De helft van de Nederlandse organisaties heeft geen duidelijke governance voor het gebruik van AI, terwijl 84 procent van de cybersecuritybeslissers aangeeft dat AI-tools wel degelijk worden ingezet. Dat blijkt uit onderzoek van KnowBe4, uitgevoerd door Vanson Bourne onder 250 Nederlandse respondenten. Het ontbreken van beleid vergroot volgens het bedrijf het risico op ongecontroleerd gebruik van AI-tools buiten het zicht van de organisatie.
KnowBe4 presenteert de uitkomsten van een onderzoek naar de staat van AI-governance en AI-gerelateerde cyberrisico’s in Nederland. Vanson Bourne voerde het onderzoek uit onder 4.000 respondenten wereldwijd, waaronder 50 cybersecuritybeslissers en 200 medewerkers bij Nederlandse organisaties met minimaal 250 medewerkers.
Gebruik loopt voor op beleid
Uit het onderzoek blijkt dat 84 procent van de Nederlandse cybersecuritybeslissers aangeeft dat AI-tools worden ingezet binnen de organisatie. Daarvan werkt 58 procent al met autonome AI-agents die zelfstandig acties uitvoeren binnen bedrijfsprocessen. De helft van de beslissers stelt tegelijkertijd dat er geen duidelijke governance-richtlijnen zijn voor dat gebruik.
Dat gebrek aan beleid vertaalt zich in risico’s rondom zogeheten ‘Shadow AI’: het gebruik van AI-tools en AI-agents buiten het zicht van de organisatie. Iets meer dan een kwart van de ondervraagde medewerkers (27 procent) geeft aan eigen AI-tools te gebruiken wanneer door de organisatie goedgekeurde alternatieven ontbreken of te beperkend zijn. Opvallend daarbij is dat 81 procent van diezelfde medewerkers zich bewust is van het risico dat ingevoerde informatie kan worden opgeslagen of verder kan worden gebruikt op manieren die gevoelige bedrijfsdata blootstellen.
De gevolgen zijn merkbaar: 50 procent van de cybersecuritybeslissers geeft aan dat niet-goedgekeurde software en AI-applicaties een negatieve impact hebben op de beveiligingspositie van de organisatie. Daarnaast noemt 48 procent het veilig beheren van AI-tools en AI-agents de grootste uitdaging bij het beperken van mensgerelateerde cyberrisico’s.
Deepfakes: herkend, maar onderschat
Het onderzoek wijst ook op de groeiende rol van AI bij aanvallen. Negentig procent van de Nederlandse medewerkers geeft aan dat deepfake-video’s en -audiobestanden inmiddels zo realistisch zijn dat het lastig te bepalen is welke informatie nog te vertrouwen is. Zesenzestig procent denkt zelf slachtoffer te kunnen worden van deepfake-oplichting op de werkvloer.
Toch verwacht slechts 16 procent van de Nederlandse cybersecuritybeslissers dat AI-gedreven dreigingen het cyberrisico voor hun organisatie het sterkst zullen vergroten in de komende twaalf maanden. De helft van de beslissers denkt goed voorbereid te zijn op nieuwe AI-gerelateerde dreigingen. KnowBe4 plaatst daarbij een kanttekening: slechts 6 procent van de organisaties heeft het hoogste volwassenheidsniveau bereikt, waarbij menselijke en AI-gerelateerde cyberrisico’s in samenhang worden beheerd.
Aanvallers opereren op machinesnelheid
Martin Kraemer, CISO Advisor bij KnowBe4, stelt dat de securitypraktijk in een nieuwe fase is beland. Organisaties moeten nu zowel menselijke medewerkers als AI-agents beschermen, terwijl de hybride werkomgeving sneller verandert dan veel securityteams kunnen bijhouden. Kraemer geeft aan dat aanvallers technieken zoals deepfakes en prompt injections inzetten om medewerkers te misleiden en AI-agents te manipuleren. Dat vier op de tien Nederlandse organisaties het AI-gebruik onvoldoende beheert, vormt volgens hem een opening voor cybercriminelen.
