vertrouwen is een keuze

Ik sta geregeld voor een zaal met MKB-ondernemers, iets vertellen over AI, en er is één reactie die bijna altijd als eerste komt. De angst dat er data weglekt. Elke keer weer.

En dan zijn er die twee cijfers. Eenenvijftig procent van de Nederlandse ondernemers vreest datalekken door AI. Zeven procent weet hoe de regels echt zitten. Allebei uit hetzelfde onderzoek van Rijksoverheid en KVK, eind 2025. En samen vertellen ze eigenlijk het hele verhaal.

De angst zit hoog. De kennis zit laag. En in dat gat? Daar gebeurt van alles. Alleen geen verstandige besluitvorming.

de kloof tussen angst en kennis

Drie van de tien ondernemers gebruiken inmiddels ChatGPT of Microsoft Copilot. Zakelijke dienstverlening? Daar is het 46 procent. En op datzelfde moment maakt 53 procent zich zorgen over gebrek aan transparantie, en 52 procent over regelgeving en compliance. Dus ze gebruiken het én ze zijn bang. Tegelijk.

Eén getal blijft bij me hangen. Slechts 2 tot 3 procent treft echt maatregelen rond de Europese AI-wetgeving. De rest niet. Meer dan de helft heeft er niet eens plannen voor.

En dat is dus geen adoptieprobleem. Het is een vertrouwensprobleem. Kijk, ik zie bedrijven twee kanten op schieten. Of ze mijden AI helemaal, of ze gaan er ongecontroleerd op los. Allebei schadelijk. En allebei uit precies dezelfde bron: wie niet snapt hoe iets werkt, kan er ook niet gecontroleerd mee omgaan. Dan blijft er vermijden over. Of gokken. Meer smaken zijn er niet.

waar de angst zit, en waar het risico zit

De grootste angst? Dat AI traint op jouw data. En die angst is niet eens gek, hoor. Vooral op klantdata zit-ie hoog, en dat snap ik ook wel. Bedrijven hebben klantdata, en in de markt van nu is dat enorm belangrijk. Privacy. Alleen: hij zit meestal op de verkeerde plek.

Want het ligt niet aan de provider. Het ligt aan je abonnement. Consumer-abonnementen gebruiken je data standaard voor training. Anthropic zette die toggle in augustus 2025 zelfs gewoon default op aan. Klein gedrukt, onder een grote Accept-knop. Business-abonnementen doen dat niet: die sluiten training op klantdata contractueel uit, zwart-op-wit in de Commercial Terms en DPA’s. Werk je met zo’n partij, dan werkt-ie dus niet met jouw data, en dat trainen kun je gewoon uitzetten. Ligt het echt gevoelig? Ga voor een Europese vendor, of draai het model lokaal. Opties zat.

Dat verschil leer je in tien minuten. En tóch kent bijna niemand het. Zo maak je dus beleid op een beeld dat niet klopt. Terwijl er op dit vlak, denk ik, veel meer te halen valt dan er te vrezen is.

En ondertussen zit het echte risico ergens heel anders. Een stuk minder spannend ook, dan zo’n stiekem lerend model. Kijk: Samsung-engineers plakten broncode in consumer-ChatGPT zonder dat IT het doorhad. Group-IB vond ruim 101.000 apparaten die besmet waren met infostealers, mét opgeslagen ChatGPT-inloggegevens. En AI-agents zijn al meer dan eens om de tuin geleid, met instructies die verstopt zaten in e-mails en documenten.

Zie je wat die incidenten gemeen hebben? Geen enkele ging over een model dat stiekem meetraint. Nul. Ze gingen allemaal over mensen. Over configuratie. Training is in 99 procent van de MKB-AI-incidenten het probleem niet. De mens en de instellingen wel.

En toch is niet álle wantrouwen misplaatst. Er is er eentje die ik juist wél gezond vind. Niet de angst voor je data, maar de afhankelijkheid van één model. Zet je je hele tent op één aanbieder, en die verandert z’n voorwaarden, verhoogt de prijs of gaat een dag plat, dan sta jij ook stil. Als straks de halve wereld op datzelfde ene model leunt, ja, dat moet je niet willen. Dus dáár mag je best wantrouwig zijn: zorg dat je kunt wisselen. Dat is geen angst. Dat is gewoon je risico spreiden.

artikel 4 is geen vinkje

En dan komt de wetgever om de hoek kijken. De EU AI Act geldt vanaf 2 augustus 2026 breed voor het MKB. Voor de meeste toepassingen zijn de verplichtingen licht, hoor: vertel klanten dat ze met AI praten, zorg dat AI-gegenereerd beeld en geluid herkenbaar is, en weet zelf welke AI je eigenlijk in huis hebt. En dan bedoel ik niet alleen dát je ‘m hebt. Minstens één iemand in de tent hoort echt te weten wat elk model daar staat te doen, en waarvoor. Bij mij is dat gewoon een lopende lijst: elke functionaliteit erop, met in gewone taal waar we ‘m voor gebruiken en met welk doel. Eén gedeeld document dekt dat overzicht al. Een wettelijk verplicht register is het niet. Dit is echt geen project van tonnen, en de nuchtere doorloop staat in de ai act zonder paniek.

Maar artikel 4 van diezelfde wet vraagt iets anders. En dát wordt stelselmatig onderschat. Organisaties moeten aantoonbaar werken aan de AI-geletterdheid van hun mensen. Sinds de wetswijziging van 2026 is dat formeel een inspanningsverplichting. Geen examen. Snap je het verschil? Het gaat om de mensen. Niet om de tools.

En wat de markt dan doet, tja, dat laat zich raden. AI-geletterdheid wordt zo’n compliance-verplichting. Een e-learning inkopen, iedereen een certificaatje, vinkje gezet, klaar. Precies zoals het eerder met de privacytrainingen ging.

En daar, precies daar, mist de reflex het punt. Want tools veranderen sneller dan je policies. Een regel die je team vandaag uit z’n hoofd leert, is over drie maanden alweer achterhaald. Nieuwe functie, gewijzigde voorwaarde, en hup, klopt het niet meer. Daarom moeten mensen snappen waaróm de regels er zijn. Niet alleen wát ze zijn. Anders voelen ze niet aan wanneer ze moeten escaleren. En laat dat escaleren nou net het gedrag zijn dat incidenten voorkomt.

En ja, eerlijk is eerlijk. Ik geef zelf trainingen over AI in het MKB. Dus ik heb er belang bij dat de conclusie training boven tooling stelt. Weeg dat mee, echt. Alleen: die cijfers hierboven zijn niet van mij. En dat patroon in de incidenten ook niet.

wat een ondernemer concreet doet

Het goede nieuws, en dat is echt goed nieuws: de afstand tussen die 7 procent kennis en gewoon genoeg kennis is klein. Vijf stappen. Geen consultancytraject. En dit is de volgorde die ik zelf aanhoud.

Eerst inventariseren. Welke AI-tools gebruikt je team nou eigenlijk, op welk abonnement, met welke data. Een uurtje werk, meer niet. En geloof me, je schrikt van wat er al draait zonder dat iemand het ooit echt besloten heeft. Daarna: kies één officieel AI-pakket voor het hele team, op business-niveau. Want al die versnipperde eigen accounts, dáár beginnen de Samsung-scenario’s. Stap drie, schrijf je beleid op één pagina. Wat mag wel in AI, wat niet, wat doe je als je twijfelt, en wie is er eindverantwoordelijk. Eén A4. Meer hoeft niet.

En dan stap vier. Die vind ik zelf de belangrijkste, en het is precies waarom ik dit hele stuk aan dat waarom ophang. Train je mensen op het waarom. Dít is de stap die artikel 4 bedoelt. En de enige die nog meebeweegt als de tools morgen weer veranderen. Tot slot, zet op tijd je meldplicht live. Want vanaf 2 augustus 2026 moet elke klant kunnen weten dat-ie met AI praat. En dan ben je er. Klaar.

Wie deze vijf stappen zet, hoort ineens bij een kleine minderheid. Gek eigenlijk, want de lat ligt helemaal niet hoog. Alleen: bijna niemand stapt eroverheen. Dat is het enige.

vertrouwen is een keuze

Er wordt vaak gedaan alsof vertrouwen in AI iets is dat vanzelf moet groeien. Alsof het vanzelf komt, als de technologie maar volwassener wordt. De leveranciers transparanter. De wetgeving duidelijker. Even afwachten dus.

Nou, daar geloof ik dus niet in. Die 51 procent die datalekken vreest? Die wordt echt niet geruster van de volgende modelgeneratie. Angst die uit onwetendheid komt, die gaat niet weg van een beter product. Die gaat weg van begrip. Punt.

Vertrouwen is hier gewoon een keuze. Je voelt het niet, je maakt het. Je kiest een abonnement waarvan je de voorwaarden echt hebt gelezen. Je kiest regels waarvan je team het waarom snapt. En je kiest ervoor om te wéten wat er met je data gebeurt, in plaats van er maar een beetje op te hopen.

En dáárom maakt die kloof tussen 51 en 7 procent me ook niet somber. Elk bedrijf dat ‘m voor zichzelf dicht, verandert angst in een geïnformeerd besluit. En soms is dat besluit alsnog nee. Ook prima, echt. Een nee uit begrip is meer waard dan een ja uit onwetendheid.

Vertrouwen is niet iets wat een leverancier je even komt brengen. Dat bouw je zelf. En de eerste steen? Dat is begrip.