Je team gebruikt al AI. Jij hebt alleen nog geen afspraak.

Wat er gebeurde

Vorige maand zat ik bij een MKB-bedrijf van zo’n veertig mensen. De directeur was trots: “Wij doen nog niks met AI.” Vijf minuten later liet de accountmanager me een ChatGPT Free-chat zien. Er stond een klantdossier in. Inclusief bedragen, namen en een openstaande klacht.

Geen kwaadwilligheid. Iemand wilde sneller een nette mail. Exact het patroon dat TheAIDaily in het Shadow AI MKB Onderzoek 2026 beschrijft: ongeveer 44% van de mkb-respondenten deelde bedrijfsdata met een gratis tool. Bij ongeveer driekwart was er geen afspraak hoe medewerkers met AI omgaan.

Dat is geen “AI-probleem”. Dat is een afsprakenprobleem. En het speelt in bedrijven waar de director denkt dat er “nog niks speelt”.

Je team gebruikt al AI. Jij hebt alleen nog geen afspraak, en dat is riskanter dan de tool zelf.

Waarom dit relevant is voor het MKB

In een bedrijf met 15 tot 80 mensen is shadow AI geen IT-hobby. Het is AVG, reputatie en (steeds vaker) AI Act-deployerplicht in één. Je verbiedt het zelden hard genoeg om het te stoppen. Mensen vinden een workaround vóór jij een policy-PDF hebt gelezen.

Drie dingen misgaan structureel:

• Gratis ≠ veilig genoeg. ChatGPT Free, Claude free of een random browser-tool is iets anders dan Team/Enterprise met DPA. Slechts een klein deel van het MKB snapt dat gratis tools invoer mogen hergebruiken voor training. TheAIDaily noemt ongeveer 28%.
• Verbod zonder alternatief. Zeg “geen AI” en je krijgt stiekem AI. Geef een korte goedgekeurde lijst + dataregels, en mensen houden zich er vaker aan. Praktische stappenplannen bij WerkenmetAI, Pixel Management en Digitaal Gezag komen steeds op hetzelfde neer.
• Geen eigenaar. Zonder iemand die tools, incidenten en updates bewaakt, blijft beleid een eenmalige workshop. Governance voor SME’s hoeft geen handboek van honderd pagina’s te zijn. Zie bijvoorbeeld de building blocks van Kramberg AI en de Nederlandse framing bij Workflows.nl.

Licht op de wet: artikel 4 van de EU AI Act draait om AI-geletterdheid. Per augustus 2026 wordt transparantie bij klantgerichte AI-inzet scherper afgedwongen. Een kort intern beleid is geen magische compliance-garantie, maar wél de praktische start. Twijfel je of je als deployer iets moet regelen? Doe de EU AI Act deployer quick scan.

En nee: meer chatten met ChatGPT lost dit niet op. Zonder proces en afspraak koop je ook geen tool “omdat iedereen AI doet”. Shadow AI is dezelfde stapelfout, alleen dan in de browser van je beste medewerker.

Wat je nu kunt doen

Geen commissie. Wel vijf stappen die je in één tot twee weken kunt afronden.

1. Inventariseer in één week

Vraag elk team: welke AI-tools gebruik je nu, voor welk werk, met welke data? Geen oordeel. Alleen een lijst. Je vindt meer dan je denkt.

2. Keur tools goed + zet dataregels zwart-op-wit

Maximaal vijf goedgekeurde tools met zakelijke licentie waar mogelijk. Splits data in groen (openbaar), oranje (intern, alleen in goedgekeurde tools), rood (klantpersoonsgegevens, contracten, geheimen: niet plakken). Hang die drie regels naast de koffieautomaat.

3. Wijs één AI-eigenaar aan

Operations, IT of een MT-lid. Vier uur per maand is genoeg om vragen te beantwoorden, de tool-lijst bij te houden en incidenten te loggen. Zonder naam blijft het niemandswerk.

4. Menselijke check op klantoutput

Alles wat naar een klant of het publiek gaat, krijgt een menselijke leesronde. Dertig seconden is vaak genoeg. Geen review = geen verzenden.

5. Maak één incidentstap

Wat doe je als er toch klantdata in een gratis tool belandt? Wie belt je, binnen hoeveel uur, en wat vertel je de klant? Schrijf het op één alinea. Liever saai en klaar dan improviseren onder druk.

Wil je daarna AI wél productief maken, niet alleen “veilig genoeg”? Dan helpt AI-modeloptimalisatie om het juiste model per taak te kiezen, en managed AI-agents voor het MKB om workflows in je bestaande systemen te zetten in plaats van losse chats.