Best practices voor AI governance met beperkte middelen - LastPass

HANDLEIDING

Best practices voor AI governance met beperkte middelen

Maar 27% van de organisaties heeft een actief afgedwongen beleid voor AI governance. Maar AI wordt wel gebruikt in 92% van de organisaties. Ontdek het praktische kader waarmee IT-teams met beperkte middelen dit gat kunnen dichten.

Download het rapport

Vertrouwd door meer dan 100.000 bedrijven overal ter wereld · Gecertificeerd voor SOC 2 Type II, ISO 27001, ISO 27701 · 4,5/5 op G2

Belangrijkste statistieken: wat de gegevens laten zien

Bron: LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging Inzichten uit enquêtes onder ruim 400 IT-leiders, inloggewoontes van meer dan 450.000 mensen in ruim 20.600 organisaties, en toepassingsgebruik in de praktijk bij meer dan 15.900 organisaties.

92% van de IT-leiders zegt dat er binnen hun organisatie met AI gewerkt wordt. Maar slechts 27% heeft een dekkend, actief afgedwongen beleid om dit in goede banen te leiden.

Waarom dit belangrijk is: Veel MKB-ers weten dat ze AI moeten gaan aansturen, maar ze hebben geen heldere roadmap om effectieve governance uit te rollen.  

2,5/5 gemiddelde vertrouwen dat vastgesteld kan worden wanneer er gevoelige gegevens in AI-tools zijn ingevoerd.

Waarom het belangrijk is: Dit gebrek aan vertrouwen in de eigen capaciteiten laat zien dat organisaties geen zicht hebben op de praktijk op de werkvloer – en wat er gebeurt als er wel een beleid bestaat, maar dit niet kan worden afgedwongen.

42% gebruikt geen technische beveiligingsmaatregelen om de toegang van medewerkers tot AI-tools te beheren.

Waarom dit belangrijk is: Zonder naleving verzandt beleid in goede bedoelingen. Dat is geen effectieve governance. Zonder controlemechanismen moeten medewerkers zelf beoordelen wat veilig is, en de IT-afdeling heeft geen manier of in te grijpen bij riskante tools. 

Vertrouwen in AI governance: hoe IT-teams zichzelf inschatten

Bron: LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging (op basis van een enquête onder 412 IT-leiders)

Vertrouwensscore: 1 = weinig vertrouwen, 5 = veel vertrouwen.

  • Ongewenst gebruik van AI-tool stoppen: 3,0/5
  • Reageren op AI-gerelateerde beveiligingsincidenten: 2,8/5
  • Detecteren van AI-tools die worden gebruikt zonder goedkeuring: 2,6/5
  • Detecteren als gevoelige gegevens in AI worden ingevoerd: 2,5/5

Voor alle vier categorieën bij elkaar valt het vertrouwen in de eigen governance-capaciteiten onder de 3,5 op een schaal van 1 tot 5.

De uitkomsten laten zien dat organisaties vooral behoefte hebben aan inzicht in het daadwerkelijke AI-gebruik. Het detecteren van de gebruikte tools is een belangrijke eerste stap op weg naar effectieve governance.

Best practices voor AI governance in de praktijk

Als u een klein IT-team hebt met beperkte middelen, staat “best practices” voor een specifieke uitkomst: een duidelijk draaiboek dat concrete governance-resultaten oplevert, zonder dat hiervoor personeel nodig is dat u niet hebt.

Veel kaders voor AI governance, bijvoorbeeld van Gartner of IBM, benadrukken beleidsregels en controlemechanismen. Dit is een veel gebruikte benadering voor organisaties die governance opzetten voor een grootschalige uitrol van AI van bovenaf.

Maar in 92% van de organisaties wordt AI al gebruikt, vaak op initiatief van medewerkers. Deze organisaties moeten dus grip krijgen op het bestaande gebruik.

 

Niet iedereen loopt altijd voor op de ontwikkelingen. Moet u ook een inhaalslag maken met uw AI governance? Dan ontstaan er problemen als u beleid opstelt, zonder dat u weet voor welke tools u dit precies doet.

Uw beleid is dan niet afgestemd op de praktijk van uw medewerkers, en dat betekent vaak dat ze het zullen negeren of omzeilen. En over een half jaar kunt u dan weer opnieuw beginnen.

Governance die gedoemd is te mislukken: drie veel voorkomende patronen

De meeste IT-teams die verantwoordelijk zijn voor de governance van AI-gebruik, hebben geen gespecialiseerde medewerkers die zich alleen bezig houden met de beveiliging. Het werk moet worden ingepland naast de IT-ondersteuning voor gebruikers, het onderhoud van de infrastructuur, en het digitale toegangsbeheer. Problematische governance is vaak te herleiden tot één van deze drie factoren:

  1. Een totaal verbod leidt tot verborgen gebruik: Voor veel van de ondervraagde IT-leiders is een compleet verbod contraproductief: medewerkers omzeilen de goedgekeurde kanalen, en onzichtbaar AI-gebruik maakt het alleen maar lastiger om goed gefundeerde beslissingen te nemen om AI in goede banen te leiden.
  2. Perfectionisme vertraagt de implementatie: Governance is ook een kwestie van simpelweg beginnen. Veel organisaties wachten tot ze het “perfecte” beleid hebben, voordat ze in actie komen. Maar hoe langer ze wachten, hoe lastiger het wordt om grip te krijgen op schaduw-AI.
  3. Beleid zonder een gedeelde basis stuit op weerstand: Wat gebeurt er als organisaties in actie komen zonder zicht op het AI-gebruik in de praktijk? Marketing heeft workflows opgezet met Jasper, de engineers werken met GitHub Copilot, en de operationele tak werkt met Otter. Zonder inventaris van gebruikte tools gaat governance al snel over beperkingen, in plaats van risicobeheersing.

De onderliggende oorzaak is in alle scenario's hetzelfde: er wordt een beleid uitgerold voor governance, zonder dat duidelijk is wat er precies moet worden beheerd, gecontroleerd en aangestuurd. Voor effectieve AI governance moet deze volgorde worden omgedraaid.

Welke obstakels staan goede governance vaak in de weg? Lees het LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging voor de volledige uitkomsten van ons onderzoek.

 

Ontvang de volledige analyse

Download het rapport

De juiste volgorde om de inhaalslag te maken

Teams die concrete vooruitgang boeken met hun AI governance, hebben één ding gemeen: ze beginnen met inzicht in de gebruikte tools, in plaats van met het beleid. Effectief grip krijgen op AI werkt het best als inzicht en beleid elkaar aanvullen. De volgorde:

  1. Ontdekken: Stel een inventaris op.
    De eerste inventaris is nooit compleet, maar het is belangrijk om een begin te maken.
  2. Beoordelen: Richt u eerst op de use cases met het hoogste risico.
    Probeer niet om iedere tool uitgebreid te beoordelen, maar stel prioriteiten. Met een focus op tools die meer interacties hebben met gevoelige data of essentiële bedrijfssystemen, bereikt u het meest.
  3. Classificeren: Pas governance aan op het risico.
    Niet iedere AI-tool moet dezelfde behandeling krijgen. Effectieve organisaties werken met governance op basis van risico, voor een goed evenwicht tussen controle en flexibiliteit.
  4. Afdwingen: Gebruik de juiste controlemechanismen om uw beleid door te zetten.
    De juiste technologie zorgt ervoor dat uw papieren beleid ook daadwerkelijk operationeel wordt.
    •   LastPass Business Max werkt met de LastPass-browserextensie om toegang tot SaaS en AI continu te loggen.
    • Met Business Max kunnen beheerders regels op risicobasis toepassen op het moment van aanmelden.

Probeer Business Max gratis uit of vraag een demo aan om te zien hoe ontdekking en toegangsregels werken in de praktijk.

LastPass Business Max gratis proberen Demo aanvragen

De voordelen van goede governance van AI-gebruik

Tools ontdekken, beleid opstellen en naleving afdwingen – wat levert het op?

  1. Bij audits kunt u de volgende vragen beantwoorden met bewijs: “Welke tools zijn er goedgekeurd? Hoe wordt het gebruik gemonitord? Wat gebeurt er als een medewerker tools zonder goedkeuring gebruikt?”
  2. U ontdekt nieuwe tools voordat ze op grote schaal toegang hebben gekregen tot gevoelige gegevens, niet pas daarna.
  3. U hoeft niet meer te kiezen tussen “alles toestaan” en “blokkeren, maar dan weet ik helemaal niet meer wat mijn medewerkers gebruiken”. Met de categorie “waarschuwen” krijgt u een derde optie.
  4. Als u ieder team met gegevens kunt laten zien hoe ze AI-tools gebruiken, kunt u weerstand tegen uw beleid ombuigen naar breed gedragen probleemoplossing.
  5. Met een altijd actuele inventaris van gebruikte tools en compliance-logs hebt u een heldere audit trail voor SOC 2, GDPR, HIPAA, of interne beoordelingen.

Moet uw organisatie voldoen aan formele compliance-vereisten, bijvoorbeeld voor de Europese AI-Verordening? Dan is het belangrijk om te weten welke specifieke controlemechanismen de auditors willen zien.

Lees: Compliance met AI governance: 5 mechanismen die auditors verwachten

AI governance: zie hoe uw organisatie het doet in vergelijking met anderen

Voor het LastPass-rapport voor 2026 over de stand van zaken op het gebied van AI- en SaaS-beveiliging, zijn onder andere 412 IT-leiders ondervraagd. Het rapport geeft aan hoeveel vertrouwen organisaties hebben in hun eigen AI governance en hoe hun implementatie van beheersmaatregelen ervoor staat.

Ontvang de volledige analyse

Download het rapport

Meer in de serie over de beveiliging van AI en SaaS

GUIDE

Compliance met AI governance: beleidsregels, controlemechanismen en wat u mist

Lees de handleiding

Alle handleidingen voor de beveiliging van AI en SaaS

Best practices voor AI governance: veelgestelde vragen

Als u werkt met een klein IT-team en beperkte middelen, volgt de beste aanpak voor het opzetten van AI governance een duidelijke volgorde: ontdekken, beoordelen, classificeren en afdwingen.

  • Ontdekken betekent dat u inventariseert welke tools uw medewerkers gebruiken.
  • Bij het beoordelen beantwoordt u twee vragen voor iedere tool: verwerkt deze tool gevoelige gegevens, en zijn er verbindingen met interne systemen?
  • Voor het classificeren wijst u iedere tool toe aan een risiconiveau.
  • En bij het afdwingen stelt u de technische beheersmaatregelen in om uw beleid operationeel om te zetten.

Met LastPass Business Max kunt u uw inventaris van gebruikte tools altijd actueel houden, en risicogebaseerde controlemechanismen toepassen als uw team steeds meer AI-tools gaat gebruiken.

Een goed beleid dekt de volgende vier punten af:

  • Een inventaris van de actuele tools
  • Regels voor gegevensverwerking per gevoeligheidscategorie
  • Controlemechanismen voor toegang en wachtwoordbeheer
  • Een evaluatieprocedure voor nieuwe tools

De actuele inventaris is vaak het lastigste om handmatig te beheren. LastPass Business Max biedt continu inzicht in de gebruikte AI-tools en SaaS-toepassingen, zodat uw governance een sterke basis krijgt.

Het inventariseren en classificeren van de gebruikte tools hoeft niet veel tijd te kosten.

De meeste IT-teams die LastPass Business Max uitrollen, hebben binnen 48 uur een eerste werkbare lijst van gebruikte tools.

Het opstellen en uitrollen van een passend beleid voor die tools duurt vaak wat langer, maar de juiste volgorde is belangrijker dan de snelheid.

Veel teams wachten totdat iedere tools is beoordeeld, voordat ze een beleid publiceren. Tegen die tijd kan de gebruikte set tools alweer nieuwe voorwaarden hanteren voor de gegevensverwerking. Het is beter om in actie te komen met een inventaris die 90% compleet is, dan om later een achterhaald beleid te publiceren voor een inventaris van 100%.

Staat uw vraag er niet bij? Ga naar ons Supportcentrum.

Aan de slag met LastPass Business

LastPass gratis proberen Neem contact op met Sales
Geen creditcard vereist voor de proefversie van 14 dagen.