Wat is schaduw-AI? Definitie, risico's en voorbeelden - LastPass

HANDLEIDING

Schaduw-AI: tools die uw medewerkers zonder goedkeuring gebruiken

Maar 27% van de organisaties heeft een actief afgedwongen beleid voor AI governance. Maar AI wordt wel gebruikt in 92% van de organisaties. Ontdek het praktische kader waarmee IT-teams met beperkte middelen dit gat kunnen dichten.

Ontvang het gratis rapport

Vertrouwd door meer dan 100.000 bedrijven overal ter wereld · Gecertificeerd voor SOC 2 Type II, ISO 27001, ISO 27701 · 4,5/5 op G2

Belangrijkste statistieken: wat de gegevens laten zien

Bron: LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging Inzichten uit enquêtes onder ruim 400 IT-leiders, inloggewoontes van meer dan 450.000 mensen in ruim 20.600 organisaties, en toepassingsgebruik in de praktijk bij meer dan 15.900 organisaties.

92% van de ondervraagde IT-leiders zegt dat AI al overal in hun organisatie wordt gebruikt.

Waarom dit belangrijk is: Uit de enquête van LastPass blijkt dat er vrijwel overal met AI gewerkt wordt, maar governance blijft achter. Het rapport analyseert hoe de kloof tussen gebruik en governance eruit ziet voor organisaties van verschillende grootte en met verschillende stadia van AI-aanname. 

46% van de organisaties schat hun eigen blootstelling aan schaduw-AI in als middelmatig tot hoog.

Waarom dit belangrijk is: Bijna de helft vermoedt dat er veel schaduw-AI wordt gebruikt, maar slechts 22% heeft tools om AI-gebruik actief te loggen of te monitoren. De inschatting van het risico wordt niet gekoppeld aan actie om dit risico onder controle te krijgen.

56% maakt zich zorgen dat medewerkers zakelijke aanmeldingsgegevens rechtstreeks in AI-prompts invoeren.

Waarom dit belangrijk is: Als dit soort gegevens tijdens een sessie zonder toezicht worden ingevoerd in een prompt en die sessie wordt gecompromitteerd, kunnen aanvallers hier misbruik van maken en binnendringen in verbonden systemen.

Waarom governance van schaduw-AI structureel lastiger is dan schaduw-IT

Traditionele schaduw-IT laat sporen achter. Medewerkers installeren software zonder goedkeuring van de IT-afdeling, en uw detectie op hun endpoints herkent dit. Ze maken verbinding met een onbekend apparaat, en uw netwerkmonitoring registreert dit.  

Schaduw-AI werkt anders. De meest gangbare AI-tools, inclusief ChatGPT (gebruikt in 64% van de organisaties) en Claude (39%) werken in de browser. 

Het enige spoor dat dit achterlaat is van een aanmelding binnen de browser – niet eens per se met een zakelijk mailadres. 

En dat maakt governance een stuk lastiger. Logins bij AI gaan onder in de vertrouwde activiteiten, en ongeoorloofd AI-gebruik kan lang ongemerkt blijven.  

Onzichtbaar gebruik kan significante gevolgen hebben: 

  • Gevoelige data worden ingevoerd in AI-tools – een belangrijke bron van zorg voor 68% van de ondervraagde IT-leiders. 
  • Wachtwoorden en aanmeldingsgegevens worden ingevoerd in AI-prompts – nog een bron van zorg voor 56% van de respondenten. 
  • AI-tools die toegang krijgen tot zakelijke systemen — 61% van de IT-leiders maakt zich zorgen over ongeoorloofde acties. 

Schaduw-AI kan voorkomen met normale logins in normale browsersessies. Dat betekent dat governance inzicht moet krijgen in dit toegangspunt. Als u niet weet wat uw mensen precies gebruiken, kunt u ook de risico's op gegevensverlies of ongewenste toegangsmachtigingen niet aanpakken. 

Benieuwd naar de trends op het gebied van AI governance bij echte bedrijven in 2026? Lees het LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging voor de volledige statistieken over de actuele governance.  

Ontvang de volledige analyse

Download het rapport

Detectie van schaduw-AI, en de blinde vlek van veel benaderingen

Veel gangbare methodes voor de detectie van schaduw-IT werken niet goed voor AI-gebruik binnen de browser.

  • Personeelsenquêtes vragen medewerkers om hun eigen gebruik te rapporteren. Vaak ontbreken dan tools in de resultaten, omdat gebruikers de schrijffunctie van Grammarly of de Q&A in Notion niet als AI-tool beschouwen.  
  • Netwerkmonitoring en endpoint-beheer is gemaakt om traditionele schaduw-IT te herkennen. Die laat dan ook vaak sporen na, bijvoorbeeld door een installatie of een bestandsoverdracht. 
  • Blokkeerlijsten werken op dezelfde basis en pakken de tools aan waarvan een IT-beheerder al weet dat die bestaan. Maar ze helpen niet om de tools aan te pakken die zich in uw blinde vlek bevinden.

Organisaties die wel meer inzicht weten te verkrijgen, doen dit vaak door aanmeldingen te registreren – ongeacht het soort aanmeldingsgegevens.

LastPass Business Max werkt op de verificatielaag, de enige laag waar browser-based tools consequent zichtbaar zijn, ook als medewerkers privégegevens gebruiken voor hun logins.

Het maakt niet uit als iemand een particulier mailadres gebruikt voor een gratis account bij ChatGPT, Claude, of Grammarly: de verificatie wordt geregistreerd via de LastPass-browserextensie.

Dat maakt LastPass anders dan endpoint-beheer en netwerkmonitoring. Die methoden zoeken naar software-installaties of ongebruikelijke patronen in het netwerkverkeer. Schaduw-AI in de browser blijft daarmee onzichtbaar. Het genereert echter wel een login, en LastPass is in staat om die te registreren.

 
LastPass Business Max gratis proberen Demo aanvragen

De voordelen van inzicht in schaduw-AI

Als u schaduw-AI aan het licht brengt, betekent dit niet het einde van alle AI op uw systemen. Dat is ook niet het doel. Het doel is om onbekend en onbeheerd gebruik over te brengen naar een beheerskader, zodat de IT-afdeling het gebruik in goede banen kan leiden. 

Uw mogelijkheden met inzicht in schaduw-AI bij de toegangslaag: 

  • U ziet welke AI-tools uw medewerkers gebruiken met privéadressen. Dat is een toegangsweg die 56% van de IT-leiders zorgen baart, maar die ze momenteel niet kunnen detecteren. 
  • U kunt controlemechanismen uitrollen op basis van het risico, de beveiligingsverplichtingen van uw organisatie, of waar het risico ingrijpen noodzakelijk maakt. 
  • Schaduw-AI blijft zich niet ongemerkt vermenigvuldigen. Medewerkers die bij hun aanmelding een waarschuwing ontvangen in de browser, begrijpen dat uw organisatie ziet welke tools ze gebruiken. De meeste mensen worden hierdoor bewuster en voorzichtiger. 
  • Als auditors of verzekeraars vragen naar uw governance, is uw lijst van gebruikte AI-tools een meting in plaats van een mening. En kunt aantonen hoe uw toegangsbeheer werkt. 

De eerste stap is altijd een inventarisatie van de AI-tools die uw medewerkers momenteel gebruiken. 

De volledige statistieken over AI-gebruik en blinde vlekken in de governance

Het LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging combineert gegevens over daadwerkelijk gebruik met enquêteresultaten. Het laat de risico's door aanmeldingsgegevens zien voor organisaties van verschillende grootte, en gaat na op welke punten governance niet alles dekt. 

Download het LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging

Download het rapport

Meer in de serie over de beveiliging van AI en SaaS

GUIDE

Compliance met AI governance: beleidsregels, controlemechanismen en wat u mist

Lees de handleiding

Alle handleidingen voor de beveiliging van AI en SaaS

Veelgestelde vragen: Wat is schaduw-AI

In het LastPass-rapport worden drie risico's het meest genoemd:

  • 68% van de respondenten maakt zich het meeste zorgen over de invoer van gevoelige gegevens in AI. 
  • 61% noemt ongeoorloofde toegang van AI-tools tot interne systemen. 
  • En 56% maakt zich zorgen dat medewerkers aanmeldingsgegevens direct invoeren in AI-prompts. 

Vaak gaat het hierbij om interacties die plaatsvinden in de browser, en er zijn geen toegangscontroles om naleving van de vereisten voor gegevensverwerking achteraf af te dwingen. 

De twee zijn nauw verbonden, maar niet helemaal hetzelfde.

Ongeoorloofde AI verwijst naar tools die niet formeel zijn goedgekeurd. De organisatie weet dat de toolcategorie bestaat, maar het gebruik ervan is niet geautoriseerd.  

Schaduw-AI is niet alleen ongeoorloofd, maar ook onbekend. Dit zijn tools die medewerkers op eigen initiatief gebruiken: 

  • Gratis consumentenversies, die worden gebruikt met privé mailadressen 
  • Bedrijfsgegevens die worden gedeeld met AI chatbots via API's of MCP-connectors 
  • Gebruik van nieuwe AI-functies binnen bestaande, eerder goedgekeurde SaaS 

Uit het LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging komt naar voren dat 46% van de organisaties hun blootstelling aan schaduw-AI inschat als gemiddeld tot hoog. Maar toch heeft slechts 22% tools om AI-gebruik in goede banen te leiden. 

Hier levert Business Max van LastPass optimale meerwaarde: het laat snel zien welke tools er zonder goedkeuring gebruikt worden binnen uw organisatie. Vervolgens kunt u het gebruik aansturen: goedkeuren, waarschuwen of blokkeren. 

Het detecteren van schaduw-AI is een essentiële eerste stap voor AI governance. Als u weet wat er wordt gebruikt, kunt u de risico's van iedere tool bekijken. Hoe zit het met de beveiliging, de wet- en regelgeving en de gegevensbescherming? 

Op basis van die beoordeling kunt u de passende controlemechanismen implementeren.

Voor kleinere en middelgrote teams is LastPass een uitstekende manier om aan de slag te gaan met AI governance: 

LastPass Business Max laat u zien wat er gebeurt. U krijgt inzicht in de AI-tools, SaaS-toepassingen en websites die medewerkers gebruiken voor hun werk, ook als ze dit doen met een privéaccounts.

Vervolgens kunt u ook ingrijpen. De mogelijkheden van Business Max: 

  • Gebruikers waarschuwen als ze op het punt staan om een twijfelachtige tool te gebruiken. 
  • Complete categorieën van riskante sites direct blokkeren, in plaats van stuk voor stuk. 
  • Medewerkers waarschuwen als ze op het punt staan om gevoelige gegevens te delen met een AI-tool. 

Met deze controlemechanismen kunt u het AI-gebruik aansturen op een manier die aansluit op het risico. Het is een praktische manier om schaduw-AI te detecteren en het gebruik in goede banen te leiden, zonder de complexiteit of overhead van grotere softwaresuites. 

Staat uw vraag er niet bij? Ga naar ons Supportcentrum.

Aan de slag met LastPass Business

LastPass gratis proberen Neem contact op met Sales
Geen creditcard vereist voor de proefversie van 14 dagen.