Op maandag krijgt het team een awareness-training. Goede sprekers, duidelijke voorbeelden, iedereen knikt. Geen klantgegevens in gratis AI-tools, let op je bijlagen, denk na voor je deelt. De presentatie gaat het intranet op. Vinkje gezet.
Op donderdag, om kwart voor vijf, moet er nog één samenvatting de deur uit. Een medewerker plakt een klantdossier in ChatGPT om het snel te laten opmaken. Hij weet wat er maandag is gezegd. Hij denkt er alleen niet aan. De deadline is dichterbij dan de training.
Dat is niet falen. Dat is hoe mensen werken onder druk. En het is precies waarom training het AI-risico niet oplost.
Bewust betekent niet veilig
Een training maakt mensen bewust. Maar bewustzijn is geen gedrag. Je kunt iemand perfect uitleggen wat gevoelige data is en waarom die niet in een chatbot hoort, en toch gebeurt het: de gewoonte op het drukke moment is sterker dan de kennis uit de zaal. Zolang awareness iets is dat vooraf gebeurt, in een sessie die wegzakt, verandert het weinig aan wat er op donderdagmiddag in een promptveld belandt.
Waarom training het gedrag niet bereikt
Het begint bij het geheugen. Volgens de vergeetcurve van Ebbinghaus, later bevestigd door Murre en Dros, vergeten mensen tot 67% van nieuwe informatie binnen 24 uur en tot 79% binnen een maand, zonder herhaling. Een jaarlijkse of zelfs kwartaaltraining is dus al grotendeels verdampt tegen de tijd dat het ertoe doet.
Maar zelfs verse kennis verandert gedrag nauwelijks. De Microsoft Digital Defense Report laat zien dat awareness-training op zichzelf phishing-klikken met ongeveer 3% verlaagt, tenzij ze wordt versterkt door bredere maatregelen. Drie procent. En dat terwijl 84% van de awareness-programma's juist zegt gedragsverandering als doel te hebben, terwijl slechts 43% ook werkelijk meet of dat gedrag verandert. We trainen op grote schaal, en we kijken nauwelijks of het werkt.
Het diepere probleem is de timing. Een training is een gebeurtenis op afstand: een moment van kennis, ver weg van het moment van handelen. Tussen die twee zit een werkweek vol druk, waarin de snelste route bijna altijd wint. Kennis die je drie weken geleden opdeed, meldt zich niet uit zichzelf op het moment dat je iets in een prompt plakt.
Het probleem is niet onwetendheid, het is het moment
Hier wordt het ongemakkelijk: de meeste fouten komen niet van mensen die het niet weten. Uit onderzoek van Newcom blijkt dat slechts 3 op de 10 werkende Nederlanders gevoelige informatie verwijdert voordat ze er AI op loslaten. Dat zijn niet allemaal mensen die de regels niet kennen. Het zijn mensen die het op dat moment niet doen.
En dat moment ziet er overal anders uit, maar het patroon is hetzelfde: haast, routine, een fractie van aandacht te weinig.
In de zorg gebruikt een verpleegkundige een AI-assistent om een verslag op te maken, en glipt er een patiëntnaam of BSN mee naar binnen. Niet uit nonchalance, maar omdat het druk is. Bij supportteams plakt een medewerker een hele klantmail in een AI-tool om snel een antwoord te genereren, inclusief naam, ordernummer en contactgegevens. Elke keer. Bij HR vraagt iemand een AI-tool om "deze aanbiedingsbrief netjes te herschrijven", met salaris en al erin. En op finance belandt een IBAN of kaartnummer in een prompt omdat dat nu eenmaal in de transactie zat. Dezelfde haast, andere data. Je kunt er een training over geven. De donderdagmiddag verandert er niet door.
Er zit nog een blinde vlek onder dit alles: de meeste securityteams kunnen niet eens opsommen welke AI-tools hierbij allemaal in beeld zijn. Je kunt geen training, of een tijdige duw in de rug, richten op een tool die niemand als "in gebruik" heeft geregistreerd. Voordat hulp op de juiste plek kan landen, moet iemand eerst weten waar AI-gebruik daadwerkelijk gebeurt.
Gmail
