NCSC waarschuwt: schaduw-AI op de werkvloer vergroot risico op datalekken

Het Britse National Cyber Security Centre (NCSC) waarschuwt organisaties voor de risico's van schaduw-AI: AI-tools die medewerkers gebruiken zonder dat de werkgever daar weet van heeft of toestemming voor heeft gegeven. In een blogpost van 7 september roept de Britse cyberveiligheidsdienst bedrijven op dit probleem serieus te nemen, omdat het kan leiden tot datalekken en verlies van controle over bedrijfsgegevens. Dat melden Security.NL en Infosecurity Magazine.

Ruim zeventig procent gebruikt AI-tools buiten het bedrijf om

Het NCSC baseert de waarschuwing mede op onderzoek van Microsoft, uitgevoerd door onderzoeksbureau Censuswide onder ruim tweeduizend Britse werknemers. Daaruit blijkt dat 71 procent weleens een AI-tool heeft gebruikt die niet door de werkgever is goedgekeurd, en dat 51 procent dat zelfs wekelijks doet. Denk aan een medewerker die zelf even ChatGPT of een andere chatbot raadpleegt voor een klantmail, een offerte of een stuk tekst, terwijl het bedrijf daar geen beleid voor heeft of juist een ander programma voorschrijft.

Waarom dit risicovol is

Volgens het NCSC ontstaan er op deze manier meerdere risico's tegelijk. Gevoelige bedrijfs- of klantgegevens kunnen terechtkomen bij een AI-dienst waar de organisatie zelf geen zeggenschap over heeft, bijvoorbeeld omdat die gegevens worden gebruikt om het onderliggende model verder te trainen. Bedrijven verliezen daardoor het overzicht over waar hun data allemaal staat en wie er precies bij kan. Daarnaast wijst het NCSC erop dat AI-agents zelf ook software zijn met eigen kwetsbaarheden, wat weer nieuwe aanvalspaden kan openen voor kwaadwillenden.

Verbieden werkt niet, sturen wel

Het NCSC benadrukt dat het voor organisaties vrijwel onmogelijk is om de toegang tot alle mogelijke AI-tools te blokkeren. Medewerkers vinden vaak toch wel een weg naar een handige tool als die hen tijd bespaart. De dienst adviseert bedrijven daarom niet alleen in te zetten op verbieden, maar vooral op heldere afspraken: leg vast welke AI-tools wel gebruikt mogen worden, welke gegevens daar wel en niet in mogen, en zorg dat medewerkers zich vrij voelen om te vragen of iets mag in plaats van het stiekem te doen.

Wat dit betekent voor jouw bedrijf

Ook als eigenaar van een klein of middelgroot bedrijf in Nederland is dit onderwerp relevant. AI-tools zoals ChatGPT worden inmiddels op grote schaal gebruikt, ook in bedrijven die er zelf geen beleid voor hebben opgesteld. Zonder duidelijke afspraken loop je het risico dat een medewerker onbewust klantgegevens, wachtwoorden of concurrentiegevoelige informatie in een openbare chatbot plakt. Het is daarom verstandig om samen met je team te bespreken welke tools wel en niet gebruikt mogen worden, en welke informatie daar wel en niet in thuishoort. Wil je hulp bij het veilig inrichten van AI-gebruik binnen je bedrijf, zonder dat het ten koste gaat van de tijdwinst die het je oplevert? Bij Infotrends denken we daar vrijblijvend met je mee tijdens een kennismakingsgesprek. Meer nieuws over AI en wat het betekent voor ondernemers vind je op onze nieuwspagina.

Bronnen: Security.NL en Infosecurity Magazine.