Schaduw-AI was het gemakkelijke probleem: het echte risico zijn verborgen agenten in goedgekeurde software

Twee jaar geleden betekende schaduw-AI dat medewerkers klantgegevens in ChatGPT plakten. De oplossing was over het algemeen beheersbaar: ontdek de tools, keur de goede goed, blokkeer de slechte, train de mensen. De meeste organisaties bevinden zich ergens in de uitvoering van die aanpak: 61% heeft al schaduw-AI in de eigen omgeving aangetroffen en de aanpak werkt grotendeels.

Deze beschrijving dekt het probleem echter niet meer. Schaduw-AI is verder gegaan dan een gedragsprobleem en is nu een architectuurprobleem. Traditionele governance kan de huidige ontwikkelingen niet bijhouden, waaronder door leveranciers ingebouwde en door medewerkers zelf gekoppelde AI-agenten die binnen goedgekeurde systemen opereren met geërfde inloggegevens, waardoor identiteit het enige echte controlepunt is.

De twee schaduwen die je niet in de gaten houdt

De interessante vraag in 2026 is niet welk AI-hulpmiddel een medewerker heeft geopend. Het is welke AI-agent je goedgekeurde leverancier stilzwijgend heeft geleverd in de productupdate van het vorige kwartaal en welke machtigingen deze heeft overgenomen van de persoon die de agent heeft geïnstalleerd.

Schaduw-AI was vroeger een kwestie van gedrag. Je kon het zien, benoemen en een beleid ertegen opstellen. De versie die zich nu verspreidt, is structureel. Het komt via software die je al hebt goedgekeurd, handelt onder inloggegevens die je al hebt uitgegeven, in workflows die je al hebt geauditeerd. De schaduw is niet langer gedragsmatig, maar architectonisch. Medewerkers zijn nog steeds in beeld, maar hun rol is verschoven van het gebruiken naar het inzetten van AI: het aansluiten van agenten op de systemen waartoe ze al toegang hebben, en dit doen via interfaces die zijn ontworpen om dit eenvoudig te maken. De beleidsregels die zijn opgesteld voor de eerste vorm van gedrag bestrijken de tweede niet.

Dit is waarom “verbieden” nooit het echte debat was. De CISO’s die voorop liepen bij schaduw-AI door bedrijfstools goed te keuren en medewerkers naar beheerde alternatieven te leiden, hebben die ronde gewonnen en ontdekt dat de volgende al gaande was en dat die twee vectoren had, niet één. De eerste is wat goedgekeurde leveranciers in producten leveren die al in productie zijn: ingebedde modellen, agentmodi, nieuwe integraties die zijn aangekomen in een releasedocument dat niemand heeft gelezen. De tweede is wat medewerkers zelf aansluiten: een LLM verbonden met de CRM via een no-code-automatisering, een Custom GPT met een API-sleutel voor het datawarehouse, een MCP-verbinding van een desktopassistent met een productiesysteem. Beide leiden tot hetzelfde resultaat: agenten handelen met goedgekeurde inloggegevens in goedgekeurde systemen, maar in workflows die nooit een speciaal op hun opsporing gerichte beoordeling hebben doorlopen. Inkoop kan de eerste vector zien en de tweede volledig missen.

Het is de moeite waard om eerlijk te zijn over hoe onevenwichtig de eerste ronde werkelijk is gewonnen. Negen van de tien organisaties zijn van plan om hun IT-begroting voor AI-gerelateerde uitgaven te verhogen, en veel daarvan willen het gebruik breder uitbreiden binnen hun IT-activiteiten in de komende 6-24 maanden. De uitgaven gaan naar intelligente mogelijkheden. De controles lopen hun achterstand slechts langzaam in. Die onevenwichtigheid is het probleem, niet een neveneffect ervan.

De perimeter was altijd menselijk

Het mentale model dat werkte voor de eerste golf werkt niet voor deze. Schaduw-AI als medewerkersgedrag ging ervan uit dat een mens een keuze maakte die het beveiligingsteam kon beïnvloeden. Schaduw-AI als leveranciersarchitectuur neemt die keuze weg. Het model dat de e-mail schreef, de agent die de vergadering plande, de assistent die het document samenvatte en doorstuurde. Geen van deze vereiste dat een medewerker iets anders deed dan de software blijven gebruiken waarvan het gebruik was voorgeschreven.

Het eerlijke antwoord is dat de perimeter die de meeste beveiligingsprogramma’s nog steeds verdedigen een perimeter van menselijke actie was. Medewerkers die tools openden, medewerkers die toegang verleenden, medewerkers die beslissingen namen die het beveiligingsteam kon observeren en vormgeven. Die perimeter lost op in twee richtingen tegelijk. Van bovenaf leveren leveranciers agenten in goedgekeurde producten sneller dan enig beoordelingsproces kan bijbenen. Van onderaf stappen medewerkers uit de gebruikersrol en in de integratierol, door agenten aan te sluiten op systemen via interfaces die zijn ontworpen voor zelfbediening en nooit zijn voorzien van de meet- en toezichtfuncties die governance vereist. De vervangende perimeter, gebouwd rond wat identiteiten doen, ongeacht of die identiteiten mensen zijn of niet, en ongeacht wie ze heeft geïmplementeerd, vereist een samenhangende controlestructuur die de meeste organisaties nog niet hebben.

De enige plek om nog naar te kijken

Identiteit is het juiste controlepunt, maar de manier waarop we ernaar kijken moet veranderen. De conventionele formulering zegt “identiteit is de nieuwe perimeter” omdat gebruikers overal zijn en apparaten overal zijn en SaaS overal is. Dat was waar een decennium geleden, maar nu is het een gegeven. De versie die in 2026 telt, is anders: identiteit is de enige plek waar je kunt zien wat AI werkelijk doet, omdat tegen de tijd dat het het doet, de grens van het hulpmiddel al is overschreden. De agent handelt onder iemands inloggegevens. Van wie zijn die inloggegevens, hoe ver reiken de rechten, op welke gegevens werkt de agent en met wiens toestemming? Alleen die vragen leveren een bruikbare audittrail op. Governance op toolniveau kan deze vragen niet beantwoorden omdat het hulpmiddel niet langer de eenheid van analyse is.

Bijna 90% van de IT-leiders erkent al dat unificatie een directe invloed heeft op hun vermogen om AI op een veilige manier te implementeren en op te schalen. De moeilijkere vraag is wat unificatie eigenlijk betekent op de controlelaag. Het kan niet alleen minder dashboards betekenen. Het betekent een uniforme identiteitsstructuur waarin elke actor, of het nu een mens, een serviceaccount, een agent of een ingebed model is, toegang krijgt, afgebakende rechten krijgt toegewezen, wordt gemonitord en buiten gebruik wordt gesteld via dezelfde mechanismen. Alles wat hieronder valt, geeft je de schijn van geconsolideerde governance, terwijl het in feite alleen gefragmenteerde handhaving is.

Je leveranciersbeoordeling heeft een vervaldatum

Helaas is een leveranciersbeoordeling alleen maar geldig voor een bepaalde tijd. Dit heeft ongemakkelijke implicaties voor de manier waarop beveiligingsprogramma’s zijn gestructureerd. De meeste AI-governancecomités zijn georganiseerd rond toolbeoordeling, met leveranciers die binnenkomen en worden beoordeeld, goedgekeurd of afgewezen met het oog op opname in het register. Dat proces gaat ervan uit dat het gedrag van het hulpmiddel op het moment van goedkeuring het gedrag van het hulpmiddel in productie is. Voor software met ingebouwde AI is die veronderstelling verbroken voordat de inkt droog is. De leverancier zal een nieuw model, een nieuwe agentmodus, een nieuwe integratie leveren, en de governancebeoordeling die zes maanden geleden is goedgekeurd, beschrijft nu een product dat niet langer bestaat.

Van het hulpmiddel naar de identiteit

De programma’s die standhouden, zijn degenen die governance van het hulpmiddel naar de identiteit verplaatsen. Elke handeling met je gegevens, door elke actor, is traceerbaar naar een identiteit met een bekende eigenaar, een afgebakende set machtigingen en een gedefinieerde levensduur. Of het nu een mens of een niet-mens is, een medewerker of een agent, een goedgekeurd hulpmiddel of een ingebedde modus, de vraag is dezelfde: wie is dit, wat mogen ze doen, en hoe weten we wanneer die bevoegdheid moet vervallen? Programma’s die deze vragen kunnen beantwoorden, hoeven niet de wedloop om tools goed te keuren te winnen. Programma’s die dat niet kunnen, zullen achter leveranciers en medewerkers aan blijven lopen die sneller leveren dan enig beoordelingsproces kan voortgaan.

Schaduw-AI verdwijnt niet als categorie. Juist in dit nieuwe tijdperk van werk door AI-agenten gebruikt al 72% van de organisaties AI-agenten in productie. In plaats daarvan wordt het een kleiner onderdeel van een groter probleem. De organisaties die de komende begrotingscyclus besteden aan het opsporen van tools en beleid voor hun goedkeuring, lossen het probleem van 2024 op op een tijdschema van 2026. Degenen die het besteden aan identiteitslaag-instrumentatie voor mensen, voor agenten, voor het complexe continuüm tussen hen, lossen het probleem op dat ze werkelijk zullen hebben.

De eerste golf van schaduw-AI leerde beveiligingsteams dat ze de nieuwsgierigheid van medewerkers niet konden voorblijven. De tweede golf zal hen leren dat ze het tempo van leveranciers en de vindingrijkheid van medewerkers niet kunnen voorblijven. Beide lessen wijzen naar dezelfde conclusie. De eenheid van governance was nooit het hulpmiddel. Het was altijd de identiteit die er doorheen handelt.