De meeste AI-tools zijn niet gereguleerd: bedrijven lopen risico.

Een nieuwe studie waarschuwt dat het inzetten van tools voor kunstmatige intelligentie zonder toezicht een veiligheidsrisico vormt en gegevens in gevaar brengt.

Het Reco-rapport baseerde zich op informatie verkregen uit openbaar gemaakte kwetsbaarheden, een analyse van 500 Model Context Protocol (MCP)-servers en telemetriegegevens van het Reco-platform. Het rapport onthulde dat vier van de vijf AI- tools (80%) zonder IT-toezicht opereren.

De omvang van de gebruikte AI-toepassingen is bijzonder zorgwekkend. In kleine bedrijven worden 414 AI-tools per 1000 werknemers gebruikt zonder goedkeuring van de IT-afdeling. Deze tools lijken een mix te zijn van browserextensies en workflows die het gebruikelijke beoordelings- en goedkeuringsproces omzeilen.

Risico's voor de dataveiligheid door ongecontroleerde kunstmatige intelligentie

Het uitrusten van werknemers met AI-tools kan de productiviteit verhogen, maar het gebruik ervan moet wel gereguleerd worden. Dit is de belangrijkste conclusie van het rapport , dat een aantal alarmerende cijfers op het gebied van cyberbeveiliging aan het licht brengt. Zo werden bijvoorbeeld 500 proxytools onderzocht en bleek dat "62% ervan lokale gegevens kan lezen en toegang tot het internet kan krijgen". Dit biedt een mogelijkheid tot data-exfiltratie. Deze risico's maken het noodzakelijk om controlemechanismen te overwegen, zoals het noodstopmechanisme dat OpenAI ontwikkelt.

In een verwante context werden in het rapport 637 beveiligingslekken met betrekking tot kunstmatige intelligentie-agenten geïdentificeerd.

Het gebruik van AI gaat verder dan alleen het inzetten van een specifieke SaaS-applicatie of het bezoeken van ChatGPT. Reco ontdekte dat AI-agenten binnen andere tools opereren en gebruikersrechten overnemen. De implicaties hiervan zijn duidelijk. Voor een beter begrip van hoe deze tools worden aangeboden, is het concept van AI as a Service (AI als een service) relevant.

operationele risico's

Uit een analyse van telemetriegegevens – verzameld bij 62 grote bedrijven in de financiële dienstverlening, gezondheidszorg, detailhandel en telecommunicatie tussen 1 januari en 1 augustus 2026 – blijkt een lakse houding ten opzichte van de adoptie van AI. Hoewel bedrijven mogelijk beleid, procedures en processen hebben voor het evalueren, beoordelen en goedkeuren van nieuwe AI-tools, worden deze vaak omzeild als het gaat om toepassingen op een lager niveau.

De regels gelden voor het toezicht op de aankoop van SaaS-oplossingen, maar niet voor browserextensies, met als gevolg "operationele risico's".

Over Klein, CEO van Reco, merkte op: "AI-agenten zijn van het experimentele stadium naar de dagelijkse workflow in bedrijven overgegaan, maar uit onze resultaten blijkt dat slechts 20% van de AI-tools in bedrijfsomgevingen momenteel onder IT-toezicht staat."

Hij voegde eraan toe: "Dit maakt organisaties kwetsbaar voor een nieuwe categorie operationele risico's. Agents die in applicaties zijn ingebouwd, kunnen via bestaande machtigingen werken, OAuth verlenen en toegang krijgen tot workflows. Dit creëert gevaarlijke combinaties die gegevens in gevaar brengen en acties activeren die verder gaan dan waar de eigenaar mee heeft ingestemd."

Organisaties moeten hun IT-teams de middelen bieden om het gebruik van ongeautoriseerde AI-tools te beheren en te beperken. Als dit niet gebeurt, bestaat het risico op datalekken.