Een klant van AFAS Software kwam onlangs in de problemen door een externe partij die zich presenteerde als AI-specialist. De integratie gaf meer rechten dan bedoeld, waardoor gevoelige bedrijfsdata toegankelijk werd voor derden.
Juist daar gaat het vaak fout, schrijft ceo Bas van der Veldt hierover op LinkedIn. Partijen bouwen in hoog tempo AI-tools die diep ingrijpen in systemen, zonder dat ondernemers precies weten wat er onder de motorkap gebeurt. ‘Je haalt het paard van Troje binnen’, waarschuwt hij.
Lees ook: Het verschil dat AI niet kan maken: ‘Gebruik AI als het waarde toevoegt, maar laat menselijkheid je kompas zijn’
AI in het mkb: veel gebruik, weinig grip
Wat er bij AFAS gebeurde, staat niet op zichzelf. Veel ondernemers proberen AI uit, maar het blijft vaak bij losse toepassingen. De kennis en controle lopen daar nog op achter. Zo gebruikt nog geen 14 procent van de kleinste bedrijven AI, tegenover ongeveer 30 procent in het bredere mkb, blijkt uit recente cijfers van het CBS.
Daar zit het probleem, aldus senior business analist en ondernemer Mellius Brouwer. Hij spreekt donderdag 16 april tijdens de Almere Tech Meetup over hoe bedrijven AI kunnen inzetten om dieperliggende oorzaken in processen bloot te leggen. Meer bedrijven gebruiken AI, maar zetten het nog niet structureel in binnen hun processen. „Veel organisaties pakken met AI vooral symptomen aan, niet het onderliggende probleem.” Daardoor blijft het effect beperkt en ontbreekt overzicht in hoe processen echt lopen.
De waan van de dag regeert – weinig mkb’ers nemen echt tijd om aan innovatie te werken
Remy Gieling
Dat beeld herkent Remy Gieling, AI-expert en medeoprichter van Ai.nl. „De waan van de dag regeert – weinig mkb’ers nemen echt tijd om aan innovatie te werken. En losse tools zijn heel eenvoudig: je geeft iemand een abonnement van 20 euro per maand en diegene kan net iets effectiever werken.”
De volgende stap, het automatiseren van complete werkprocessen met AI, vraagt veel meer, legt hij uit. Denk aan kennis over modelkeuze, beveiliging van data en het goed instrueren van systemen. „Zonder die basis blijft AI een losse tool, in plaats van iets dat echt in je bedrijf verankerd zit.”
Aanvallen via AI-tool
Volgens Orange Cyberdefense ontstaat door AI een nieuw type risico: ketenkwetsbaarheid. In het jaarlijkse Security Navigator-rapport waarschuwt het bedrijf dat AI-systemen vaak verbonden zijn met meerdere interne en externe systemen en zelfstandig acties kunnen uitvoeren. Eén kleine fout, zoals een misleidende e-mail of verkeerde instructie, kan daardoor grote gevolgen hebben. „Je hoeft niet eens ergens op te klikken”, zegt strategisch adviseur Matthijs van der Wel-ter Weel. „Zodra iemand dat misbruik inzet, verspreidt de aanval zich via de AI-tool zelf.”
Daar zit het verschil met traditionele software. Waar een hack eerder lokaal bleef, kan een fout zich via AI razendsnel door meerdere systemen tegelijk verspreiden, zonder dat iemand het merkt.
Tegelijk zit het grootste risico volgens Gieling niet alleen in wat er mis kan gaan, maar juist in wat bedrijven laten liggen. Grote bedrijven zetten al volop AI-agents in om processen te automatiseren, terwijl veel mkb-bedrijven nog nauwelijks verder komen dan experimenteren. „Het echte gevaar is dat bedrijven te weinig technische kennis hebben om AI goed in te richten. Dan ontbreken de juiste beveiliging, context en instructies, en werkt het simpelweg niet zoals bedoeld.”
Lees ook: Thomas (29) haalt 4 miljoen op met AI-startup: ‘Ondernemers dragen geen commissiekosten meer af aan Thuisbezorgd’
Zo begin je met AI zonder grip te verliezen
Volgens Remy Gieling zit de winst bij AI niet in losse tools, maar in de manier waarop bedrijven die inzetten:
• Begin met één tool
Geef medewerkers één vaste AI-tool (bijv. Claude) en training. Laat ze werken met projecten en het koppelen van systemen zoals e-mail of een CRM (klantgegevens).
• Stel duidelijke grenzen
Bepaal wie AI mag koppelen en welke data gebruikt mag worden. Voorkom dat AI zomaar overal bij kan of zelfstandig acties uitvoert.
• Leg vast wat AI wel en niet mag
Bijvoorbeeld: geen gevoelige data delen en geen acties uitvoeren zonder controle.
• Laat experiment toe, maar binnen kaders
Medewerkers gaan toch slimmer werken met AI. Geef ruimte, maar zorg voor duidelijke spelregels.
• Kijk verder dan sneller werken
Gebruik AI om processen te verbeteren: HR die continu medewerkerstevredenheid meet, of finance die scenario’s doorrekent met AI.
AI-tools en trainingen
Gaat er iets mis, dan kan dat binnen het bedrijf meteen voor grote problemen zorgen. Dat gebeurt vaak buiten het zicht van de organisatie om. Medewerkers gaan zelf aan de slag met AI-tools. Volgens Gieling is dat onvermijdelijk. „Medewerkers wachten niet meer op de stroperigheid van organisaties. Ze gaan zelf op zoek naar oplossingen.” Dat vergroot het risico op datalekken, maar vraagt volgens hem vooral om een andere aanpak: ruimte geven aan experiment, maar wel met duidelijke kaders. Of zoals Van der Wel-ter Weel het samenvat: „Eén toegangscode die meerdere omgevingen opent, is vragen om problemen.”
Eén toegangscode die meerdere omgevingen opent, is vragen om problemen
Matthijs van der Wel-ter Weel Strategisch adviseur Orange Cyberdefense
Wie met AI aan de slag wil, moet volgens Gieling klein beginnen, maar wel bewust „Geef medewerkers een veilige omgeving om te leren werken met AI, bijvoorbeeld met één vaste tool en training. Het is enorm nuttig, maar wordt nog amper goed benut.”
Bij AFAS Software nemen ze inmiddels maatregelen om dit soort risico’s te beperken en de controle terug te brengen naar de organisatie. „Zo heb je voor het geven van toegang straks toestemming van je directeur nodig, én we geven de toegang een beperkte houdbaarheid”, aldus Bas van der Veldt.
Lees ook: Acht topondernemers bouwen in één week vijf bedrijven met AI: ‘Die snelheid is echt bizar’
Houd grip op AI in je bedrijf
1. Weet wat er draait
Maak een lijst van alle AI-tools die binnen je bedrijf worden gebruikt. Kijk ook welke systemen eraan gekoppeld zijn, zoals e-mail, boekhouding of CRM (klantgegevens).
2. Beperk toegang tot het noodzakelijke
Geef AI alleen toegang tot wat echt nodig is. Laat een tool bijvoorbeeld niet bij je hele administratie als dat niet nodig is: Eén verkeerde koppeling kan gevoelige bedrijfsdata openzetten voor derden.
3. Kijk mee met wat AI doet
Let niet alleen op wie inlogt, maar ook op wat AI uitvoert. Zie je dat een tool ineens andere acties uitvoert of vreemde output geeft? Grijp dan meteen in.
