Er is een reden dat «shadow IT» nooit is opgelost: het is geen incident maar een structureel gevolg van hoe software tegenwoordig wordt gekocht. Bedrijfsonderdelen kopen zelf, de creditcard is sneller dan de inkoopprocedure, en de leverancier vraagt niet of IT het weet. Wat er dit jaar is veranderd, is de inzet: het gaat niet langer alleen om dubbele licenties, maar om bedrijfsdata die in modellen van derden verdwijnt.
De cijfers achter het onderbuikgevoel
Verizon meet elk jaar in het Data Breach Investigations Report hoe datalekken ontstaan. In de editie van 2026 staat de meest veelzeggende cijferreeks van dit moment: het aandeel medewerkers dat niet-goedgekeurde AI-tools gebruikt steeg van 15% naar 45% in één jaar, en dat gebruik is inmiddels de derde meest voorkomende manier waarop data onbedoeld weglekt. Onafhankelijk daarvan bevestigt een enquête onder tweeduizend medewerkers van organisaties met meer dan vijfhonderd mensen hetzelfde beeld: 49% gebruikte AI-tools zonder toestemming van de werkgever en 51% koppelde zo'n tool aan werksystemen zonder tussenkomst van IT.
In dezelfde Verizon-editie staat het cijfer dat vendormanagement raakt: 48% van alle datalekken betrof een derde partij. Twee edities eerder was dat 15%, daarna 30%. Een verdrievoudiging in twee jaar. Wie leveranciersrisico nog steeds als jaarlijkse vragenlijst behandelt, beheerst inmiddels de grootste categorie niet.
De omvang van de portefeuille
Het onderliggende probleem is schaal. Zylo, dat SaaS-uitgaven van klanten meet, komt in 2026 op gemiddeld 305 applicaties per organisatie, met een mediaan van 240; grote ondernemingen voegen er gemiddeld 21 per maand toe. Uit het onderzoek van BetterCloud onder ruim vijfhonderd IT- en securityprofessionals blijkt dat slechts 56% van die applicaties formele IT-goedkeuring heeft — ruwweg 44% draait dus zonder. Eenvijfde van de organisaties ontdekte in het afgelopen jaar nieuwe, niet-goedgekeurde SaaS- en AI-tools, en 18% vond datalekken die direct uit AI-tools of chatbots kwamen.
Het zwaartepunt van de uitgaven ligt bovendien allang niet meer bij IT. Volgens dezelfde Zylo-data beheren bedrijfsonderdelen 81% van de SaaS-uitgaven en beheert IT er nog 15% rechtstreeks. Dat verklaart waarom controle vanuit één afdeling niet werkt.
Waarom uw inlogsysteem het niet vindt
De meeste organisaties zoeken shadow IT via hun identityprovider: welke applicaties gebruiken single sign-on? Dat is nuttig, maar het is precies het kanaal dat de nieuwe generatie tools omzeilt. De sterkste groei zit in uitgaven die via declaraties en bedrijfscreditcards lopen — die stegen met 267% op jaarbasis, en ChatGPT is inmiddels de meest gedeclareerde applicatie. Een tool die iemand persoonlijk afrekent en met een privacy-account gebruikt, verschijnt nooit in uw SSO-rapportage.
Effectieve ontdekking komt daarom uit minimaal vier bronnen tegelijk: inlogdata voor wat officieel draait, declaratie- en crediteurenadministratie voor wat op de kaart staat, netwerk- of browsertelemetrie voor wat wordt aangeroepen, en het contractregister voor wat ooit is getekend. Pas als die vier naast elkaar liggen, ontstaat een compleet beeld — en zit er meestal een onaangename verrassing in.
De kostenkant loopt intussen ook op
Wildgroei is niet alleen een risicoprobleem. In 2026 kreeg 79% van de IT-leiders bij een verlenging te maken met een prijsverhoging, en 78% zag onverwachte kosten door verbruiksgebaseerde of AI-prijsmodellen — het jaar ervoor was dat nog 66,5%. Bij 61% leidde dat ertoe dat projecten moesten worden geschrapt. De SaaS-inflatie-index van Vertice, gebaseerd op het spendvolume dat zij beheren, kwam in juni 2026 uit op 16,4%, tegenover een algemene inflatie van 4,2%: ruwweg viermaal zo hoog. Dat is een vendorbron en geen statistisch bureau, maar de richting wordt breed bevestigd.
Tegelijk ontbreekt het zicht juist waar het hardst groeit: slechts 31% van de organisaties heeft zicht op de uitgaven aan AI-software en slechts 29% meet er de waarde van, terwijl 59% aangeeft dat de verspilling op AI-uitgaven is toegenomen.
Wat wel werkt
Vier dingen, in deze volgorde. Ontdek uit meerdere bronnen, zoals hierboven beschreven, en herhaal dat — het is geen project maar een ritme. Geef elke applicatie een eigenaar in de business, want daar zit 81% van het geld; een eigenaar zonder budget is geen eigenaar. Bouw een verlengkalender: een gemiddelde organisatie verwerkt zo'n 211 verlengingen per jaar, ongeveer één per werkdag, en de opzegdeadline valt in de praktijk dertig tot negentig dagen vóór afloop — wie die datum mist, onderhandelt niet meer. En neem AI expliciet mee in de kwartaalronde: niet alleen hoeveel accounts, maar welk verbruik, met welke data, onder welke voorwaarden.
Voor het AI-deel geldt bovendien dat het geen puur kostenverhaal is. Wat medewerkers in ongecontroleerde tools plakken — onderzoeksdata, personeelsgegevens, financiële cijfers — is precies wat u onder de AVG en de AI Act moet kunnen verantwoorden. Hoe wij dat aanpakken leest u op de pagina over AI governance.