Hoe moeten bedrijven omgaan met een overbelasting van AI-toepassingen?

Niet-zo-persoonlijke computing

Gedurende jaren is de technologische ontwikkeling gedreven door de wens om computing toegankelijker te maken. Van smartphones tot tablets, laptops en draagbare technologie, is er een algemene trend om computers en hun mogelijkheden steeds persoonlijker te maken. Denk alleen maar aan de nomenclatuur van industrie-hoekstenen: de “Persoonlijke Computer”, of PC; de “i” Pod, Pad, Phone en verder. Elk van deze apparaten is bedoeld om als persoonlijke metgezel te fungeren, om de digitale ervaring van de gebruiker te vereenvoudigen en daarmee hun leven.

De ontwikkeling van kunstmatige intelligentie (AI) – met name grote taalmodellen (LLM’s) en agente oplossingen – gaat grotendeels in dezelfde richting. Net als de PC en de iPhone hebben AI-hulpmiddelen zoals ChatGPT computing-activiteiten zoals zoeken, bewerken en brainstormen toegankelijker gemaakt voor het grote publiek. Maar terwijl deze toegankelijkheid de gebruiks frequentie heeft verhoogd, heeft het ook het risico verhoogd.

Of het nu gaat om vergiftigde connectors of onbedoelde zoekmachine-indexering, de bedreigingen voor privé-AI-gebruik worden steeds moeilijker te beschermen. Voeg daar de onzekerheden over wie welke hulpmiddelen gebruikt bij, en bedrijven worden geconfronteerd met een perfecte storm van groeiende bedreigingen en onvoldoende bescherming. Gezien de beloften van AI-hulpmiddelen en de onzekerheid over hoe ze te beveiligen, wat moet een technologie-georiënteerd bedrijf doen?

De groei van niet-goedgekeurde AI-apps

Met meer dan 700 miljoen dagelijkse gebruikers in 2025, is het gebruik van ChatGPT meer dan 4 keer toegenomen ten opzichte van het voorgaande jaar. Toch zijn slechts vijf miljoen van deze gebruikers betalende zakelijke klanten. Dit maakt de overige 695 miljoen gebruikers ofwel persoonlijke of niet-goedgekeurde zakelijke gebruikers. Dit aantal lijkt groot totdat je je herinnert dat ChatGPT niet de enige AI-oplossing op de markt is. In feite is het verre van dat – de hedendaagse explosie van AI- en machine learning-ontwikkeling heeft honderdduizenden nieuwe modellen en oplossingen gegenereerd, zowel openbaar als particulier.

Voor bedrijven heeft de exponentiële groei van AI-oplossingen een nieuwe dimensie van het cyberbedreigingslandschap gecreëerd, bekend als “Shadow AI”. Net als het fenomeen “Shadow IT”, is dit concept gebaseerd op het gebruik van AI-oplossingen door werknemers zonder voorafgaande goedkeuring en toestemming van hun organisatie. Dit omzeilt alle IT- en beveiligingscontrole, waardoor scenario’s ontstaan waarin werknemers mogelijk gevaarlijke of onveilige oplossingen voor gevoelige werkzaamheden kunnen gebruiken.

Het gebruik van Shadow AI is zowel wijdverbreid als in uitbreiding. Een rapport vond dat meer dan 320 niet-goedgekeurde AI-apps gemiddeld per onderneming worden gebruikt. Elk van deze niet-goedgekeurde apps, en hun gebruik door werknemers, breidt het bedreigingslandschap verder uit.

De inherente risico’s van AI-overbelasting

De bedreigingen die samenhangen met AI-overbelasting zijn veelzijdig en, helaas, voortdurend in uitbreiding. Sommige, zoals data-vergiftiging, prompt-injectie, model-manipulatie en data-scraping, zijn algemeen bekend. Deze directe pogingen tot AI-manipulatie en exploitatie kunnen slechte actoren toegang geven tot gevoelige bedrijfsgegevens en interne systemen. Gezien dit risico beginnen bedrijven actief te beschermen tegen dergelijke aanvallen.

Maar bedrijven kunnen zich alleen beschermen tegen de bedreigingen die ze kennen. Denk aan het beveiligen van een middeleeuws kasteel. Muren, wachttorens, poorten, slotgrachten en meer helpen het kasteel te beveiligen tegen buitenlandse vijanden en indringers. Maar wat als de keukenstaf een geheime doorgang heeft die de buitenmuren omzeilt? Of een luidruchtige bewaker wordt gehoord die over wachtroosters praat bij de lokale herberg? Elk van deze onbekende bedreigingen kan helpen bij het omzeilen van de beveiliging en het binnendringen van de binnenmuren.

Shadow AI heeft hetzelfde effect op de beveiliging van bedrijfsgegevens. Zelfs het goedbedoelde gebruik van niet-goedgekeurde LLM’s en copilots kan rampzalig zijn voor de bescherming van gevoelige gegevens, aangezien elke onveilige oplossing kan dienen als toegangspoort voor slechte actoren. Elk LLM-gebruik verhoogt inherent het risico van problemen zoals gegevensretentie, prompt-injectie of modelbias, waarvoor elk hun eigen relevante beveiligingsmaatregelen vereist zijn. Dit verhoogt het risico van gegevenslekken, nalevingsinbreuken en operationele fouten, die vaak pas worden geïdentificeerd ná de schade al is aangericht.

Controle over AI-oplossingen vestigen

Terwijl het gebruik van AI blijft groeien op zowel persoonlijk als bedrijfsniveau, is het cruciaal dat organisaties controle over deze oplossingen vestigen voordat de adoptie buiten hun controle groeit. Het beveiligen van bedrijfs-AI en het beschermen tegen niet-goedgekeurde AI-risico’s omvat:

1. Comprehensive zichtbaarheid verkrijgen. Zoals eerder vermeld, kunt u uw gegevens niet beveiligen tegen bedreigingen waar u zich niet van bewust bent. Beveiliging begint met toezicht op alle AI-oplossingen die uw werknemers gebruiken – zowel goedgekeurde als niet-goedgekeurde. Dit is gemakkelijker gezegd dan gedaan, maar een cloud-toegangsbeveiligingsoplossing (CASB) kan helpen om continue zichtbaarheid te verkrijgen in het gebruik van toepassingen door werknemers.
2. Grondige risico-analyses uitvoeren. Teams moeten TPRM-inspanningen leveren om ervoor te zorgen dat alle AI-oplossingen worden geëvalueerd op hun beveiliging en potentieel risico. Deze inspanningen moeten zich ook uitstrekken tot het vierdepartijniveau, aangezien zelfs goedgekeurde toepassingen zoals CRM- of productiviteitplatforms beginnen om externe LLM-mogelijkheden in hun platforms te integreren. Deze vierdepartijoplossingen moeten voldoen aan dezelfde beveiligingsnormen als elke intern goedgekeurde toepassing.
3. Beheerskaders vestigen. Met deze toezicht en begrip van hun oplossingen kunnen organisaties consistent AI-beheersbeleidkaders ontwikkelen en implementeren in hun toepassings-ecosysteem. Net als bij gegevenstoegang kunnen deze beheersbeleidkaders helpen bij het controleren van de soorten AI-oplossingen waartoe werknemers toegang hebben, de informatie die ze kunnen delen met hen en de transparantie van hun dagelijkse gebruik.
4. Risico-detectie automatiseren. De exponentiële groei van AI-adoptie maakt handmatige risico-detectie en -reactie bijna onmogelijk. Het automatiseren van deze processen op basis van beheersbeleid en verwacht gebruikersgedrag kan helpen om proactief afwijkingen te identificeren en hun bredere beveiligingsimpact te beperken.
5. Werknemersverwachtingen uitleggen. Het belangrijkste onderdeel van veilige AI-adoptie en -gebruik zijn uw werknemers. Het bieden van adequate opleiding en het stellen van duidelijke verwachtingen kan helpen om tegelijkertijd riskant AI-gebruik te voorkomen en het veilige, bedrijfsgerichte gebruik van goedgekeurde en beveiligde oplossingen af te dwingen.

Veilige AI-adoptie in stand houden

Door het vestigen van dit soort proactieve beveiligingsmaatregelen, krijgen bedrijven een meer holistische kijk op de manier waarop ze AI-oplossingen gebruiken – zowel goedgekeurd als in de “schaduw”. Dit heeft een onmiddellijke impact op de beveiliging, waardoor teams bestaande risico’s en bedreigingsvectoren kunnen identificeren en actie kunnen ondernemen om deze te verhelpen.

Belangrijker nog, het stelt deze bedrijven in staat om langdurig AI-succes te behalen. Door een technische basis te creëren voor veilige AI-adoptie en een beveiligingsgerichte cultuur onder AI-gebruikers, helpt deze veelzijdige aanpak bij het creëren van een duurzaam model voor toekomstige AI-hulpmiddelen. Met technische ondersteuning en adequate opleiding kunnen werknemers de voordelen van AI behalen zonder te worden belast door de inherente risico’s.

Organisaties die deze veranderingen eerder dan later doorvoeren, zullen het best voorbereid zijn om de toekomst van AI-oplossingen te begroeten, wat deze ook moge brengen. Door voorafgaand werk te verrichten om een sterke basis te creëren – in plaats van alleen maar haastig het vakje van AI-adoptie aan te vinken – zullen teams zich in de beste positie bevinden voor duurzaam AI-gedreven succes.