Shadow AI-incidenten treffen één op de vijf organisaties

Uw AI-governancebeleid doet er niet toe als een medewerker een AI-tool toegang kan geven tot Microsoft 365 voordat IT er ooit van hoort. Dat is de ongemakkelijke kern van nieuw onderzoek van DNSFilter, waaruit blijkt dat 20,1 procent van de ondervraagde organisaties al een beveiligingsincident heeft gehad dat te herleiden is tot een niet-goedgekeurde AI-verbinding. Deze bevinding staat naast een tweede cijfer dat lastiger te verklaren is. Meer dan de helft van diezelfde organisaties zegt namelijk AI-governance of monitoringcontroles te hanteren.

DNSFilter publiceerde de bevindingen op 3 november 2026 in The Cost of Shadow AI, onderdeel van hun 2026 Visibility Deficit-enquêteserie. Het bedrijf ondervroeg 400 IT- en cybersecurityprofessionals op managementniveau en hoger, bij bedrijven met 150 tot 5.000 medewerkers in de VS en Canada, van 15 tot 26 juni 2026, in samenwerking met onderzoeksbureau Censuswide. Dit zijn zelfgerapporteerde antwoorden verzameld door een leverancier van DNS-filtering, dus ze beschrijven wat respondenten zeggen, niet wat een audit zou aantonen. Zie het als een sterke richtinggevende indicatie over Noord-Amerikaanse middelgrote organisaties, niet meer dan dat.

Voor een CISO of Chief Compliance Officer is het signaal duidelijk. De controle waar toezichthouders en auditors naar zullen vragen, is niet het beleidsdocument. Het is het bewijs dat elk AI-systeem dat gevoelige content aanraakt, geautoriseerd, beperkt en gelogd was, en dat u dat bewijs binnen enkele dagen kunt overleggen. Kiteworks secure data exchange is gebouwd rondom dat bewijsprobleem, en de rest van deze post legt uit waarom de cijfers van DNSFilter de urgentie onderstrepen.

Belangrijkste inzichten

1. Eén op de vijf organisaties heeft al een shadow AI-incident gehad.

Uit de enquête van DNSFilter blijkt dat 20,1 procent van de respondenten een beveiligingsincident koppelde aan een niet-goedgekeurde AI-verbinding.

2. Governancecontroles en niet-goedgekeurde verbindingen bestaan naast elkaar.

Van de respondenten gebruikt 54,0 procent AI-governance of monitoringcontroles, maar toch had 46,1 procent een medewerker die een niet-goedgekeurde AI-tool koppelde aan Google Workspace, Microsoft 365 of single sign-on.

3. Achterafmelding is het dominante goedkeuringsmodel.

DNSFilter ontdekte dat 43 procent van de organisaties pas na het verlenen van AI-toegang, of zelfs nooit, hiervan op de hoogte raakt.

4. Agent-sprawl is de volgende versie van hetzelfde probleem.

Adviseurs van Morgan Stanley deden bijna 50.000 pogingen om AI-agents te bouwen, en agents die niemand adopteerde, worden niet volledig beoordeeld.

5. Bewijs wint van beleid.

Toezichthouders reguleren data, geen modellen, dus de verdedigbare positie is een registratie die laat zien wie of wat welke content heeft benaderd, onder welk beleid, met welk resultaat.

Wat de DNSFilter-enquête daadwerkelijk heeft gemeten

De kop is de 20,1 procent. Ongeveer één op de vijf respondenten gaf aan dat een niet-goedgekeurde AI-verbinding al tot een beveiligingsincident had geleid. Het persbericht vermeldt niet hoe respondenten “incident” definieerden, dus het cijfer moet niet als datalekpercentage worden gelezen. Het is het percentage respondenten dat iets heeft meegemaakt dat hun organisatie als beveiligingsincident classificeerde.

Het tweede cijfer verklaart hoe die incidenten ontstaan. In de enquête had 46,1 procent van de organisaties een medewerker die een niet-goedgekeurde AI-tool koppelde aan Google Workspace, Microsoft 365 of hun single sign-on provider. Op die drie platforms staat gevoelige zakelijke content, dus een niet-goedgekeurde AI-verbinding daar is geen marginaal browserexperiment. Het is een nieuwe partij met een OAuth-machtiging op de systemen die contracten, klantgegevens en gereguleerde data bevatten.

Bedenk wat die machtiging in de praktijk betekent. Een medewerker klikt op “Toestaan” in een toestemmingsscherm. De AI-tool leest nu e-mail, bestanden of agenda-informatie onder de identiteit van die medewerker, voor onbepaalde tijd, totdat iemand het intrekt. Er is geen ticket aangemaakt en geen beveiligingsreview uitgevoerd. Vanuit het perspectief van de identiteitsprovider is de toegang legitiem, omdat de gebruiker het heeft goedgekeurd.

Dat is het autorisatiegat, en daarom bepalen permissies niet wat AI mag gebruiken. Identiteitssystemen beantwoorden de vraag “heeft deze gebruiker deze app goedgekeurd?” Ze beantwoorden niet de vraag “mag deze app, namens deze gebruiker, deze content lezen?” Het verschil tussen die twee vragen is waar shadow AI ontstaat.

Waarom beleid faalt bij het toestemmingsscherm

De data van DNSFilter over goedkeuringsworkflows is het meest waardevolle deel van het rapport. Van de organisaties waarvan medewerkers AI-tools gebruiken voor werk, laat 36,8 procent medewerkers zelf OAuth- of API-toegang verlenen en IT achteraf informeren. Nog eens 6,5 procent stuurt helemaal geen melding. Samen stelt de enquête het aandeel dat pas na het verlenen van AI-toegang, of nooit, hiervan op de hoogte raakt op 43 procent.

Lees die cijfers als een architectuur, niet als een gebrek aan discipline. Een organisatie die medewerkers zichzelf laat goedkeuren en IT later laat informeren, kiest voor snelheid boven review, meestal om goede zakelijke redenen. Het probleem is dat het notificatiemodel alleen een registratie van de machtiging oplevert, niet een beslissing over welke content de machtiging blootstelt.

De andere helft van de puzzel is het aantal controles. Met 54,0 procent van de respondenten die AI-governance of monitoringcontroles uitvoeren, zou je verwachten dat niet-goedgekeurde verbindingen zeldzaam zijn. Toch meldt bijna de helft er één. De eerlijke lezing is dat monitoring alleen laat zien dat er een verbinding bestaat, terwijl governance bepaalt wat die verbinding mag benaderen. De meeste organisaties investeren in het eerste. Dat is de kloof tussen detectie en controle die maar weinig programma’s hebben gedicht.

Dat onderscheid is belangrijk voor auditrisico. Een auditor vraagt niet of u AI-verkeer kunt zien. Een auditor vraagt of u kunt aantonen dat toegang tot een gereguleerd record geautoriseerd was, dat de autorisatie werd afgedwongen op het moment van toegang, en dat een niet-manipuleerbaar log het heeft vastgelegd. Een dashboard dat het aantal gekoppelde AI-tools telt, beantwoordt geen van die vragen.

De zichtbaarheidsgap is groter dan leiders denken

De CEO van DNSFilter, Ken Carnesi, deed een opmerkelijke uitspraak. Ongeveer één op de zeven organisaties op het netwerk van DNSFilter ziet meer dan 10 AI-tools in gebruik, terwijl minder dan één op de honderd IT-leiders denkt dat dit in hun omgeving gebeurt. Het volledige rapport onderbouwt beide kanten. De netwerkdata beslaan 3,4 miljard verzoeken aan generatieve AI-tools van meer dan 43.000 Noord-Amerikaanse organisaties in augustus 2026. Bij het tellen van verschillende AI-leveranciers op een standaard werkdag ziet de gemiddelde organisatie er vijf, en 15,2 procent ziet er meer dan 10. In de enquête gaf slechts 0,5 procent van de IT-professionals aan dat hun medewerkers meer dan 10 AI-tools gebruiken, waardoor het netwerkcijfer 30 keer zo hoog is als het zelfgerapporteerde.

Let op wat het netwerkcijfer meet. Het telt verschillende AI-leveranciers die in DNS-verkeer verschijnen, dus het toont gebruik, niet per se een goedgekeurde of geautoriseerde integratie. Beide cijfers komen ook van DNSFilter, waarvan de netwerkdata afkomstig zijn van eigen klanten en het rapport eindigt met een uitnodiging om hun product te proberen. Geen van beide is onafhankelijk. Toch komt de richting overeen met wat praktijkmensen elders melden, en daarom verdient het punt aandacht in plaats van afwijzing.

De controlekant oogt mager in hetzelfde rapport. Van al dat verkeer werd slechts 0,75 procent van de generatieve AI-verzoeken geblokkeerd, en DNSFilter concludeert daaruit dat de meeste organisaties de controle waarvoor hun governancebudget bedoeld was, niet daadwerkelijk uitoefenen. Daarnaast kan 61,5 procent van de respondenten niet bevestigen dat elke beveiligingstool in hun omgeving correct is geconfigureerd, en 61,8 procent kan niet zeggen dat elke tool actief wordt gemonitord. AI toestaan is een legitieme beleidskeuze. Het standaard toestaan, zonder bewuste beslissing, is iets anders.

Het 2026 Data Breach Investigations Report van Verizon biedt een steviger blik op hetzelfde gedrag. Op basis van data loss prevention-logs in plaats van een enquête, bleek dat 67 procent van de gebruikers AI-diensten benadert via niet-zakelijke accounts op zakelijke apparaten, en dat 45 procent van de medewerkers nu regelmatig AI gebruikt op zakelijke apparaten, tegenover 15 procent het jaar ervoor. Shadow AI werd de op twee na meest voorkomende niet-malafide interne actie in de dataset, een verviervoudiging.

Zet de twee bronnen naast elkaar en er ontstaat een patroon. Het gebruik van AI op het werk is geen uitzondering meer, en een groot deel verloopt via accounts die de organisatie niet kan zien of beheren, een verschuiving die beveiligingsteams nu omschrijven als shadow AI die naar de browser verhuist. De cijfers van Verizon beschrijven het datavenster van oktober 2024 tot november 2025, en zijn afkomstig uit incident- en DLP-data die deelnemers vrijwillig deelden, dus het is geen volledige telling. Het is echter wel een andere methode die tot een vergelijkbare conclusie komt.

Het praktische gevolg voor een Chief Compliance Officer is dat “we hebben een AI-beleid” en “we weten waar AI gereguleerde data aanraakt” twee verschillende beweringen zijn. Alleen de tweede overleeft een vervolgvraag van de toezichthouder.

Agent-sprawl bij Morgan Stanley is het voorproefje

Shadow AI gaat niet alleen over medewerkers die tekst plakken in een chatbot. De volgende laag is medewerkers die agents bouwen. American Banker meldde op 2 november 2026 dat adviseurs van Morgan Stanley bijna 50.000 pogingen hebben gedaan om AI-agents te bouwen via natuurlijke taalopdrachten, meestal om routinetaken te automatiseren.

Het detail dat telt, zit in wat er daarna gebeurt. Koren Maranca, hoofd AI van de wealth management-divisie van het bedrijf, vertelde: “Soms bouwt iemand een agent, gebruikt die twee keer, en raakt hem daarna nooit meer aan.” Agents die door het team van een adviseur worden overgenomen, gaan volgens het artikel na gebruik door review en goedkeuring, terwijl verweesde agents niet volledig worden beoordeeld.

Morgan Stanley is een goed gefinancierde, streng gereguleerde onderneming en beschrijft zijn controles als op orde. Het voert ook een grote reviewoperatie uit, met meer dan 1.000 mensen die modeluitvoer beoordelen voordat het bedrijf naar productie ging, en meldt dat ongeveer de helft van de adviseursvragen nu eerst door een AI-agent wordt afgehandeld. Dit is een bedrijf dat het serieus aanpakt. Toch laat het review-na-gebruik-model een populatie achter van verlaten agents waarvan de toegang is verleend en nooit meer is herzien.

Let op de parallel met de bevinding van DNSFilter. In beide gevallen wordt eerst toegang verleend en daarna beoordeeld. In beide gevallen blijft een blijvende machtiging gekoppeld aan een menselijke identiteit bestaan. Een vergeten agent heeft net zo goed credentials als een vergeten OAuth-machtiging.

Daarom moeten agents worden beheerd naast de mensen die ze maken, onder dezelfde beleid-engine en hetzelfde auditrecord. Een agent is geen apart risicotype dat een eigen programma vereist. Hij handelt namens een persoon, erft het bereik van die persoon en moet beperkt blijven tot diens autorisatie en niet verder. Het onderliggende probleem is gedelegeerde autoriteit in AI-workflows, en dat vraagt om een benoemde eigenaar. Elke aanpak die agents ongemoeid laat tot er een nieuwe tool verschijnt, beschrijft het probleem verkeerd, want de onderliggende toegangscontroles bestaan al en moeten gewoon worden toegepast.

Praktijkmensen zien het, en beleid alleen lost het niet op

Een vierde bron voegt het perspectief van de praktijk toe. O’Reilly’s enquête onder 209 securityprofessionals, gehouden in september 2026, liet zien dat 49 procent het lekken van gevoelige data door medewerkers via commerciële AI-tools als grootste zorg noemt, gelijk met overmatige afhankelijkheid van onbewezen AI-output. De steekproef is klein en zelfselecterend, zonder vermelde foutmarge, dus het ondersteunt richting, geen precisie.

In die steekproef werd shadow AI als wijdverspreid gemeld door 17 procent van de respondenten bij organisaties met een uitgebreid AI-beleid, tegenover 35 procent waar het beleid basaal was en 37 procent waar er geen beleid was. De subgroepen zijn klein en hun omvang is niet bekend, en de relatie is een associatie, geen bewijs dat beleid tot minder shadow AI leidt. Toch suggereert de kloof dat de kwaliteit van beleid ertoe doet, en dat een dun beleid ongeveer net zo slecht presteert als geen beleid.

Agents komen ook terug in dezelfde enquête. Gevraagd naar het meest zorgwekkende agentrisico, koos 28 procent voor te ruime permissies of onduidelijk eigenaarschap, het grootste aandeel van alle opties. Onduidelijk eigenaarschap is het verantwoordingsvacuüm dat de verweesde agents van Morgan Stanley illustreren. Iemand bouwde de agent, niemand is eigenaar, en de permissies blijven bestaan.

Hier hoort een kanttekening bij, in de geest van kritisch omgaan met leveranciersdata. Vorlon’s 2026 CISO Report, een door een leverancier gesponsorde enquête onder 500 Amerikaanse CISO’s gehouden in januari en februari 2026, vond dat 30,4 procent verdachte AI-agentactiviteit had ervaren in 2025, en 86,8 procent zei niet te kunnen zien welke data AI-tools uitwisselen met SaaS-applicaties. De steekproef is alleen VS en de leverancier verkoopt in deze categorie. De consistentie over vier verschillende steekproeven, methoden en sponsors is overtuigender dan één enkel cijfer.

Het geld verschuift naar governance, en bewijs is de toets

Budgetten bevestigen dat leiders de druk voelen. DNSFilter meldt dat 74,5 procent van de respondenten een groter cybersecuritybudget heeft dan 12 maanden geleden, 18,8 procent hun budget met meer dan 10 procent heeft verhoogd, en 40,3 procent AI-beveiliging en governance als bestemming noemt voor de volgende extra beveiligingsuitgave, tegenover 25,5 procent voor cloudbeveiliging. De intentie om te besteden is niet hetzelfde als effectief besteden, en de enquête kan niet aangeven welke aankopen het gat zullen dichten.

Ook binnen compliancefuncties stijgen de uitgaven aan AI. Compliance Week meldde op basis van onderzoek van S-RM dat 78 procent van 225 complianceprofessionals verwacht dat de uitgaven aan AI-ondersteunde compliance- en zorgvuldigheidstools de komende een tot twee jaar met circa 24 procent zullen stijgen, van ongeveer $337.000 naar $416.000. Het volledige artikel staat achter een betaalmuur, dus alleen de openingscijfers worden hier genoemd, en ze meten verwachtingen, geen resultaten.

Zet die twee budgetsignalen naast elkaar en het beeld is duidelijk. Securityleiders zullen AI-governance financieren, en compliance-teams zullen meer gevoelige documenten aan AI-systemen toevertrouwen. Beide bewegingen vergroten het aantal keren dat AI gereguleerde content aanraakt, wat de waarde van bewijs dat elke toegang geautoriseerd was, verhoogt.

Hier is de toets voor elke investering. Stel dat een toezichthouder, auditor of tegenpartij vraagt hoe een AI-systeem op een bepaalde dag toegang kreeg tot een specifiek record. Kunt u binnen enkele dagen aantonen welke identiteit het aanvroeg, welk beleid het toestond, welke content werd teruggegeven en welk log het vastlegde? Als het antwoord weken kost door logs uit verschillende tools te moeten combineren, ging het geld naar zichtbaarheid, niet naar governance.

Toezichthouders reguleren data, geen modellen. HIPAA maakt niet uit of een mens of een AI-agent het record las, en dat geldt ook voor andere kaders die financiële, defensie- en privacydata reguleren. De verplichting om toegang te controleren en te bewijzen volgt de data, waar AI die ook naartoe brengt.

Stuur op de datalaag, niet alleen de AI-tool

Als het probleem de afstand is tussen “de gebruiker keurde deze app goed” en “deze app mag deze content lezen”, ligt de oplossing waar de content wordt benaderd. Dat betekent beleidshandhaving op de datalaag, toegepast op elk verzoek volgens zero trust beveiligingsprincipes, of de aanvrager nu een persoon is, een assistent die voor een persoon werkt, of een agent die door een persoon is gebouwd.

Dit is het ontwerpprincipe achter Kiteworks Compliant AI en de Secure MCP Server. De MCP Server laat AI-assistenten zoals Claude en Copilot werken met content in Kiteworks via het Model Context Protocol. Authenticatie gebruikt OAuth 2.0, en elke handeling wordt beoordeeld op basis van rolgebaseerde en op attributen gebaseerde toegangscontroles in de Kiteworks Data Policy Engine, zodat een AI de rechten van de gebruiker overneemt waarvoor hij optreedt en deze niet kan overschrijden. Elke toegang wordt vastgelegd in een uniforme audit log, het bewijs waar een auditor om vraagt.

Twee kenmerken van dat ontwerp beantwoorden de bevindingen van DNSFilter direct. Ten eerste wordt autorisatie per verzoek gecontroleerd, niet slechts één keer bij het maken van de verbinding, zodat een blijvende OAuth-machtiging geen blijvend recht wordt op alles wat de gebruiker kan bereiken. Ten tweede wordt in het auditrecord de toegang toegeschreven aan een specifiek AI-systeem dat optreedt namens een specifieke gebruiker, waardoor de “de AI had toegang”-onduidelijkheid verdwijnt die incident response en toezichthoudende onderzoeken vertraagt. Governance hangt af van dat bewijs, want je kunt niet beheren wat je niet kunt toeschrijven.

Kiteworks zat niet in de datapaden van een van de genoemde enquêtes of bedrijven in deze post, en de architectuur vervangt geen discoverytools die ongeoorloofde verbindingen opsporen. Detectie van shadow AI en handhaving op de contentlaag zijn verschillende taken. Organisaties hebben beide nodig, en de tweede levert het bewijs waar toezichthouders om vragen.

Voor lezers die een programma opzetten, rust de architectuur op een paar concrete praktijken die u op volgorde kunt doorlopen.

1. Maak een inventaris van de bestaande OAuth- en API-machtigingen op Google Workspace, Microsoft 365 en uw identiteitsprovider, en trek alle in waarvoor geen business owner zich meldt.
2. Vervang achteraf melden door vooraf goedkeuren voor AI-integraties die gereguleerde content kunnen benaderen, en geef goedkeuringen een beperkte geldigheidsduur.
3. Wijs elke AI-agent een benoemde eigenaar toe, en laat agents waarvan het gebruik binnen een bepaalde periode uitblijft, verlopen, zodat verweesde agents hun rechten verliezen.
4. Handhaaf contentniveau-beleid op AI-verzoeken als onderdeel van AI-gegevensbescherming, zodat toegang afhangt van de classificatie van de data en de attributen van de gebruiker, niet van de toestemming van de app.
5. Test het bewijs. Kies willekeurig een AI-toegangsgebeurtenis en meet hoe lang het duurt om identiteit, beleid, content en log te produceren.

Lees meer over zero trust gegevensbescherming voor achtergrondinformatie over waarom elk verzoek, niet alleen de initiële verbinding, moet worden geverifieerd.

Wat te doen vóór het volgende auditverzoek

De bevindingen van DNSFilter zijn vooral een aansporing om uw eigen organisatie te meten. Ga er niet van uit dat u bij de 80 procent zonder incident hoort, en een korte check van AI-risico in uw eigen omgeving is de snelste manier om daarachter te komen. Ongeveer één op de vijf respondenten in deze enquête wist het zelf ook pas toen er iets gebeurde.

Begin met het cijfer dat het makkelijkst te achterhalen is. Tel het aantal externe AI-applicaties met een OAuth-machtiging op uw productiviteitssuite. Identiteitsplatforms tonen ze meestal in een beheerdersconsole, dus het getal is snel te vinden.

Bepaal vervolgens wie verantwoordelijk is. Eigenaarschap van AI-beveiliging is nog niet uitgekristalliseerd in de sector; CIO’s, CTO’s en CISO’s claimen afhankelijk van de enquête de verantwoordelijkheid. Die onduidelijkheid is het probleem om op te lossen, niet een feit om te accepteren. Benoem één verantwoordelijke bestuurder voor AI-data-toegang binnen uw gegevensbeheer-programma, en geef de Chief Compliance Officer en uw GRC-team een doorlopend rapport over het bewijs.

Sluit vervolgens de cirkel met de juridische en privacyverantwoordelijken. Een Data Protection Officer of General Counsel wil vooraf weten welke AI-systemen welke gereguleerde records hebben verwerkt. Nu die audittrail opbouwen kost veel minder dan het achteraf reconstrueren onder tijdsdruk van een toezichthouder.

Herzie ten slotte de aanname achter selfservice AI. Snelheid is een legitiem doel, en AI verbieden duwt het alleen verder de schaduw in. De werkbare route is gereguleerd mogelijk maken: medewerkers snel goedgekeurde tools geven en de goedkeuring afdwingen via beleid op de datalaag, niet overlaten aan een toestemmingsscherm. Teams die AI data governance verkennen, kunnen dat principe als uitgangspunt nemen voor hun programma.

Meer weten over het produceren van auditklaar bewijs voor AI-toegang tot gevoelige content? Plan vandaag nog een aangepaste demo.

Aanvullende bronnen

• Blog Post
  Zero‑Trust-strategieën voor betaalbare AI-privacybescherming
• Blog Post
  Hoe 77% van de organisaties faalt in AI-gegevensbeveiliging
• eBook
  AI Governance Gap: Waarom 91% van de kleine bedrijven Russisch roulette speelt met gegevensbeveiliging in 2025
• Blog Post
  Er is geen “–dangerously-skip-permissions” voor uw data
• Blog Post
  Toezichthouders zijn klaar met vragen of u een AI-beleid heeft. Ze willen bewijs dat het werkt.