Eerst koppelen, dan pas nadenken

De SURF-meting zegt het hardop: de kennis is er wel, maar het gedrag volgt niet — medewerkers grijpen naar openbare AI-tools omdat goedgekeurde alternatieven ontbreken, en vier op de tien onderwijsmedewerkers maakte de afgelopen twee jaar een incident mee. Odido en de politie publiceerden intussen opnames die laten horen hoe gewiekst criminelen medewerkers bespelen, en zelfs vpn-bedrijf Surfshark meldde een lek door een menselijke fout.

De Cyberbeveiligingswet kent een stille achterhoede: nog geen veertig procent van de ruim achtduizend plichtige organisaties staat in het register, en duizenden weten mogelijk niet eens dat ze onder de wet vallen. ICTRecht legt uit waarom ook de FG de wet niet kan negeren — een tweede meldklok naast de AVG, persoonlijk aanspreekbare bestuurders — en zet vijf acties op een rij met één rode draad: opschrijven en bijhouden.

De koppellaag tussen AI en documenten is het nieuwe aanvalsoppervlak: het ChatGPT-lek gaf toegang tot gekoppelde postvakken en bestanden, en een malafide MCP-server gedroeg zich pas na drie aanroepen vijandig — een eenmalige beoordeling van een koppeling is dus niet genoeg. Tegelijk gaat het koppelen gewoon door: ChatGPT bouwt voortaan dashboards op SharePoint- en Drive-bestanden, met de rechten van de bron als enige grens.