AI-adoptie door de Britse overheid: verborgen risico’s en beveiligingslekken blootgelegd

De Britse overheid heeft een van de meest ambitieuze AI-agenda’s ter wereld opgesteld. Nationale strategieën van DSIT en het Cabinet Office. Een Digital Centre of Government. Een AI Playbook. Een nieuw aangekondigd AI Skills Hub dat gratis training op schaal belooft. Op papier doet het Verenigd Koninkrijk alles goed.

In de praktijk is het beeld echter heel anders.

Belangrijkste inzichten

1. Shadow AI groeit binnen de Britse overheid — en niemand heeft er zicht op. Wereldwijd gebruikt 64% van de ambtenaren in omgevingen met weinig ondersteuning persoonlijke logins voor AI op het werk, en 70% gebruikt AI zonder dat hun leidinggevende hiervan op de hoogte is. Twee op de vijf Britse ambtenaren weten niet eens waarvoor ze AI mogen gebruiken, waardoor de voorwaarden voor ongecontroleerd gebruik van shadow AI volledig aanwezig zijn — met als gevolg dat burgergegevens risico lopen zonder audittrail en zonder mogelijkheid tot incident response.
2. Het Verenigd Koninkrijk staat op de 6e plaats van 10 landen ondanks wereldwijde AI-ambitie. Het VK scoorde 47 van de 100 op de Public Sector AI Adoption Index — vóór de VS (45), Duitsland (44) en Japan (43), maar ruim achter Singapore (58), India (58) en Saoedi-Arabië (66). Het verschil zit niet in strategie of intentie. Het zit in de uitvoering: nationale ambitie vertalen naar zelfverzekerd, dagelijks AI-gebruik door ambtenaren in de frontlinie.
3. Meer dan de helft van de Britse ambtenaren heeft geen enkele AI-training gevolgd. Ondanks een score van 51/100 op het gebied van educatie — 6e in de index — geeft 54% van de Britse ambtenaren aan helemaal geen AI-training te hebben gehad. Van degenen die wél getraind zijn, zegt 75% dat AI eenvoudig te gebruiken is, wat bewijst dat training werkt. Het probleem is dat de meeste ambtenaren die nooit krijgen.
4. Adoptie wordt bottom-up gedreven, niet door organisatieleiderschap. In het VK draait AI-adoptie op individuele nieuwsgierigheid en collegiale ondersteuning, niet op organisatiebrede strategie. 46% van de ambtenaren noemt het gebrek aan duidelijke richting vanuit het leiderschap, en collega’s op het werk zijn de belangrijkste bron van informatie over AI — nog vóór formele training of officiële richtlijnen.
5. Embedding is de zwakste score van het VK — en juist die is het belangrijkst. Het VK scoorde slechts 42/100 op embedding, wat betekent dat AI afhankelijk blijft van lokale initiatieven in plaats van systematische ondersteuning. In de index rapporteert 61% van de werknemers in omgevingen met hoge embedding voordelen van geavanceerd AI-gebruik, tegenover slechts 17% waar embedding laag is. Totdat het VK AI in dagelijkse workflows integreert, blijven productiviteitswinsten beperkt tot vroege gebruikers.

De Public Sector AI Adoption Index 2026, uitgebracht door Public First voor het Center for Data Innovation met sponsoring van Google, ondervroeg 3.335 ambtenaren in 10 landen — waaronder 345 in het Verenigd Koninkrijk. Het VK staat zesde van de tien, met een score van 47 uit 100. Daarmee bevindt het zich in de middenmoot, achter Saoedi-Arabië (66), Singapore (58), India (58), Zuid-Afrika (55) en Brazilië (49).

Voor een land met zo’n strategische ambitie en sterke AI-ecosysteem is dat niet goed genoeg. En de data suggereren dat het probleem niet ligt bij wat Whitehall over AI zegt — maar dat de boodschap niet aankomt bij degenen die hem het hardst nodig hebben.

De cijfers waar elke overheids-CISO zich zorgen over moet maken

De index meet hoe ambtenaren AI ervaren op vijf dimensies: enthousiasme, educatie, enablement, empowerment en embedding. Voor het VK laten de scores een personeelsbestand zien dat zich bewust is van het potentieel van AI, maar niet de tools, training of toestemming heeft gekregen om ernaar te handelen:

• Enthousiasme: 47/100 — 8e van de 10. Slechts 43% van de Britse ambtenaren is optimistisch over AI in de publieke sector, en slechts 39% beschrijft AI als empowering.
• Educatie: 51/100 — de sterkste score van het VK, maar misleidend. 54% van de ambtenaren geeft aan geen enkele AI-training te hebben gevolgd. Van degenen die wél getraind zijn, vindt 75% AI eenvoudig te gebruiken — wat bewijst dat training werkt als die er is.
• Empowerment: 49/100 — ongeveer 2 op de 5 ambtenaren weet niet waarvoor ze AI mogen gebruiken, en 46% zegt dat leiders geen duidelijke richtlijnen geven over hoe AI gebruikt moet worden.
• Enablement: 47/100 — tools zijn beschikbaar, maar de toegang is ongelijk verdeeld over afdelingen en sluit vaak niet aan bij dagelijkse behoeften.
• Embedding: 42/100 — AI-gebruik blijft afhankelijk van lokale initiatieven in plaats van systematische ondersteuning. Slechts 17% meldt AI te gebruiken voor geavanceerde of technische taken.

63% van de Britse ambtenaren zegt “een beetje” of “helemaal niets” te weten over AI. Meer dan 2 op de 5 voelt zich niet zeker over het gebruik van AI-tools. Slechts 38% gelooft dat AI effectief wordt ingezet binnen hun team.

Dit zijn niet de cijfers van een personeelsbestand dat AI afwijst. Dit zijn de cijfers van een personeelsbestand dat het zelf maar moet uitzoeken.

Het Shadow AI-probleem dat zich openlijk voordoet

Hier is het resultaat uit de wereldwijde index waar Britse overheidsbeveiligingsleiders zich mee moeten bezighouden.

In omgevingen met weinig enablement binnen de index meldt 64% van de enthousiaste AI-gebruikers persoonlijke logins op het werk te gebruiken, en 70% gebruikt AI voor werktaken zonder dat hun manager het weet.

De enablement-score van het VK is 47/100. De empowerment-score — de maatstaf voor of werknemers zich gemachtigd en duidelijk voelen over wat is toegestaan — is 49/100. Ongeveer 2 op de 5 ambtenaren weet niet waarvoor ze AI mogen gebruiken. Dat is precies de omgeving waarin shadow AI floreert.

Denk na over wat dit in de praktijk betekent voor Britse overheidsafdelingen. Ambtenaren die persoonlijke ChatGPT- of Gemini-accounts gebruiken om beleidsdocumenten op te stellen, dossiers samen te vatten of datasets met burgerinformatie te analyseren. Gevoelige gegevens — waaronder informatie beschermd onder de Britse GDPR en de Data Protection Act 2018 — die mogelijk worden ingevoerd in publieke large language models zonder audittrail, zonder dataclassificatiecontroles en zonder mogelijkheid om achteraf te bepalen wat er is blootgesteld. Beslissingen die worden beïnvloed door AI-uitvoer die niet is gecontroleerd op nauwkeurigheid, bias of geschiktheid. En mogelijke schendingen van gegevensbeschermingsverplichtingen zonder forensisch bewijs om de omvang te beoordelen.

De ironie is groot. Afdelingen die voorzichtig willen zijn met AI door toegang te beperken of te zwijgen over permissies, voorkomen AI-gebruik niet. Ze drijven het juist ondergronds — en creëren daarmee veel meer risico dan afdelingen die goedgekeurde tools met duidelijke gebruiksrichtlijnen aanbieden.

Hier moet het gesprek verschuiven van “mogen we AI toestaan” naar “hoe maken we veilig AI-gebruik mogelijk”. Oplossingen zoals de Secure MCP Server van Kiteworks zijn het soort infrastructuur dat deze kloof kan overbruggen — AI-productiviteit mogelijk maken met tools als Claude, ChatGPT en Copilot, terwijl gevoelige data binnen het private netwerk blijft. Bestaande governance-raamwerken (RBAC/ABAC) gelden voor alle AI-interacties, elke AI-operatie wordt gelogd voor compliance en forensisch onderzoek, en gevoelige inhoud verlaat nooit de vertrouwde omgeving. Voor Britse overheidsorganisaties betekent afstemming op de Britse GDPR, de Data Protection Act 2018 en kaders zoals de Cloud Security Principles van de NCSC dat deze bescherming direct aansluit op bestaande compliance-verplichtingen.

Het alternatief — hopen dat stilte en voorzichtigheid ambtenaren ervan weerhoudt AI te gebruiken — is een illusie die deze index met harde cijfers heeft ontkracht.

De vertaalkloof: Whitehall-ambitie versus de realiteit aan de frontlinie

De Britse overheid heeft niet stilgezeten op AI-gebied. DSIT en het Cabinet Office hebben AI centraal gesteld in de modernisering van de publieke dienstverlening. Het AI Playbook biedt centrale richtlijnen. De nieuw aangekondigde AI Skills Hub wil gratis AI-training uitbreiden. Er is oprechte intentie om verder te gaan dan pilots en specialistische teams richting breder, dagelijks gebruik.

Maar de index laat een duidelijke kloof zien tussen die nationale intentie en de ervaring van ambtenaren in de frontlinie.

Terwijl 60% van de Britse ambtenaren zegt dat het AI-gebruik het afgelopen jaar is toegenomen, blijft adoptie grotendeels beperkt tot basistaken zoals schrijven en analyseren. Minder dan één op de drie gebruikt AI om workflows te verbeteren, en slechts 17% meldt het gebruik ervan voor geavanceerde of technische taken. Het VK heeft een hoge mate van bewustzijn van het potentieel van AI — de meesten zeggen dat AI eenvoudig te gebruiken is (60%), effectief (52%) en geloven dat het tijd kan besparen (66%) — maar veel minder hebben die voordelen daadwerkelijk in hun dagelijkse werk ervaren.

Het cruciale verschil tussen het VK en de geavanceerde gebruikers zit niet in technologie. Het is de infrastructuur van vertrouwen.

In Singapore weet 73% van de ambtenaren precies waarvoor ze AI wel en niet mogen gebruiken, en 58% weet exact bij wie ze terecht kunnen als ze een probleem tegenkomen. Centrale instanties bieden gedeelde platforms, goedgekeurde tools en praktische richtlijnen. In Saoedi-Arabië zorgt een top-down nationale strategie, gekoppeld aan Vision 2030, ervoor dat AI voelt als modernisering in plaats van risico, met 65% die toegang heeft tot AI-tools op ondernemingsniveau en 79% die AI gebruikt voor geavanceerde taken. In India is 83% optimistisch over AI en wil 59% dat het hun dagelijkse werk drastisch verandert.

In het VK daarentegen wordt adoptie momenteel bottom-up gedreven — door individuele nieuwsgierigheid en collegiale ondersteuning, niet door organisatiebrede dynamiek. Collega’s op het werk zijn de belangrijkste bron waarlangs Britse ambtenaren over AI leren, nog vóór formele training of officiële richtlijnen. Dat spontane enthousiasme is waardevol, maar geen vervanging voor systematische enablement.

De ontbrekende laag: AI Data Governance voor de Britse overheid

De uitdaging voor het VK draait niet alleen om training of leiderschapscommunicatie. Het gaat om het ontbreken van een data governance-infrastructuur die veilig AI-gebruik op schaal mogelijk maakt.

De meeste Britse overheidsafdelingen hebben geen zicht op welke data met AI-systemen wordt gedeeld. Welke ambtenaren gebruiken AI, en waarvoor? Bevatten AI-gegenereerde uitkomsten gevoelige informatie die niet extern gedeeld mag worden? Hoe handhaaf je dataclassificatiebeleid als AI-tools betrokken zijn? Voor de meeste afdelingen is het eerlijke antwoord: “we weten het niet”.

Hier worden AI data governance-raamwerken essentieel — niet als barrière voor adoptie, maar als de basis die zelfverzekerde adoptie mogelijk maakt. Data security posture management (DSPM) kan gevoelige data in repositories ontdekken en classificeren, inclusief data die in AI-systemen wordt ingevoerd. Geautomatiseerde beleidsafdwinging kan bevoorrechte of vertrouwelijke data blokkeren voor AI-invoer op basis van classificatielabels. Uitgebreide audit logs kunnen alle AI-data-interacties volgen. En als dit is afgestemd op de Britse GDPR, de Data Protection Act 2018 en het NCSC-advies over cloud- en AI-beveiliging, helpen deze mogelijkheden afdelingen AI-risico’s te beheersen gedurende de gehele levenscyclus van data.

De aanpak van Kiteworks voor deze uitdaging is illustratief. Door DSPM te integreren met geautomatiseerde beleidsafdwinging en onveranderlijke audit logging, kunnen organisaties data taggen op gevoeligheidsniveau — publiek, officieel, officieel-gevoelig, geheim — en die classificaties automatisch afdwingen wanneer AI-tools worden gebruikt. Elke AI-data-interactie wordt vastgelegd met gebruikers-ID, tijdstempel, geraadpleegde data en het gebruikte AI-systeem. Dit is niet alleen een compliance-oefening; het is de infrastructuur die zelfverzekerde AI-adoptie op schaal mogelijk maakt.

Zonder deze laag vliegen Britse overheidsafdelingen blind op AI-risico’s. Met deze laag kunnen ze vol vertrouwen “ja” zeggen tegen AI-gebruik, wetende dat burgerdata beschermd is — precies waar ambtenaren om vragen.

Waar Britse ambtenaren om vragen

Het Britse factsheet laat een personeelsbestand zien dat klaar is, maar wacht. Ambtenaren hoeven niet overtuigd te worden van het potentieel van AI — de meesten geloven al dat het tijd kan besparen (66%), en 60% zegt dat het eenvoudig te gebruiken is. Wat ze nodig hebben, is de duidelijkheid en infrastructuur om op dat geloof te kunnen handelen.

De indexdata uit de VS — waar ambtenaren direct werd gevraagd wat meer AI-gebruik zou stimuleren — geeft een duidelijk signaal dat ook voor het VK geldt. Duidelijke, praktische richtlijnen (38%), eenvoudigere tools (36%) en zekerheid over gegevensprivacy (34%) staan bovenaan de lijst. Een toegewijd budget staat onderaan met 12%.

In het VK vertelt de data een consistent verhaal. 46% noemt het gebrek aan duidelijke richting vanuit het leiderschap. 54% heeft geen training ontvangen. Ongeveer 2 op de 5 weet niet wat ze met AI mogen doen. En 44% zegt dat training in hun organisatie als bijzaak voelt.

Ambtenaren vragen niet om grootschalige nieuwe programma’s. Ze vragen om duidelijkheid, gebruiksgemak en vertrouwen — zaken die via beleid, communicatie en slimme inkoop kunnen worden geleverd.

Waarom embedding belangrijker is dan wat dan ook

Het VK scoorde 42/100 op embedding — wat duidt op vroege of ongelijke integratie, waarbij AI-gebruik afhankelijk blijft van lokale initiatieven in plaats van systematische ondersteuning. Dat is een probleem, want de indexdata laat zien dat embedding de dimensie is die de meeste waarde ontsluit.

In alle landen rapporteert 61% van de werknemers in omgevingen met hoge embedding voordelen van het gebruik van AI voor geavanceerd of technisch werk, tegenover slechts 17% waar embedding laag is. Embedding zorgt ook voor gelijke kansen tussen leeftijdsgroepen: In omgevingen met hoge embedding meldt 58% van de ambtenaren van 55 jaar en ouder dat ze meer dan een uur tijd besparen met AI, tegenover slechts 16% in omgevingen met lage embedding.

Het VK bevindt zich momenteel aan het verkeerde uiteinde van dit spectrum. Slechts 17% van de ambtenaren meldt AI te gebruiken voor geavanceerde of technische taken. Totdat AI wordt verweven in de systemen en workflows die ambtenaren al gebruiken, blijft de productiviteitsbelofte van de AI-agenda van de overheid theoretisch.

Drie prioriteiten die het tij kunnen keren

De index wijst op drie acties die samen snel de AI-adoptie binnen de Britse publieke sector kunnen verhogen.

Ten eerste: maak toestemming expliciet en operationeel — ondersteund door veilige infrastructuur. Het AI Playbook en nationale strategieën moeten worden versterkt met consistente, zichtbare signalen vanuit het afdelingsleiderschap. Maar toestemming zonder bescherming creëert risico. Afdelingen moeten enterprise AI-oplossingen inzetten met dataprotectiecontroles, governance-raamwerken en uitgebreide logging — zodat gevoelige data nooit de vertrouwde omgeving verlaat. Platforms zoals de Secure MCP Server van Kiteworks laten zien hoe dit in de praktijk werkt: AI-productiviteit mogelijk maken met tools als Claude, ChatGPT en Copilot, terwijl de data governance-controles behouden blijven die Britse overheidsorganisaties vereisen. Als ambtenaren weten dat de tools die ze gebruiken goedgekeurd, compliant en gemonitord zijn, maakt aarzeling plaats voor vertrouwen.

Ten tweede: bouw vertrouwen op basis van bewijs en incident readiness. Britse ambtenaren erkennen het potentieel van AI, maar minder dan twee op de vijf beschrijven het als empowering. Het delen van concrete praktijkvoorbeelden — waarin AI administratieve lasten heeft verminderd, betere triage van dienstverlening mogelijk heeft gemaakt of beleidsanalyse heeft ondersteund — zou AI tastbaar maken in plaats van theoretisch. Maar vertrouwen vereist ook weten wat er gebeurt als er iets misgaat. Denk aan het scenario: een ambtenaar plakt per ongeluk duizenden National Insurance-nummers in een publieke AI-tool voor data-analyse. De data bevindt zich nu in de systemen van de aanbieder — mogelijk voor onbepaalde tijd opgeslagen of blootgesteld aan andere gebruikers. Kan de afdeling beantwoorden wat er is blootgesteld, wanneer, door wie en welke andere gevoelige data is gedeeld? Zonder onveranderlijke audit logs, SIEM-integratie voor realtime monitoring en chronologische documentatie is het antwoord nee. Incident response-mogelijkheden voor AI-specifieke scenario’s zijn niet optioneel — ze zijn de toegangseis voor verantwoord gebruik.

Ten derde: verschuif van bewustzijn naar vertrouwen via rolgerichte training. De nieuwe AI Skills Hub van het VK is een stap in de goede richting, maar de indexdata laat zien dat introductietrainingen niet voldoende zijn. 44% van de ambtenaren zegt dat training als bijzaak voelt. Korte, praktische trainingen die zijn afgestemd op specifieke rollen — waarin wordt getoond hoe AI taken ondersteunt die ambtenaren al uitvoeren, met sjablonen, gedeelde prompts en uitgewerkte voorbeelden — overbruggen de kloof tussen bewustzijn en zelfverzekerd gebruik. Samenwerken met vertrouwde technologiepartners kan helpen training op schaal te leveren, terwijl ook de zekerheid wordt geboden over beveiliging en gegevensbescherming die ambtenaren nodig hebben.

De inzet is groter dan de ranglijst

Dat het VK zesde staat in deze index is teleurstellend gezien het nationale ambitieniveau, maar de echte kosten zijn niet reputatiegebonden. Ze zijn operationeel. Elke dag dat ambtenaren geen veilige, goedgekeurde AI-tools hebben, is weer een dag waarop overheidsdata via persoonlijke accounts zonder toezicht stroomt. Elke week zonder duidelijke, afdelingsbrede richtlijnen is weer een week waarin productiviteitswinst onbenut blijft. Elke maand zonder ingebedde AI-governance is weer een maand waarin de kloof tussen de AI-ambitie van het VK en de realiteit in de publieke sector groter wordt.

Shadow AI is er al. Zeventig procent van de ambtenaren wereldwijd gebruikt AI; velen doen dit buiten goedgekeurde kanalen om. De combinatie van hoge bekendheid, lage enablement en onduidelijke permissies in het VK creëert de perfecte omstandigheden voor ongeoorloofd AI-gebruik — waardoor burgergegevens risico lopen onder de Britse GDPR en de Data Protection Act 2018.

De 345 Britse ambtenaren die in deze index zijn ondervraagd, geven een duidelijke boodschap: Geef ons de richtlijnen, geef ons de veilige tools en ga uit de weg. De vraag is of overheidsleiders luisteren — en of ze bereid zijn het shadow AI-probleem op te lossen voordat het uitgroeit tot een volledige gegevensbeschermingscrisis.