Wat een nieuwe studie van Carnegie Mellon-Larridin onthult over AI-adoptie en omzetgroei

Elke onderneming beweert tegenwoordig een AI-strategie te hebben. Bijna geen enkele kan aantonen dat het daadwerkelijk impact heeft gehad op het bedrijf. Een nieuw werkdocument van het AI Capstone Program van Carnegie Mellon University, opgesteld in samenwerking met AI-adoptie-analysebedrijf Larridin, heeft deze kloof empirisch onderzocht bij meer dan 500 grote Amerikaanse beursgenoteerde bedrijven. Het antwoord is specifieker, en nuttiger voor security- en complianceleiders, dan de meeste onderzoeken naar AI-adoptie bieden.

Het document, “Do AI Adoption Signals Predict Company Performance? Evidence from a 500-Company Cross-Section of Scores, Filings, and Hiring Data” (Li, Tao, Xu en Hong, werkversie juli 2026), onderzocht of AI-adoptiesignalen, investeringsintensiteit, wervingsactiviteiten, leverancierscores en taalgebruik in openbaarmakingen daadwerkelijk omzetgroei, margeverbetering of aandelenrendement voorspellen. De onderzoekers bouwden een evidence-first meetmethode, scoorden honderden 10-K rapportages en tienduizenden vacatures, en vergeleken deze met echte financiële uitkomsten in plaats van met enquêtegevoelens.

De belangrijkste bevinding is niet wat de meeste AI-maturityleveranciers willen horen: uitgaven, aanwervingen en generieke AI-adoptiescores verdwijnen grotendeels zodra je corrigeert voor bedrijfsgrootte. Het enige signaal dat alle statistische controles overleefde, was narratieve concreetheid: of een bedrijf kan wijzen op benoemde, ingezette AI-systemen met gekwantificeerde bedrijfsresultaten, in plaats van op aspiratieve AI-taal. Dit heeft directe gevolgen voor hoe organisaties die AI governance- en complianceprogramma’s opzetten, waaronder Kiteworks, moeten nadenken over het meten en aantonen van AI-waarde.

Dit is belangrijk om meer dan alleen marketingredenen. Als de markt begint te onderscheiden tussen echte AI-inzet en AI-retoriek, en als het winnende signaal bewijs is van een specifiek, beheerd productiesysteem, dan zijn de organisaties die hiervan profiteren degenen die dat bewijs nu al kunnen leveren: wie had toegang tot welke data, onder welke autorisatie, met welk resultaat. Dat is in de eerste plaats een gegevensbeheer- en audittrailvraagstuk, nog vóór het een AI-vraagstuk is.

Belangrijkste inzichten

1. Specificiteit wint van uitgaven.

Onder meer dan 500 grote Amerikaanse beursgenoteerde bedrijven was het AI-adoptiesignaal dat het sterkst samenhing met omzetgroei narratieve concreetheid: benoemde, ingezette use cases met gekwantificeerde resultaten, niet de totale AI-investering, het aantal leveranciers of het personeelsbestand.

2. Het concreetheidseffect is groot en blijvend.

Overgaan van de minst naar de meest concrete AI-openbaarmaking ging gepaard met ongeveer 8 procentpunt hogere jaar-op-jaar omzetgroei, een resultaat dat standhield na correctie voor sector, bedrijfsgrootte en eerdere groeimomentum.

3. AI is momenteel een groeiverhaal, geen margesucces.

Het onderzoek vond geen betekenisvolle relatie tussen AI-adoptiesignalen en verbetering van de operationele marge, en geen bewijs dat publieke AI-signalen aandelenrendementen over de daaropvolgende vier maanden voorspelden.

4. Generieke AI-risico-openbaarmaking is standaard geworden.

Ongeveer 75% van de onderzochte bedrijven scoorde hetzelfde op AI-risico-openbaarmaking, wat betekent dat standaard AI-risicotaal niet langer volwassen programma’s onderscheidt van onvolwassen programma’s.

5. De meetdiscipline is net zo belangrijk als de bevinding.

De onderzoekers eisten dat elke AI-adoptiescore verifieerbaar bronbewijs citeerde in plaats van alleen modelafleiding, hetzelfde evidence-first principe dat zou moeten gelden voor hoe ondernemingen hun eigen AI-programma’s meten en hoe ze compliance aantonen aan een toezichthouder of auditor.

In het onderzoek: 500+ bedrijven, drie databronnen, één vraag

Het onderzoeksteam, Yixiao Li, Siru Tao, Xin Xu en Hanzhe Hong van Carnegie Mellon, werkte samen met Larridin en bouwde hun onderzoekspopulatie op basis van Larridin’s AI Transformation Tracker in combinatie met de S&P 500, wat resulteerde in 564 bedrijven verspreid over alle twaalf sectoren. Om te voorkomen dat een handvol AI-halfgeleidergiganten de resultaten zouden domineren, zijn de vijf grootste AI-halfgeleiderbedrijven (Nvidia, Broadcom, AMD, Micron en Intel) uitgesloten van de primaire analyse; het document meldt dat alle conclusies ook in de volledige steekproef standhouden.

Drie onafhankelijke databronnen voeden de analyse. Larridin’s AI Transformation Tracker kent elk bedrijf een op bewijs gebaseerde score van 1 tot 5 toe op adoptie, personeelsbekwaamheid en gerealiseerde impact, plus een samengestelde maturiteitsindex, voor 562 bedrijven. Een large-language-model extractiepijplijn scoorde afzonderlijk de meest recente 10-K rapportages van 478 bedrijven op drie dimensies: AI-investeringsintensiteit, narratieve concreetheid en diepgang van risico-openbaarmaking, met als regel dat elke niet-nulscore een letterlijk ondersteunend fragment uit de rapportage moest citeren. En een derde team classificeerde 30.861 individuele vacatures bij 536 bedrijven in AI-bouwer, AI-gebruiker, AI-leider en niet-AI-rollen, om een AI-wervingsintensiteitsmaatstaf te construeren.

Tegenover deze drie signaalfamilies testten de onderzoekers drie vragen: voorspellen AI-adoptiesignalen omzetgroei, margeverandering en productiviteit; voorspellen ze marktgecorrigeerde aandelenrendementen over de volgende vier maanden; en waar in de AI-waardeketen concentreren eventuele effecten zich. Elke regressie corrigeerde voor sector, bedrijfsgrootte en het bestaande omzetgroeimomentum van elk bedrijf, waarmee het voor de hand liggende probleem werd ondervangen dat snelgroeiende bedrijven zowel sneller AI adopteren als blijven groeien, ongeacht AI.

Het signaal dat standhield: narratieve concreetheid

Hier verdient het document zijn relevantie voor iedereen die een AI-governanceprogramma opzet. Elk score- en openbaarmakingssignaal in het onderzoek hing samen met omzetgroei in een eenvoudige, onvoorwaardelijke vergelijking. Maar naarmate de onderzoekers de statistische controles aanscherpten, door sector, vervolgens grootte en daarna groeimomentum toe te voegen, verloren de meeste signalen hun statistische basis. Samengestelde AI-adoptiescores, die verschillende componenten samenvoegen die van nature met bedrijfsgrootte meegroeien, namen af zodra grootte in het model werd opgenomen. AI-investeringsintensiteit bleef positief, maar verloor significantie zodra grootte werd gecorrigeerd (p = 0,14). Het AI-hiring builder-percentage vertoonde helemaal geen betekenisvolle relatie met een uitkomst, en de auteurs merken op dat wervingsdata na het uitkomstkwartaal zijn verzameld, waardoor het geen echte voorspellende test kan zijn.

Narratieve concreetheid was de uitzondering. De volledige specificatiecoëfficiënt van 0,080 (p = 0,009) bleef overeind na elke controle, en het doorstond een Benjamini-Hochberg false-discovery-rate-correctie binnen de vooraf gespecificeerde primaire hypothesefamilie van het onderzoek, een standaard statistische waarborg tegen valse positieven bij het testen van meerdere signalen tegelijk. In de praktijk betekende het verschuiven van een bedrijf van de onderkant naar de bovenkant van de concreetheidsverdeling een verschil van 8,0 procentpunt in jaar-op-jaar omzetgroei, bij gelijkblijvende sector, grootte en eerder momentum.

De interpretatie van de onderzoekers zelf is het citeren waard, want het is de these waarop het hele document is gebouwd: “specificiteit is het signaal.” Wat sneller groeiende bedrijven onderscheidde, binnen dezelfde sector en grootteklasse, was verifieerbare inhoud in hun eigen wettelijke openbaarmakingen, benoemde systemen in productie, gekwantificeerde resultaten, in plaats van oppervlakkige AI-trefwoorden. Risico-openbaarmakingstaal, inmiddels gestandaardiseerd bij de meeste bedrijven, maakte geen enkel onderscheid. Elke stap richting bewijs-gedreven specificiteit voegde informatie toe.

Wat geen prestaties voorspelde: uitgaven, personeelsbestand en aanwervingen

Het is de moeite waard stil te staan bij wat het onderzoek niet vond, want de negatieve resultaten zijn even strategisch belangrijk als de positieve. AI-investeringsintensiteit, oftewel hoeveel een bedrijf zegt uit te geven aan het bouwen of kopen van AI, hield verband met groei in ruwe vergelijkingen maar verdween zodra de onderzoekers corrigeerden voor bedrijfsgrootte. Grotere bedrijven investeren simpelweg meer in alles, ook in AI, dus alleen investeringshoeveelheid onderscheidde geen echte AI-presteerders van bedrijven die groot zijn en daarom veel uitgeven.

De AI-wervingsintensiteitsmaatstaf, gebaseerd op een gevalideerde classificatie van meer dan 30.000 vacatures, liet vrijwel geen relatie zien met de geteste uitkomsten (coëfficiënt 0,026 in het univariate geval, en negatief na volledige correcties). De auteurs zijn open over een ontwerplimiet: omdat wervingsdata alleen in real time kunnen worden verzameld en niet achteraf kunnen worden gereconstrueerd, zijn hun wervingsmomentopnames verzameld na het financiële kwartaal waarmee ze werden vergeleken. Dat betekent dat het wervingsresultaat als beschrijvend moet worden gelezen, niet als voorspellend.

Voor organisaties die hun eigen AI-programma’s evalueren, en voor leveranciers die AI-maturityscorekaarten verkopen op basis van uitgaven, leveranciersaantallen of personeelsbestand, is dit een nuttige correctie. Die maatstaven beschrijven activiteit. Ze beschrijven op basis van dit bewijs geen bedrijfswaarde.

AI is voorlopig een groeiverhaal, geen margesucces

De tweede hoofdbevinding van het onderzoek betreft waar het economische effect van AI zichtbaar is, en waar niet. Geen van de geteste signalen, samengesteld of openbaarmakingsgebaseerd, voorspelde aandelenrendementen over vier maanden nadat de onderzoekers corrigeerden voor het testen van meerdere signalen tegelijk. De auteurs verklaren dit met gewone markt-efficiëntielogica: omdat elk signaal in het onderzoek is gebaseerd op publieke informatie, lijkt de markt al te hebben ingeprijsd wat er te weten valt over de AI-status van een bedrijf op basis van openbare bronnen. Sterker nog, de puntschatting van de samengestelde AI-score was licht negatief over de onderzoeksperiode, wat past bij een gedeeltelijke correctie van AI-thema-aandelenwaarderingen die eerder in 2026 waren opgelopen.

Marges bleven eveneens onaangetast, geen enkel signaal liet een betekenisvolle samenhang zien met verandering in operationele marge. Gecombineerd met de omzetgroeigegevens interpreteert het document dat AI-adoptie momenteel vooral via de omzetgroei werkt en niet via directe kostenreductie. Dat sluit aan bij wat security- en complianceleiders intern horen: AI-initiatieven worden gerechtvaardigd op basis van nieuwe mogelijkheden, snellere productcycli en betere klantervaring, niet (nog) op personeelsreductie.

Eén marktniveau-resultaat springt eruit als een apart, opvallend datapunt: de AI-waardeketenclassificatie van het document vond dat AI-infrastructuur- en hardwareleveranciers hun sector- en groottegenoten met ongeveer 32 procentpunt overtroffen in de eerste helft van 2026. Dit is een opvallende uitsplitsing van de AI-gerelateerde aandelenrally in die periode, en een herinnering dat de “AI trade” en de “AI-adoptie-voorspelt-fundamentals”-vraag twee verschillende verschijnselen zijn die toevallig tegelijk in dezelfde markt plaatsvonden.

Waar het signaal het meest telde: bedrijven met veel fysieke activa en late adopters

De AI-waardeketenanalyse van het document splitst de S&P 500 op in vier categorieën: AI-infrastructuur en hardware (36 bedrijven), AI-software en platforms (41), data-rijke adopters (138), en bedrijven met veel fysieke activa of late adopters (285), veruit de grootste groep. De relatie tussen narratieve concreetheid en omzetgroei was statistisch significant juist binnen die groep met veel fysieke activa en late adopters (n = 214, p = 0,025).

Op het eerste gezicht lijkt dat een onopvallende statistische voetnoot. Dat is het niet. De auteurs stellen, en dit is de rode draad naar security en governance, dat dit precies het segment is waar het het moeilijkst is om echte AI-inzet van AI-retoriek te onderscheiden. De AI-claims van een softwarebedrijf zijn relatief eenvoudig te verifiëren aan het product. Bij een producent, retailer of industrieel bedrijf is dat niet zo. Juist daar deed concrete, met bewijs onderbouwde openbaarmaking het meeste werk om echte adopters te onderscheiden van bedrijven die AI als narratief inzetten. Voor het overgrote deel van de ondernemingsmarkt dat in deze categorie valt, bedrijven die geen AI-infrastructuurleverancier of AI-native softwareplatform zijn, kan het vermogen om beheerde, verifieerbare AI-inzet aan te tonen het meest onderscheidende bezit zijn dat ze hebben.

De governance-implicatie: evidence-first meten als operationele discipline

De methodologische keuze onder het hele onderzoek is zelf de meest overdraagbare les voor AI-governanceprogramma’s in ondernemingen. De onderzoekers bouwden wat ze een evidence-first LLM-extractieprotocol noemen: elke niet-nul AI-openbaarmakingsscore moest een letterlijk ondersteunend fragment uit de bronrapportage citeren, en dimensies zonder ondersteunend bewijs werden als nul geretourneerd in plaats van gegokt. Bij een interne audit bleek 87 tot 90 procent van de modelcitaten exact overeen te komen met de brontekst.

Dat is het waard om in gewone taal te herhalen: de onderzoekers weigerden een model een AI-maturiteitsscore te laten geven op basis van alleen afleiding. Elke claim moest te herleiden zijn tot een specifiek, citeerbaar bewijsstuk. En het signaal dat het meest op dat principe was gebouwd, narratieve concreetheid, was ook het enige signaal dat elke statistische toets in het document overleefde.

Dat is dezelfde discipline die zou moeten gelden voor hoe een onderneming haar eigen AI-programma meet en aantoont, en het is waar de bevindingen van het document ophouden een academische curiositeit te zijn en een blauwdruk worden. Een intern AI data governance-programma dat op dezelfde evidence-first logica is gebouwd, zou voor elk AI-use case kunnen beantwoorden: welk productieproces verandert AI daadwerkelijk, wie gebruikt het, welke data wordt geraakt, welk specifiek bedrijfsresultaat is verbeterd, kan dat resultaat worden gekwantificeerd, en kan de organisatie bewijs leveren, geen bewering, dat het systeem is ingezet en beheerd. Een AI-programma dat die vragen met citeerbaar bewijs kan beantwoorden, lijkt volgens de logica van dit onderzoek veel meer op de bedrijven die echte omzetgroei realiseren dan op bedrijven die zich baseren op AI-aankondigingen of pilot-aantallen.

Wat dit betekent voor databeveiliging, compliance, datasoevereiniteit en AI data governance

Het CMU-Larridin-document is voorzichtig in wat het niet aantoont: het test niet direct of sterkere databeveiliging, naleving van regelgeving, datasoevereiniteit of AI-governance leidt tot betere financiële prestaties. Dat is een eerlijke en belangrijke kanttekening, en elke conclusie die governancevolwassenheid koppelt aan de omzetgroeivinding van het document moet worden gelezen als een strategische afleiding, niet als een causaal verband dat de onderzoekers hebben vastgesteld.

Met die kanttekening duidelijk gesteld, blijft de afleiding nuttig voor CISO’s en complianceleiders die bepalen waar AI-governance-investeringen thuishoren. Zodra AI van pilot naar productie gaat, raakt het echte bedrijfsdata, medewerkers, klanten en workflows. Dat verandert de operationele beveiligingsvraag van “staan we AI toe” naar een veel specifiekere: welk AI-systeem of agent kan welke data benaderen, voor welk doel, onder welk beleid, en wat kan het doen met wat het ophaalt. Dat is een gegevensbeheer– en toegangscontrole-vraagstuk voordat het iets anders is, en het sluit direct aan bij de bevinding van het onderzoek dat verifieerbare, inzetniveau-specificiteit daadwerkelijk volwassen programma’s onderscheidt van onvolwassen programma’s.

De compliance-implicatie volgt dezelfde logica. Het onderzoek vond dat de diepgang van risico-openbaarmaking, oftewel of een bedrijf AI-risicotaal in zijn rapportages heeft staan, nauwelijks onderscheidend vermogen had, omdat ongeveer 75% van de steekproef op dezelfde score zat. AI-risicostandaardtaal is zo gestandaardiseerd geworden dat het nietszeggend is. Dat is een signaal dat compliance-teams serieus moeten nemen: een AI-beleidsverklaring, een governancecommissie of generieke risicotaal in een rapportage wordt snel standaard in plaats van bewijs van volwassenheid. Wat het zou moeten vervangen is controlebewijs: het specifieke beleid dat geldt voor een AI-workflow, de systemen en data die erdoor worden beheerd, de identiteit die elke actie initieerde, het handhavingsbesluit dat werd genomen, en de audittrail waarmee de organisatie de transactie later kan reconstrueren. Voor elke organisatie die compliance-technologie verkoopt of bouwt, is de waardepropositie waar dit onderzoek op wijst: “wij kunnen aantonen dat de controle is uitgevoerd”, niet “wij ondersteunen de regelgeving”.

Wat betreft datasoevereiniteit is het document expliciet dat het geen empirische test bevat van dataresidentie, lokalisatie of rechtsbevoegdheid als voorspellers van prestaties; elke conclusie over soevereiniteit is hier een afleiding, geen bevinding. Maar de afleiding volgt dezelfde richting als de rest van het onderzoek: naarmate AI-inzet concreter en operationeler wordt, precies de trend die het document beschrijft, moeten organisaties steeds beter weten niet alleen welke data een AI-systeem gebruikt, maar waar die data zich bevindt, waar deze wordt verwerkt, welke leverancier er toegang toe heeft en of de organisatie technisch het antwoord kan afdwingen. Voor gereguleerde, multinationale, zorg-, defensie- en financiële-sectororganisaties wordt datasoevereiniteit compliance steeds operationeler naarmate AI van experiment naar productie gaat; het is geen apart spoor naast AI-adoptie.

Een bewijsvoering opbouwen die toezichthouders en auditors accepteren

Combineer de drie bevindingen uit het document – specificiteit wint van uitgaven, generieke risico-openbaarmaking is nu standaard, en het concreetheidseffect is het sterkst waar AI-claims het moeilijkst te verifiëren zijn – en er ontstaat een vrij direct operationeel model voor AI-governanceteams. Governancevolwassenheid moet worden gemeten aan echt gedrag, niet aan governance-documenten. Een AI-commissie, een beleid voor acceptabel gebruik, een inventarisatiespreadsheet en jaarlijkse training zijn allemaal noodzakelijk. Geen van deze bewijst op zichzelf dat AI-gedrag daadwerkelijk wordt gecontroleerd.

Een model gebaseerd op de evidence-first filosofie van het onderzoek zou voor elke door AI of agent geïnitieerde actie bijhouden: de identiteit die deze startte, de specifieke data die werd benaderd of gewijzigd, het zakelijke doel dat het diende, het beleid of de goedkeuring die het autoriseerde, de daadwerkelijk genomen actie, waar de output of data naartoe ging, de rechtsbevoegdheid waarin het werd verwerkt, en of de organisatie die hele keten later op verzoek kan reconstrueren. Dat is geen theoretische wensenlijst, het is dezelfde bewijsstandaard die een toezichthouder, beoordelaar of tegenpartij nu al verwacht wanneer zij een organisatie vragen aan te tonen dat een specifieke data-access geautoriseerd, versleuteld en gelogd was.

Dit is de verbindende schakel tussen het CMU-Larridin-onderzoek en hoe Kiteworks Compliant AI en zero trust generatieve AI governance benadert: op attributen gebaseerde toegangscontrole en beleidsbeslissingen afdwingen op het punt waar een AI-systeem of persoon gevoelige data aanraakt, en een unified audittrail genereren die precies de vragen kan beantwoorden die het evidence-first protocol van het onderzoek stelde aan de beoordeelde bedrijven. Een Data Policy Engine die deze beleidsregels afdwingt voordat data een AI-systeem of workflow bereikt, gecombineerd met een CISO Dashboard dat toont wat er daadwerkelijk is gebeurd, verandert governance van een set documenten in het soort verifieerbaar, productie-niveau bewijs dat het document economisch betekenisvol achtte. Wanneer AI-bouwer- en AI-gebruiker-activiteiten via een integratiepunt zoals een Secure MCP Server verlopen, strekt diezelfde bewijsvoering zich uit tot door agenten geïnitieerde acties naast menselijke, wat van belang is omdat het governancekader van het onderzoek expliciet oproept tot het bijhouden van “mens/agent-actie” als één verantwoordelijke categorie, niet als twee aparte.

Geen van deze inzichten verandert wat de onderzoekers hebben gevonden. Het betekent simpelweg dat data compliance en governance-infrastructuur geen belasting zijn op AI-adoptie, maar juist datgene wat de verifieerbare, productie-niveau inzet die het onderzoek beloont, duurzaam maakt zodra toezichthouders, klanten en auditors om bewijs gaan vragen in plaats van om aankondigingen.

Als er één actiepunt uit dit alles komt, is het niet “schrijf een beter AI-beleid” of “score hoger op een maturiteitsindex.” Security- en complianceteams moeten zich richten op de datalaag: wie of wat heeft deze aangeraakt, onder welke autorisatie, en of dat later kan worden bewezen. Alles in de bevindingen van het onderzoek, en in deze analyse, volgt uit dat ene punt.

Meer weten over het bouwen van een evidence-first basis voor AI-governance en compliance? Plan vandaag nog een aangepaste demo.

Aanvullende bronnen

• Blog Post
  Zero‑Trust strategieën voor betaalbare AI-privacybescherming
• Blog Post
  Hoe 77% van de organisaties faalt in AI-databeveiliging
• eBook
  AI Governance Gap: Waarom 91% van de kleine bedrijven Russisch roulette speelt met databeveiliging in 2025
• Blog Post
  Er bestaat geen “–dangerously-skip-permissions” voor je data
• Blog Post
  Toezichthouders zijn klaar met vragen of je een AI-beleid hebt. Ze willen bewijs dat het werkt.