AI & cybersecurity
De onzichtbare aanval
Binnen veel organisaties wordt AI ingezet buiten het zicht van de IT-afdeling. Wij brengen in kaart welke toepassingen in gebruik zijn, welke risico's daaraan verbonden zijn en welke verplichtingen de EU AI Act voor u meebrengt.
Het dreigingslandschap
Dezelfde technologie die uw medewerkers productiever maakt, verlaagt ook de drempel voor aanvallers. Wij brengen in kaart waar dat binnen uw organisatie speelt.
Medewerkers gebruiken ChatGPT, Copilot en andere AI-tools zonder beleid — en plakken gevoelige bedrijfsgegevens in externe systemen. Dit zijn gegevens die u niet meer kunt terugkrijgen.
Aanvallers gebruiken AI voor hyper-gepersonaliseerde phishing, geautomatiseerde kwetsbaarheidsdetectie, deepfakes en het omzeilen van traditionele beveiligingssystemen.
De EU AI Act categoriseert AI-systemen op risiconiveau en stelt eisen aan transparantie, documentatie en menselijk toezicht. Niet-naleving kan leiden tot forse boetes.
Onze Aanpak
Wij starten met een inventarisatie van het AI-gebruik binnen uw organisatie en werken van daaruit toe naar de technische risico's en de geldende verplichtingen.
Overzicht van alle AI-tools en -systemen die worden gebruikt in uw organisatie — inclusief shadow AI die buiten de IT-afdeling gebruikt wordt.
Beoordeling van welke gegevens blootgesteld worden via AI-tools en wat de risico's zijn van manipulatie, datalekken of verkeerde beslissingen door AI.
Classificatie van uw AI-systemen op risiconiveau en toetsing aan de vereisten van de EU AI Act — welke verplichtingen gelden er voor uw organisatie?
Concreet rapport met bevindingen, risiconiveaus en geprioriteerde aanbevelingen voor beleid, technische maatregelen en compliance-acties.
EU AI Act
De EU AI Act (Verordening (EU) 2024/1689) categoriseert AI-systemen op basis van het risico dat zij opleveren. De eisen per categorie lopen sterk uiteen.
Biometrische massasurveillance, sociale scoring door overheden, manipulatieve systemen. Verboden zonder uitzondering.
AI in kritieke infrastructuur, HR-beslissingen, kredietverlening, medische hulpmiddelen. Verplichte documentatie, logging en menselijk toezicht.
Chatbots, deepfakes, emotieherkenning. Verplicht transparant zijn dat gebruikers met AI interacteren.
Spamfilters, AI in videogames, aanbevelingssystemen zonder kritieke impact. Geen wettelijke eisen, best practices aangeraden.
Net als onder NIS2 kunnen bestuurders persoonlijk aansprakelijk gesteld worden bij schending van de EU AI Act. Boetes lopen op tot €35 miljoen of 7% van de mondiale jaaromzet voor de zwaarste overtredingen. Weet u welke AI-systemen in uw organisatie als hoog-risico worden geclassificeerd?
Technisch onderzoek
Een beleidsstuk vertelt u welke regels gelden. Het vertelt u niet of uw assistent documenten prijsgeeft aan iemand die ze niet mag zien. Dat is een andere vraag, en die beantwoord je niet op papier maar door het te proberen.
Een AI-assistent die op uw eigen documenten is aangesloten neemt instructies aan uit alles wat hij leest. Zet iemand een verborgen opdracht in een document, een e-mail of een webpagina, dan kan die opdracht worden uitgevoerd alsof u hem zelf gaf. Dat heet promptinjectie, en het is geen theoretisch probleem: het is de meest voorkomende manier waarop deze systemen in de praktijk worden misbruikt.
Daarnaast lekt de zoeklaag onder zo'n assistent vaker dan gedacht. Wie de juiste vraag stelt, krijgt fragmenten te zien uit dossiers waar hij geen rechten op heeft — niet omdat iemand inbrak, maar omdat de rechtenstructuur van het archief niet is meegenomen naar de AI-laag.
Wij bouwen zelf een AI-assistent op documenten: eigen taalmodellen op eigen hardware, met een zoeklaag over een vectoropslag. Wij weten waar die systemen breken omdat wij ze zelf in elkaar hebben gezet, niet omdat wij er een cursus over volgden.
In eigen onderzoek, met een testraamwerk dat specifiek voor dit doel is gemaakt, lekte een veelgebruikt taalmodel op twee van de vijf beproefde aanvalspatronen. Dat is geen uitzondering maar het normaalbeeld van een model dat zonder aanvullende maatregelen wordt ingezet.
De combinatie van een gecertificeerd ethisch hacker die zélf AI-systemen bouwt is in Nederland zeldzaam. Het is precies de combinatie die deze vraag vereist.
Voor organisaties die een AI-assistent in gebruik hebben of op het punt staan er een live te zetten, en die willen weten wat er werkelijk uit te halen valt voordat iemand anders dat uitzoekt. Een zorginstelling met een assistent op patiëntdossiers, een advocatenkantoor met een chatbot op zaakdocumenten, een dienstverlener die een klantportaal met AI heeft uitgebreid.
U krijgt geen risicomatrix maar reproduceerbare aanvalspaden: wat er precies is gedaan, wat eruit kwam, en wat eraan moet gebeuren.
Tarief
Technisch onderzoek
Vanaf, per systeem / excl. BTW
Overzicht en verplichtingen
Eenmalig / excl. BTW
Ons onderscheid
Weinig adviseurs combineren een achtergrond als gecertificeerd ethisch hacker met diepgaande kennis van AI governance en de EU AI Act. Threatley doet dat — volledig onafhankelijk van vendors en tooling.
Wij beoordelen uw AI-risico's als een aanvaller én als compliance-adviseur tegelijk. Geen theoretische checklists, maar praktisch inzicht in hoe aanvallers AI misbruiken — en hoe uw eigen AI-gebruik risico's introduceert die u misschien nog niet ziet.
Klaar voor inzicht?
Neem contact op voor een vrijblijvend gesprek over uw AI-gebruik en de risico's die daarmee samenhangen.