vertrouwen is een keuze

Eenenvijftig procent van de Nederlandse ondernemers vreest datalekken door AI. Zeven procent weet hoe de regels echt zitten. Die twee cijfers komen uit hetzelfde onderzoek van Rijksoverheid en KVK, eind 2025, en samen vertellen ze het hele verhaal.

De angst zit hoog. De kennis zit laag. En in dat gat gebeurt van alles, behalve verstandige besluitvorming.

de kloof tussen angst en kennis

Drie van de tien ondernemers gebruiken inmiddels ChatGPT of Microsoft Copilot. In de zakelijke dienstverlening is dat 46 procent. Tegelijk maakt 53 procent zich zorgen over gebrek aan transparantie en 52 procent over regelgeving en compliance.

En dan het cijfer dat mij het meest zegt: slechts 2 tot 3 procent treft daadwerkelijk maatregelen rond de Europese AI-wetgeving. Meer dan de helft heeft geen plannen.

Dat is geen adoptieprobleem. Dat is een vertrouwensprobleem. Ik zie bedrijven een van twee dingen doen: AI helemaal vermijden, of er ongecontroleerd op losgaan. Beide zijn schadelijk, en beide komen uit dezelfde bron. Wie niet begrijpt hoe iets werkt, kan er niet gecontroleerd mee omgaan. Dan blijft er alleen vermijden of gokken over.

waar de angst zit, en waar het risico zit

De grootste angst is dat AI traint op jouw data. Die angst is niet gek, maar hij zit op de verkeerde plek.

Het ligt namelijk niet aan de provider. Het ligt aan het abonnement. Consumer-abonnementen gebruiken je data standaard voor training. Anthropic zette die toggle in augustus 2025 zelfs default op aan, klein gedrukt onder een grote Accept-knop. Business-abonnementen sluiten training op klantdata contractueel uit, zwart-op-wit in de Commercial Terms en DPA’s.

Dat verschil leer je in tien minuten. Toch kent vrijwel niemand het, en dus wordt er beleid gemaakt op basis van een beeld dat niet klopt.

Ondertussen zit het echte risico ergens anders. Samsung-engineers plakten broncode in consumer-ChatGPT zonder dat IT het wist. Group-IB vond ruim 101.000 met infostealers besmette apparaten met opgeslagen ChatGPT-inloggegevens. AI-agents zijn meermaals misleid via verstopte instructies in e-mails en documenten.

Kijk naar wat die incidenten gemeen hebben. Geen enkele ging over een model dat stiekem meetraint. Allemaal gingen ze over mensen en configuratie. Training is in 99 procent van de MKB-AI-incidenten niet het probleem. De mens en de instellingen wel.

artikel 4 is geen vinkje

Hier komt de wetgever binnen. De EU AI Act geldt vanaf 2 augustus 2026 breed voor het MKB, met voor de meeste toepassingen lichte verplichtingen: houd een AI-register bij, markeer AI-gegenereerde content als AI. Een notitie-app is genoeg voor dat register. Dit is geen project van tonnen.

Maar artikel 4 van diezelfde wet vraagt iets anders, en dat wordt stelselmatig onderschat: organisaties moeten zorgen dat hun mensen voldoende AI-geletterd zijn. Niet de tools, de mensen.

De standaardreactie in de markt is voorspelbaar. AI-geletterdheid wordt behandeld als een compliance-verplichting: een e-learning inkopen, iedereen een certificaatje, vinkje gezet. Precies zoals dat eerder met privacytrainingen ging.

Ik draai het om. Tools veranderen sneller dan policies. Een regel die je team vandaag uit het hoofd leert, is over drie maanden achterhaald door een nieuwe functie of een gewijzigde voorwaarde. Mensen moeten daarom weten waarom de regels er zijn, niet alleen wat ze zijn. Anders weten ze niet wanneer ze moeten escaleren, en escaleren is precies het gedrag dat incidenten voorkomt.

Eerlijkheidshalve: ik geef zelf trainingen over AI in het MKB, dus ik heb belang bij de conclusie dat training belangrijker is dan tooling. Weeg dat mee. De cijfers hierboven zijn alleen niet van mij, en het patroon in de incidenten ook niet.

wat een ondernemer concreet doet

Het goede nieuws is dat de afstand tussen 7 procent kennis en voldoende kennis klein is. Vijf stappen, geen consultancytraject.

Inventariseer welke AI-tools je team gebruikt, welk abonnement, op welke data. Dat is een uur werk en je zult verbaasd zijn.

Kies daarna één officieel AI-pakket voor het hele team, op business-niveau. Geen versnipperde eigen accounts, want daar beginnen de Samsung-scenario’s.

Schrijf beleid van één pagina. Wat mag wel in AI, wat niet, wat doe je bij twijfel, wie is eindverantwoordelijk.

Train je mensen op het waarom. Dit is de stap die artikel 4 bedoelt, en de enige die meebeweegt als de tools veranderen.

En houd vanaf augustus 2026 je register bij en markeer AI-content. Klaar.

Wie deze vijf stappen zet, hoort ineens bij een kleine minderheid. Niet omdat de lat hoog ligt, maar omdat bijna niemand eroverheen stapt.

vertrouwen is een keuze

Er wordt vaak gedaan alsof vertrouwen in AI iets is dat moet groeien. Alsof het vanzelf komt als de technologie volwassener wordt, de leveranciers transparanter, de wetgeving duidelijker. Wachten dus.

Ik geloof daar niet in. De 51 procent die datalekken vreest, gaat niet geruster worden van de volgende modelgeneratie. Angst die uit onwetendheid komt, verdwijnt niet door betere producten. Die verdwijnt door begrip.

Vertrouwen is in dit domein geen gevoel maar een keuze. Je kiest een abonnement waarvan je de voorwaarden hebt gelezen. Je kiest regels waarvan je team het waarom snapt. Je kiest ervoor te weten wat er met je data gebeurt in plaats van erover te hopen.

Dat is ook waarom de kloof tussen 51 en 7 procent mij niet somber maakt. Elk bedrijf dat die kloof voor zichzelf dicht, verandert angst in een geïnformeerd besluit. Soms is dat besluit alsnog nee, en dat is prima. Een nee uit begrip is meer waard dan een ja uit onwetendheid.

Vertrouwen is niet iets wat een leverancier je kan geven. Het is iets wat je zelf bouwt, en de eerste steen is begrip.