Verborgen kunstmatige intelligentie: niet alleen een veiligheidsprobleem, maar ook een juridische kwestie onder EU-recht.

Het ernstigste cyberbeveiligingsincident waarmee uw organisatie dit jaar te maken kan krijgen, veroorzaakt door kunstmatige intelligentie , zal waarschijnlijk niet afkomstig zijn van externe aanvallers die gebruikmaken van geavanceerde nieuwe modellen. Het zal hoogstwaarschijnlijk beginnen met een medewerker die een klantcontract, een financiële prognose of een set HR-gegevens in een AI-tool plakt omdat het zijn of haar werk makkelijker maakt, zonder dat iemand uitlegt waarom het belangrijk is.

Schaduw-AI is een groeiend probleem, en ons onderzoek heeft uitgewezen dat bijna de helft van de werknemers bij grote bedrijven regelmatig gevoelige bedrijfsgegevens invoert in AI-tools die niet zijn goedgekeurd of beheerd door hun IT-afdelingen.

Nog verontrustender is dat 85% van de werknemers dit gedrag voortzet, zelfs wanneer er door het bedrijf goedgekeurde tools beschikbaar zijn. Dit wijst op een falend bestuur dat tot in de hoogste directieniveaus reikt. Met behulp van heimelijke AI kunnen gevoelige gegevens ongemerkt via kanalen naar buiten sijpelen die de meeste beveiligingssystemen niet kunnen onderscheppen.

Naast de veiligheidsrisico's die deze ongecontroleerde datastroom met zich meebrengt, betekent de invoering van de EU AI-wetgeving ook dat organisaties nu te maken hebben met specifieke wettelijke vereisten voor het beheer van AI-gebruik. De mogelijkheid om alomvattende governance af te dwingen over hoe AI wordt ingezet, beheerd en gemonitord, is een cruciale wettelijke en veiligheidsvereiste geworden.

Waarom maakt de AI-wetgeving van de EU dit tot een kwestie op bestuursniveau?

Schaduw-AI vormt een ernstige bedreiging voor de beveiliging. Volgens het IBM-rapport '2026 Cost of Data Breach' waren ongeautoriseerde tools vorig jaar verantwoordelijk voor 43% van de datalekken. De EU-wetgeving inzake kunstmatige intelligentie voegt nu aanzienlijke wettelijke eisen toe aan deze risico's.

De wettelijke verplichtingen zijn stapsgewijs ingevoerd; meest recentelijk zijn organisaties die als publieke gebruikers van kunstmatige intelligentie worden aangemerkt, vanaf 2 augustus 2026 gebonden aan nieuwe eisen met betrekking tot inventarisatie, gegevensbeheer, auditregistratie en transparantie.

Andere deadlines zijn uitgesteld. Regelgeving met betrekking tot het gebruik van risicovolle kunstmatige intelligentie, die gebieden zoals werving, kredietbeoordeling en biometrische beoordeling omvat, zal nu naar verwachting op 2 december 2027 van kracht worden. AI die is ingebed in gereguleerde producten zal vanaf 2 augustus 2028 onder de regelgeving vallen.

Elke organisatie waarvan de medewerkers gebruikmaken van systemen met kunstmatige intelligentie, heeft nu verplichtingen ten aanzien van de naleving van regelgeving als implementeerder, ongeacht of die systemen officieel zijn goedgekeurd.

Alle organisaties die kunstmatige intelligentie gebruiken, moeten zich ervan bewust zijn dat de verplichting tot AI-geletterdheid onder artikel 4 sinds februari 2025 van kracht is. Dit betekent dat organisaties verantwoordelijk zijn voor het waarborgen dat hun medewerkers op de hoogte zijn van het veilige en geautoriseerde gebruik van AI.

De regels voor het gebruik van risicovolle kunstmatige intelligentie zullen niet beperkt blijven tot wat op het eerste gezicht lijkt, maar zullen bredere toepassingen omvatten, zoals een werknemer die een niet-goedgekeurde consumententool (zoals AI-applicaties ) gebruikt voor taken als het beoordelen van cv's, het inschatten van kredietwaardigheid of het evalueren van prestaties.

Dit zijn veelvoorkomende taken die aanleiding kunnen geven tot volledige wettelijke bevoegdheden tegen een systeem waarvan de IT-afdeling zich niet eens bewust was dat het het had geïmplementeerd.

Met boetes die kunnen oplopen tot €15 miljoen of 3% van de wereldwijde jaaromzet voor ernstige overtredingen, nemen veel organisaties meer risico dan ze beseffen.

Waarom kan uw huidige beveiligingsinfrastructuur dat niet detecteren?

De uitdaging met heimelijke kunstmatige intelligentie is dat deze blinde vlekken tussen traditionele beveiligingslagen benut en door openingen glipt die de meeste tools niet kunnen dichten.

CASB-oplossingen en beveiligde webgateways kunnen bijvoorbeeld geen conversatiegegevens decoderen die via HTTPS naar legitieme LLM-domeinen stromen. Vanuit netwerkperspectief is een router met een volledige klantendatabase niet te onderscheiden van elke andere versleutelde websessie. Bovendien zijn browserextensies beperkt tot beheerde eindpunten en hebben ze geen toegang tot persoonlijke apparaten en de AI die is ingebed in legitieme SaaS-applicaties.

Op dezelfde manier zijn API-gateways doorgaans gebouwd rondom goedgekeurde bedrijfsimplementaties, wat betekent dat ze AI-activiteiten registreren die al door de organisaties zijn goedgekeurd, terwijl consumentgerichte AI-tools die het grootste risico vormen, worden genegeerd.

Deze blinde vlekken versterken elkaar, waardoor een organisatie die alle drie de lagen beheert, nog steeds geen volledig inzicht heeft in AI-activiteiten binnen een groot deel van haar systemen en geen middelen heeft om interactielogboeken of bewijsmateriaal voor beleidshandhaving te creëren, zoals wettelijk vereist.

Hoe ziet het ontdekken van effectieve kunstmatige intelligentie eruit?

De datastromen van AI worden doorgaans beheerd door medewerkers die hun taken uitvoeren zonder kwade bedoelingen. Dit is echter vergelijkbaar met het verdedigen tegen een externe dreiging die mogelijk heimelijk toegang krijgt tot uw gegevens.

De logica van detectie moet aansluiten bij deze realiteit. Authentieke endpointdetectie onderschept gevoelige gegevens op het moment van overdracht, voordat ze een extern AI-systeem bereiken, en handhaaft beleid op routerniveau voor beheerde en onbeheerde browsers, persoonlijke apparaten en AI-functies die zijn ingebed in SaaS-tools. Het werkt waar de activiteit plaatsvindt, in plaats van te proberen deze in een later stadium te detecteren.

Gezien de mogelijke hoogte van de boetes is het kunnen aantonen van naleving net zo belangrijk als het voorkomen van beveiligingslekken.

Continue detectie van alle systemen, inclusief ongeautoriseerde tools, biedt organisaties de wettelijk verplichte inventarisatie van AI-systemen.

Gedetailleerde interactielogboeken – die laten zien wie wat wanneer heeft gebruikt en welke gegevens daarbij betrokken waren – voldoen aan de documentatievereisten van de artikelen 12 en 13, waardoor teams niet langer wanhopig hoeven te proberen activiteiten te reconstrueren nadat deze hebben plaatsgevonden. Deze logboeken brengen ook nauwkeurig lacunes in de AI-kennis aan het licht, waardoor naleving van artikel 4 aantoonbaar is in plaats van slechts een bewering.

Praktische stappen voor naleving

Beveiligings- en compliance-teams die willen voldoen aan de EU-wetgeving inzake kunstmatige intelligentie, vinden hier een duidelijk stappenplan.

Het uitgangspunt is het creëren van een uitgebreide kaart van alle AI-middelen. De openbaarmaking moet verder gaan dan de tools die door de IT-afdeling zijn goedgekeurd en ook onbeheerde endpoints, persoonlijke apparaten die zijn verbonden met bedrijfsnetwerken en AI die is ingebed in Software as a Service (SaaS)-oplossingen omvatten.

Databeheer moet naar de rand van het netwerk verplaatst worden. Beleidsregels die het delen van gevoelige gegevens met niet-goedgekeurde tools verbieden, zijn geen technische beveiligingsmaatregelen, en tegen de tijd dat deze beleidsregels aan de rand van het netwerk worden afgedwongen, zijn de gegevens al vertrokken.

Het is belangrijk om te onthouden dat informatie die met een extern AI-systeem wordt gedeeld, kan worden opgeslagen in promptlogs, verwerkt in trainingsdata van modellen of opgeslagen op servers in rechtsgebieden waar de organisatie geen toegang toe heeft. Zodra de gegevens deze drempel overschrijden, verliest de organisatie de volledige controle erover en kan geen enkel beleidsdocument ze meer herstellen. Dit verhoogt het risico op cyberaanvallen door AI.

Aangezien artikel 12 vereist dat interactiegegevens worden vastgelegd en op verzoek aan toezichthouders kunnen worden overhandigd, zullen organisaties voortdurende, geautomatiseerde audits moeten uitvoeren van zowel beveiligingsactiviteiten als -procedures.

Ten slotte zouden AI-geletterdheidsprogramma's, gericht op het vergroten van het bewustzijn van gebruikers, gebaseerd moeten zijn op gedragsgegevens in plaats van algemene trainingsprogramma's. Activiteitenlogboeken die tekortkomingen in het bestuur aan het licht brengen – zowel op het hoogste leiderschapsniveau als elders – bieden zowel een diagnose van het probleem als het bewijsmateriaal dat toezichthouders willen zien.