AI Is Nu het Grootste Datalekkanaal
In oktober 2025 publiceerde LayerX Security een rapport dat CISOs wereldwijd alarmeerde. De belangrijkste bevinding: 77% van de medewerkers plakt gevoelige bestanden in GenAI-tools. Van die gevallen komt 82% van werknemers die al toegang hebben tot gevoelige gegevens.
GenAI is inmiddels verantwoordelijk voor 32% van alle zakelijke gegevensonttrekking — een stijging van slechts 2% in 2023 naar 32% in 2025. AI heeft e-mail als primaire vector voor het lekken van bedrijfsgegevens voorbijgestreefd.
Organisaties die wachten op een betere AI-cultuur of sterkere beleidsregels zijn kwetsbaar voor het huidige aanvalsoppervlak.
Welke Gegevens Medewerkers Delen
Niet alle gegevenslekken via AI zijn opzettelijk. LayerX identificeerde drie categorieën:
Directe PII: Namen, e-mailadressen, telefoonnummers en identificatienummers die in chatprompts worden ingevoerd. Medewerkers in klantenservice voeren regelmatig klantdetails in om antwoorden te formuleren.
Ingebedde PII in bestanden: Spreadsheets, documenten en logbestanden met klantgegevens die worden geüpload voor analyse. Financiële rapporten, patiëntendossiers en juridische contracten vallen allemaal in deze categorie.
Onbedoelde lekken: Interne systeemnamen, API-sleutels, databaseschema's en organisatiestructuur die als context worden gedeeld. Ontwikkelaars en analisten zijn het meest kwetsbaar voor dit type.
Dat 82% van de risicovolle acties afkomstig is van werknemers met de meeste toegang is geen toeval. Hoe meer toegang, hoe waardevoller de gegevens die via AI-tools lekken.
Waarom Beleidsregels Het Probleem Niet Oplossen
Veel organisaties reageerden op AI-gegevenslekken met beleid: "Deel geen klantgegevens met AI-tools." LayerX meet de effectiviteit van dit beleid direct.
Het resultaat: 71,6% van de medewerkers die aan AI-verboden zijn onderworpen, omzeilt die verboden — via persoonlijke apparaten, persoonlijke accounts of niet-goedgekeurde tools.
Verboden verplaatsen het lek van zichtbare zakelijke kanalen naar onzichtbare persoonlijke kanalen. Het risico neemt toe; de zichtbaarheid neemt af.
Beleid zonder technische controles behandelt het symptoom, niet de oorzaak. De oorzaak is dat medewerkers AI-tools gebruiken omdat ze waarde leveren. Die waarde verdwijnt niet als het beleid zegt van niet.
Wat 32% Betekent voor Aansprakelijkheid
GDPR Artikel 82 schept gedeelde aansprakelijkheid voor datalekken veroorzaakt door verwerkers. Als een medewerker klantgegevens in een AI-tool invoert en die tool wordt gehackt, is de organisatie aansprakelijk — ook bij onopzettelijke openbaarmaking.
HIPAA maakt geen onderscheid tussen opzettelijke en onopzettelijke onthullingen. Een verpleegkundige die patiëntgegevens in ChatGPT invoert voor een samenvatting, heeft PHI vrijgegeven. De gedekte entiteit is aansprakelijk.
Het 32%-cijfer is geen intern beveiligingsprobleem. Het is een wettelijk aansprakelijkheidsrisico bij elke AI-interactie die gevoelige informatie bevat.
De Technische Oplossing
De enige aanpak die werkt wanneer beleid dat niet doet: onderschep gegevens vóórdat ze de AI-tool bereiken.
Zero-knowledge anonimisering verwijdert PII uit tekst voordat deze de AI-server bereikt. Namen worden tokens. E-mailadressen worden placeholders. Medische recordnummers worden pseudoniemen. De AI-tool ontvangt schone tekst. De AI-reactie keert terug met de oorspronkelijke details hersteld — alleen aan uw kant.
Vanuit het perspectief van de AI-provider bestaan de gevoelige gegevens niet. Een inbreuk bij de provider legt niets van uw klanten bloot.
Dit is de aanpak die zowel de 77% lekratio als de 71,6% bypass-ratio aanpakt. Medewerkers kunnen AI-tools blijven gebruiken. De gegevens verlaten de organisatie nooit in leesbare vorm.
Bekijk de beveiligings- en nalevingspagina voor meer informatie over de zero-knowledge architectuur van anonym.legal en de prijspagina voor implementatie op schaal.