KnowBe4-onderzoek: 50 procent van de Nederlandse organisaties gebruikt AI-agents zonder duidelijke governance

Utrecht, 25 juni 2026 – Maar liefst 50 procent van de Nederlandse organisaties heeft geen duidelijke governance-richtlijnen voor het gebruik van AI, terwijl deze technologie inmiddels wel breed wordt ingezet binnen bedrijfsprocessen. Dat blijkt uit onderzoek van KnowBe4 onder zowel Nederlandse cybersecuritybeslissers als medewerkers. De resultaten schetsen een zorgwekkend beeld. Zonder duidelijke governance krijgen AI-agents meer autonomie dan wenselijk is. Organisaties hebben tegelijkertijd onvoldoende zicht op hoe medewerkers AI inzetten. Hierdoor neemt het risico op zogeheten ‘Shadow AI’ toe: het ongecontroleerde gebruik van AI-tools en AI-agents buiten het zicht van de organisatie.

Shadow AI groeit sneller dan organisaties kunnen bijbenen

Agentic AI maakt steeds vaker deel uit van de dagelijkse werkzaamheden. Dat blijkt ook uit het onderzoek: 84 procent van de Nederlandse cybersecuritybeslissers geeft aan dat AI-tools worden gebruikt in de organisatie. Bovendien zet 58 procent autonome AI-agents in die zelfstandig acties kunnen uitvoeren binnen bedrijfsprocessen. Tegelijkertijd hebben veel organisaties moeite om grip te houden op het gebruik van deze technologie. Zo zegt 50 procent van de cybersecuritybeslissers dat AI weliswaar wordt gebruikt in de organisatie, maar dat er geen duidelijke governance is.

Dit gebrek aan governance vergroot het risico op ‘Shadow AI’: het gebruik van AI-tools en AI-agents buiten het zicht van de organisatie. Hierdoor kunnen gevoelige bedrijfsgegevens worden verwerkt zonder voldoende toezicht, wat de kans op beveiligings-, privacy- en complianceproblemen vergroot.

Die beperkte controle hangt sterk samen met het gedrag van medewerkers. Iets meer dan een kwart van de ondervraagde medewerkers (27 procent) geeft aan eigen AI-tools te gebruiken wanneer goedgekeurde alternatieven van de organisatie zelf ontbreken of te beperkend zijn. Dat is opvallend omdat maar liefst 81 procent van de medewerkers zich ervan bewust is dat informatie die in AI-tools wordt ingevoerd kan worden opgeslagen of gebruikt op manieren die gevoelige bedrijfsinformatie blootstellen.

De risico’s van deze ontwikkeling zijn inmiddels duidelijk. De helft van de cybersecuritybeslissers (50 procent) geeft aan dat het gebruik van niet-goedgekeurde software en AI-applicaties een negatieve impact heeft op de beveiligingspositie van hun organisatie. Daarnaast noemt 48 procent het veilig beheren van AI-tools en AI-agents de grootste uitdaging bij het beperken van mensgerelateerde cyberrisico’s.

Gevaar deepfakes wordt onderschat

Het onderzoek wijst daarnaast op de opkomst van AI-gedreven aanvallen. Zo vindt 90 procent van de Nederlandse medewerkers dat deepfake-video’s en -audiobestanden inmiddels zo realistisch zijn dat het lastig is om te bepalen welke informatie nog te vertrouwen is. Daarnaast geeft 67 procent aan dat zij mogelijk slachtoffer zouden kunnen worden van deepfake-oplichting op de werkvloer.

Ondanks de opkomst van deepfakes en andere AI-gestuurde aanvallen is het opvallend dat slechts 16 procent van de Nederlandse cybersecuritybeslissers verwacht dat deze dreigingen het cyberrisico voor hun organisatie het sterkst zullen vergroten in de komende twaalf maanden. Wel denkt de helft van de cybersecuritybeslissers (50 procent) zeer goed voorbereid te zijn op onverwachte of nieuwe AI-gerelateerde dreigingen in het komende jaar. Dat lijkt wat optimistisch, want slechts 6 procent van de organisaties heeft het hoogste volwassenheidsniveau bereikt: een geïntegreerde aanpak die menselijke en AI-gerelateerde cyberrisico’s gelijktijdig beheert.

“Cybersecurity bevindt zich in een nieuwe en complexe fase. Organisaties moeten tegenwoordig zowel menselijke medewerkers als AI-agents beschermen, terwijl de hybride werkomgeving sneller verandert dan veel securityteams kunnen bijhouden,” zegt Martin Kraemer, CISO Advisor bij KnowBe4. “Aanvallers opereren op machinesnelheid en maken gebruik van technieken zoals deepfakes om medewerkers te misleiden en prompt injections om AI-agents te manipuleren. Dat vier op de tien Nederlandse organisaties hun AI-gebruik onvoldoende beheert, vormt een welkome uitnodiging voor cybercriminelen.”

De belangrijkste Nederlandse onderzoeksdata zijn hier beschikbaar: chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://www.knowbe4.com/hubfs/KB4-Human-Wins-Datasheet_Neth.pdf
Het wereldwijde rapport is hier te downloaden: chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://www.knowbe4.com/hubfs/From_Agentic_Risk_to_Human_Wins_Report-Research_en-US.pdf

Over het onderzoek

Het onderzoek is uitgevoerd door Vanson Bourne onder 4.000 respondenten wereldwijd, waaronder 50 cybersecuritybeslissers en 200 medewerkers uit Nederland. Alle deelnemers werken bij organisaties met minimaal 250 medewerkers.