Jamf-CEO Beth Tschida: ‘AI verbieden is geen strategie’
AI is in korte tijd onderdeel geworden van de dagelijkse werkpraktijk. Maar terwijl CIO’s en CISO’s nog werken aan beleid en governance, zijn veel medewerkers allang begonnen. Volgens Jamf krijgt inmiddels 98 procent van de organisaties te maken met medewerkers die AI-tools gebruiken die niet door IT zijn goedgekeurd.
CEO Beth Tschida (foto) waarschuwt daarom voor de snelle opkomst van shadow AI. “98 procent van de organisaties heeft medewerkers die AI-tools gebruiken die hun IT-team nooit heeft goedgekeurd. Dat percentage gaat niet dalen”, stelt Tschida. Voor organisaties ligt de uitdaging volgens haar dan ook niet in het tegenhouden van AI, maar in het beheersen ervan. “Organisaties die erin slagen AI-gebruik te sturen in plaats van er alleen op te reageren, hebben een duidelijk voordeel.”
Het probleem doet denken aan shadow IT, maar de risico’s zijn groter. Een medewerker kan bijvoorbeeld een rapport laten samenvatten, code laten controleren of een klantvraag invoeren in een publieke AI-assistent. Daarmee kan ongemerkt gevoelige bedrijfs- of klantinformatie buiten de gecontroleerde IT-omgeving terechtkomen.
Van verbieden naar beheersen
AI simpelweg verbieden is volgens Tschida niet realistisch. Wanneer een tool medewerkers uren werk kan besparen, zullen zij manieren blijven zoeken om die technologie te gebruiken. De betere strategie is daarom om goedgekeurde AI-platforms beschikbaar te stellen en duidelijke grenzen te bepalen. Welke toepassingen mogen medewerkers gebruiken? Welke data mogen zij ermee verwerken? En welke toegang krijgen AI-tools tot systemen en informatie? “Shadow AI bestrijd je niet door nee te zeggen, maar door onder de juiste voorwaarden ja te zeggen”, vat Tschida die aanpak samen. Daarmee verandert de boodschap richting medewerkers van gebruik geen AI naar zo kun je AI veilig gebruiken.
Security zonder surveillance
Tegelijkertijd moeten organisaties zicht krijgen op wat er gebeurt. Dat betekent volgens Jamf niet dat iedere prompt van iedere medewerker gevolgd moet worden. Daarmee dreigt security al snel te veranderen in surveillance. De belangrijkere vraag is welke data en credentials een AI-toepassing vanaf een endpoint kan bereiken. Niet alleen: wat vraagt de medewerker aan AI?, maar vooral: waar kan die AI vervolgens bij?
Dat vraagt om technische controle op endpoints, toegangsrechten en datastromen. Tschida ziet daarin een duidelijke verantwoordelijkheid voor IT- en securityleiders. “AI-adoptie binnen organisaties gaat sneller dan het bestaande technologiebeleid kan bijhouden.” Organisaties hebben volgens haar governance nodig die aansluit op de manier waarop AI-tools daadwerkelijk op apparaten functioneren.
AI-governance wordt leiderschapsvraagstuk
Daarmee kan de verantwoordelijkheid voor veilig AI-gebruik niet alleen bij medewerkers worden neergelegd. CIO’s, CISO’s en CTO’s zullen gezamenlijk moeten bepalen welke toepassingen zijn toegestaan en welke technische en organisatorische maatregelen daarbij horen.
Dat wordt urgenter naarmate AI verder in organisaties doordringt. Uit recent onderzoek van Jamf onder 687 IT- en securityleiders blijkt dat 72,9 procent AI inmiddels op enige manier heeft ingezet. Organisaties waar AI diep is geïntegreerd, rapporteren tegelijkertijd 40 procent vaker AI-gerelateerde incidenten dan organisaties die zich nog in de verkennende fase bevinden.
De kern is daarmee niet om AI zoveel mogelijk te beperken. De organisaties die vooroplopen zullen juist proberen medewerkers de ruimte te geven om AI te benutten, zonder daarbij de controle over hun data te verliezen. De uitdaging voor CIO’s en CISO’s is niet om shadow AI volledig uit te bannen, maar om ervoor te zorgen dat medewerkers geen reden meer hebben om in de schaduw te werken.
