Uw medewerkers gebruiken al generatieve AI. Maak het officieel.

Uw medewerkers gebruiken generatieve AI vrijwel zeker vaker voor hun werk dan uw organisatie zelf. In 2025 gebruikte 37,1% van de Nederlandse werkenden een generatieve AI-tool voor het werk, terwijl 16,3% van de Nederlandse bedrijven AI inzette die tekst, spraak of code genereert, blijkt uit onze analyse van Eurostat-cijfers. Dat verschil is goed nieuws: het is vraag die u niet meer hoeft te creëren. De opgave is die vraag een goedgekeurde tool, heldere dataregels en training te geven, zodat schaduw-AI een voordeel wordt dat u kunt zien en auditen.

Dit artikel is voor de IT-manager, CIO, informatiemanager of security officer bij een Nederlandse of Vlaamse organisatie van 250 tot 5.000 fte die die vraag in goede banen moet leiden. Crux Digits ontwerpt en bouwt AI-systemen naast uw ICT-partner of interne IT-afdeling; wij beheren uw tenant, licenties of servicedesk niet.

Gebruiken uw medewerkers generatieve AI al vaker dan uw organisatie?

Vrijwel zeker: in alle 27 EU-lidstaten gebruiken meer werkenden generatieve AI voor hun werk dan er bedrijven zijn die tekstgenererende AI inzetten.

In de EU als geheel gaat het om 21,8% van de werkenden tegenover 8,8% van de bedrijven, een verschil van 13,0 procentpunt. In Nederland is het verschil 20,8 punt: 37,1% van de werkenden tegenover 16,3% van de bedrijven, een bedrijfscijfer dat Eurostat markeert als trendbreuk. België zit op 32,7% van de werkenden, Duitsland op 20,8%. De cijfers over personen komen uit Eurostat-tabel isoc_ai_iaiu, het eerste jaar waarin Eurostat personen naar generatieve AI vroeg; de rangorde en de verschillen zijn onze eigen berekening, volledig uitgewerkt in het onderzoek.

Een rekenvoorbeeld, nadrukkelijk als voorbeeld: een organisatie van 1.200 mensen op het Nederlandse gemiddelde zou ongeveer 445 medewerkers hebben die generatieve AI voor het werk gebruiken. Dat is rekenwerk op een landelijk gemiddelde (37,1% van 1.200), geen meting. Uw eigen aandeel hangt af van sector, leeftijdsopbouw en functiemix. Daarom is meten de eerste stap hieronder.

Waarom is gebruik door medewerkers goed nieuws voor de IT-afdeling?

Omdat medewerkers al hebben laten zien welke taken ervan profiteren: in Nederland gebruikt 59,4% van alle gebruikers generatieve AI voor het werk, het op één na hoogste aandeel in de EU.

De meeste AI-programma's worstelen met adoptie. U begint aan de andere kant. Nederlanders gebruiken generatieve AI bijna even vaak voor het werk als privé (26,6% tegenover 28,1% van alle 16- tot 74-jarigen), de kleinste afstand in de EU. In de meeste landen kwamen de tools binnen als persoonlijke gewoonte en schuiven ze nu op naar het werk; in Nederland zijn ze daar al.

Grotere organisaties hebben bovendien een voorsprong. In de EU zet 31,7% van de bedrijven met 250 of meer werkzame personen tekstgenererende AI in, meer dan de 21,8% van de werkenden. Grote Belgische bedrijven zitten op 53,4%, derde in de EU, grote Nederlandse op 41,8%. Hebt u al een beheerde tool in licentie, dan hoeft u AI niet te introduceren. Dan verplaatst u het gebruik dat u niet ziet naar de tool die u wel ziet.

Wat is het werkelijke risico van niet-goedgekeurd gebruik?

Het risico is dat persoonsgegevens buiten uw controle raken: de Autoriteit Persoonsgegevens kreeg datalekmeldingen doordat medewerkers patiënt- en klantgegevens in AI-chatbots invoerden.

In haar waarschuwing van augustus 2024 beschrijft de AP een medewerker van een huisartsenpraktijk die tegen de afspraken in medische gegevens van patiënten in een chatbot invoerde, en een medewerker van een telecombedrijf die een bestand met onder meer klantadressen invoerde. De AP maakt een onderscheid dat voor uw beleid telt. Gebruikt een medewerker een chatbot op eigen initiatief en tegen de afspraken in, en voert hij persoonsgegevens in, dan is dat een datalek. Is chatbotgebruik beleid van de organisatie, dan is het geen datalek, maar vaak wettelijk niet toegestaan. Organisaties moeten beide voorkomen.

De oplossing van de AP is praktisch, geen verbod: maak duidelijke afspraken over de vraag of chatbots gebruikt mogen worden, maak duidelijk welke gegevens wel en niet mogen worden ingevoerd, en regel zo mogelijk met de aanbieder dat ingevoerde gegevens niet worden opgeslagen. Gaat het toch mis, dan is een melding aan de AP en aan de betrokkenen in veel gevallen verplicht. Lees dat als ontwerpeisen voor een goedgekeurde tool, niet als reden om er geen te kiezen.

Wat doet een CIO hier de komende twaalf maanden mee?

Vijf stappen, elk gekoppeld aan een bevinding: meet uw verschil, keur één tool goed, schrijf de dataregel, train per rol buiten IT, en bouw op uw eigen documenten.

1. Meet uw eigen verschil. Bevinding: in de EU loopt het gebruik door medewerkers 13,0 punt voor op de inzet door bedrijven. Stel uw medewerkers de Eurostat-vraag: hebt u de afgelopen drie maanden een generatieve AI-tool voor uw werk gebruikt? Vraag daarna uw ICT-partner om het technische beeld. In een Microsoft-omgeving heeft de cloud-appcatalogus van Defender for Cloud Apps een categorie Generative AI die de gebruikte AI-apps toont met per app een risicoscore. Het verschil tussen enquête, discoveryrapport en uw licenties is uw eigen verschil.

2. Keur één standaardtool goed. Bevinding: grote bedrijven lopen al voor, met 41,8% in Nederland en 53,4% in België voor tekstgenererende AI. Kies één tool die uw ICT-partner beheert en uw security officer kan beoordelen, toets de bewaartermijnen van de aanbieder aan het advies van de AP, en maak bekend dat werkgebruik daar hoort. Een goedgekeurde tool die makkelijk bereikbaar is, neemt de meeste redenen weg om een andere te gebruiken.

3. Schrijf een dataregel van één pagina, en informeer voordat u blokkeert. Bevinding: de AP onderscheidt gebruik tegen de afspraken in van gebruik volgens beleid, dus die afspraken moeten er zijn. Leg vast welke gegevensklassen erin mogen (openbaar, intern) en welke niet (persoonsgegevens van klanten, patiënten of medewerkers, tenzij de tool daarvoor is goedgekeurd). Microsoft documenteert dat een app met het label Unsanctioned wordt geblokkeerd op apparaten die in Defender for Endpoint zijn opgenomen, en dat een securityteam ervoor kan kiezen gebruikers in plaats daarvan te waarschuwen en voor te lichten. Begin met de waarschuwing; die stuurt mensen naar de goedgekeurde tool in plaats van naar hun privételefoon.

4. Train per rol, en begin buiten IT. Bevinding: in Nederland gebruikt 60,0% van de ICT-professionals generatieve AI voor het werk, tegenover 43,0% in andere niet-handmatige beroepen en 9,2% in handmatige beroepen. Mensen van 25 tot 64 jaar met een hogere opleiding gebruiken het vier keer zo vaak als mensen met een lage formele opleiding (49,2% tegenover 12,4%). De grootste onbenutte ruimte zit bij frontlinie, uitvoerende functies en oudere medewerkers, die het minst snel zichzelf iets aanleren. Training daar legt meteen uw maatregelen vast onder het geletterdheidsartikel van de AI Act.

5. Bouw op uw eigen documenten voor terugkerende taken. Bevinding: de meeste Nederlandse gebruikers zetten generatieve AI al in voor werktaken. De vragen die elke week terugkomen (een procedure, een contractclausule, een productspecificatie) beantwoordt u beter uit uw eigen bronnen dan uit een publieke chatbot. Een private AI-assistent antwoordt alleen uit uw documenten, toont bij elk antwoord de bron en draait waar uw gegevens al staan.

Wat vraagt de AI Act van u bij gebruik door medewerkers?

Artikel 4 verplicht gebruiksverantwoordelijken maatregelen te nemen die de AI-geletterdheid van hun personeel ondersteunen, zonder een bepaald niveau per persoon te garanderen.

Artikel 4 is herschreven door de Digital Omnibus over AI. De huidige tekst vraagt aanbieders en gebruiksverantwoordelijken maatregelen te nemen ter ondersteuning van de AI-geletterdheid van personeel en anderen die namens hen met AI werken, rekening houdend met kennis, ervaring, opleiding en de context van gebruik, en stelt dat dit niet betekent dat een specifiek niveau per persoon gegarandeerd moet worden. Volgens artikel 113 geldt hoofdstuk I, waarin artikel 4 staat, sinds 2 februari 2025. Een goedgekeurde tool, een geschreven dataregel en training per rol zijn precies het soort maatregelen dat die zin beschrijft, en ze zijn in een audit eenvoudig aan te tonen.

Hoe kan 2027 eruitzien als medewerkers voorop blijven lopen?

Niemand kan daar een getal op plakken: 2025 is het eerste jaar van de Eurostat-tabel over personen, dus er is nog geen trend.

Wat wel vaststaat, staat al in de cijfers. De nieuwe generatie werkenden is met deze tools vertrouwd: 63,8% van de 16- tot 24-jarigen in de EU gebruikte in 2025 generatieve AI, het hoogste aandeel van alle leeftijdsgroepen. Elke lichting afgestudeerden en stagiairs neemt die gewoonte mee. En op 2 december 2027 gaan de verplichtingen van de AI Act gelden voor AI-systemen met een hoog risico uit bijlage III, waaronder AI voor werving en selectie en voor beslissingen over arbeidsrelaties. Een organisatie die dan haar goedgekeurde tools, dataregels en AI-register op orde heeft, haalt die datum vanuit een positie van controle.

Het positieve scenario ligt binnen bereik van elke IT-afdeling die dit jaar handelt: het gemeten verschil wordt kleiner omdat medewerkers naar de goedgekeurde tool zijn overgestapt, niet omdat ze met AI zijn gestopt. Dat ziet u terug in uw eigen volgende enquête.

Waar past Crux Digits?

Crux Digits ontwerpt en bouwt AI-systemen en de software eromheen, naast uw ICT-partner of interne IT-afdeling.

Wij zijn geen ICT-partner. Wij beheren uw Microsoft 365-tenant, uw Defender-beleid of uw licenties niet; dat doet uw ICT-partner. Waar het gebruik door medewerkers de organisatie is voorbijgelopen, helpen wij de terugkerende taken om te zetten in beheerste systemen op uw eigen documenten en processen, met het bewijs dat uw security officer nodig heeft, en u krijgt de code in eigendom. De mensenkant, van training per rol tot de geletterdheidsmaatregelen onder artikel 4, staat op onze pagina over AI-training voor bedrijven.

Laatst bijgewerkt: 28 oktober 2026.

Veelgestelde vragen