit een interessantere optie: shadow AI behandelen als een signaal om te lezen. Elke verborgen tool markeert een echte taak waar de officiële manier van werken tekortschiet. Elk persoonlijk account is een use case waar iemand genoeg om gaf om er een risico voor te nemen. Zo bekeken is je shadow AI-inventaris de best gevalideerde AI-roadmap die je ooit zal krijgen: niemand gebruikt een verboden tool voor werk dat hem niet interesseert.
Het signaal lezen begint met het zichtbaar maken, en dat vraagt veiligheid vóór software. Wie vreest lui, vervangbaar of niet-compliant te lijken, vertelt je niet wat hij gebruikt. De 89 procent in de PagerDuty-studie die AI eerst privé leerde gebruiken en daarna mee naar het werk nam, weet al lang wat voor hen werkt; de vraag is of de organisatie een veilige plek is om dat te zeggen.
Daarom is de meest productieve eerste stap zelden een nieuw beleidsdocument. Het is een gesprek zonder gevolgen: wat gebruik je, waarvoor, en wat lost het voor jou op? Gevolgd door het hardere organisatiewerk om de kloof te dichten die uit de antwoorden blijkt: betere tools waar de officiële tekortschieten, heldere en eerlijk toegepaste regels waar het risico echt is, en erkenning dat de collega die een betere werkwijze vond, initiatief toonde, en daar een risico voor nam.
De change-bril doet er hier toe. Wie in verandering werkt, weet al lang dat workarounds diagnostisch zijn: mensen werken om heen wat niet werkt. Shadow AI is die oude waarheid op ongekende schaal, met betere data dan we ooit hadden. De organisaties die het lezen, gaan sneller leren dan de organisaties die het bestrijden.
Een vraag om mee te nemen naar volgende week: als jouw organisatie één week amnestie zou afkondigen voor AI-bekentenissen, wat denk je dat er boven water zou komen?