Volgens Check Point rollen kmo’s AI sneller uit dan grote bedrijven, vaak zonder dat iemand meekijkt. De securityspecialist verkoopt MSP’s toezicht op die shadow AI, en sommige partners maken dat vanaf 2027 verplicht.
“Wil een grote onderneming AI invoeren, dan volgen drie maanden aan comités, change management en regels”, zegt Dave Meister, vice president MSP en MSSP bij Check Point Software Technologies. “In een kmo doet de zaakvoerder het op vrijdagavond, terwijl hij naar het voetbal kijkt. Op de bank, met zijn laptop.”
Meister spreekt op Pax8 Beyond EMEA in Kopenhagen, op de dag waarop Pax8 met 8os een platform voorstelt om AI-agenten bij kmo’s via een MSP te beheren. Hij werkte vijftien jaar bij MSP’s en kwam bij Check Point terecht na de overname van Avanan. “Als er een MSP-sticker op kleeft, ben ik er op een of andere manier verantwoordelijk voor.”
Shadow AI in de kmo
Volgens Meister wacht AI in een kmo niet op een beslissing van het bedrijf. “Als het bedrijf zijn medewerkers geen AI aanbiedt, doen ze het zelf. Dat is helaas gewoon de realiteit. Doe een scan en je ziet dat het gebeurt, honderd procent zeker. Ik durf te zeggen dat het vandaag in bijna elke kmo ter wereld gebeurt.”
In een bevraging van Pax8 bij 402 Amerikaanse bedrijfsleiders gebruikt of test negentig procent van de kmo’s AI, en heeft 23 procent een gedocumenteerd AI-beleid. In een rapport van WatchGuard zegt 64 procent van de werknemers dat ze AI-tools gebruiken zonder dat hun werkgever het weet.
De uitdaging is om snel genoeg governance en een framework in te voeren, zonder de innovatie te smoren.
Dave Meister, vice president MSP en MSSP bij Check Point Software Technologies
“Shadow AI is de voorbije twaalf maanden enorm opgekomen. Twee à drie jaar geleden bestond het nog niet”, zegt Meister. “Iemand van marketing zegt: kijk wat ik kan automatiseren. Iemand van de administratie zegt hetzelfde, en daarna nog iemand en nog iemand. De uitdaging is om snel genoeg governance en een framework in te voeren, zonder de innovatie te smoren.”
Voor de zaakvoerder herleidt Meister het tot één vraag. “Wil je als kleine organisatie dat je data naar buiten gaan? En wil je weten waar ze naartoe gaan?”
Wat Workforce AI ziet
Check Point bracht Workforce AI in juni naar MSP’s, op Pax8 Beyond in Salt Lake City. “Je rolt een agent uit op het toestel en je ziet alle AI-communicatie”, zegt Meister. “De prompts die mensen gebruiken, welke documenten, persoonsgegevens of andere bedrijfsdata ze in de AI-agent stoppen. Wil je dat niet, dan stel je regels in die het tegenhouden. Verbindt iemand zijn pc met een MCP-server? Dat kunnen we zien en blokkeren.”
De software herkent volgens Meister Claude, Grok, Copilot en de tools van OpenAI, en daarnaast 14.000 andere AI-applicaties. Check Point investeerde de voorbije jaren fors in AI-beveiliging, met onder meer de overname van Lakera en een AI Network Firewall die MCP-verkeer zichtbaar maakt. Staat het toezicht op punt, dan mag een bedrijf volgens Meister gerust innoveren en uitrollen, zolang het binnen de frameworks blijft die het zelf aanvaardbaar vindt.
De licenties volgen het model dat MSP’s gewoon zijn: per gebruiker per maand, zonder minimum en zonder vaste looptijd, in een multitenant-platform. Check Point gebruikt de software intern, in lijn met het AI-beleid dat het bedrijf eerder toelichtte, en geeft partners gratis licenties voor eigen gebruik. “Zo raken ze er vertrouwd mee en beschermen ze eerst zichzelf, voor ze het bij hun klanten uitrollen.”
Over de privacy van werknemers ging het gesprek niet. Workforce AI toont welke prompts medewerkers intikken en welke bestanden ze opladen. Een Belgische werkgever die zo meekijkt, moet dat afstemmen op de AVG en op cao nr. 81 over de controle van elektronische communicatie, en zijn personeel vooraf inlichten. Welke van die gegevens de MSP te zien krijgt die het platform beheert, legt de kmo best vooraf vast.
Verplicht vanaf 2027
Bij de MSP’s, waarop vier op vijf Benelux-bedrijven steunen voor hun beveiliging, leidt de opmars van shadow AI tot een harde lijn. “We spreken partners die op 1 januari een prijsverhoging doorvoeren”, zegt Meister. “Ze geven hun klanten niet eens de keuze om AI-governance te weigeren. Het is verplicht, net zoals endpointbeveiliging en e-mailbeveiliging.”
Check Point duwt zelf mee. Sinds juni zit Workforce AI in zijn MSP-bundels, naast onder meer e-mail-, endpoint- en browserbeveiliging, SASE en DMARC, in één licentie die aansluit op de Microsoft-licenties van de klant.
Kmo’s dragen vandaag meer technologie-uitgaven dan tien jaar geleden, en dus liggen hun werkingskosten hoger.
Dave Meister, vice president MSP en MSSP bij Check Point Software Technologies
Voor de kmo betekent dat een extra kost, en Meister ontkent niet dat die weegt. “Kmo’s dragen vandaag meer technologie-uitgaven dan tien jaar geleden, en dus liggen hun werkingskosten hoger.” Hij vindt dit gesprek wel makkelijker dan het klassieke beveiligingsgesprek. “Gewone beveiligingssoftware houdt aanvallen tegen. Dit gaat over governance, over de manier waarop gebruikers werken. Het rendement van veilig AI-gebruik is dat er AI-gebruik kan zijn. Het bedrijf kan investeren en innoveren met AI en AI-agenten, in de wetenschap dat zijn data niet kwaadwillig gebruikt worden.”
Beveiliging als verkoopargument
Meister kent de valkuil van beveiliging verkopen uit zijn tijd bij MSP’s. “Als er nooit een inbreuk is en je klant nooit van je hoort, gaat hij op den duur minder waarde hechten aan wat je doet. Cyberbeveiliging is een kostenpost.”
Zijn oplossing is een dienst die aansluit op een framework zoals dat van NIST, zodat de MSP met de commercieel directeur van de klant kan praten. “Vraag hem: als je bij elke offerte of aanbesteding dit jaar onze beveiligingsanalyse kan voegen, die elke drie maanden gebeurt, met de afstemming op NIST erbij, zet dat je dan voor je concurrenten? Bedrijven werken liever samen met een partner die kan bewijzen dat hij veilig is, want ze gaan data delen.”
In België speelt NIS2 een vergelijkbare rol. Bedrijven die onder de richtlijn vallen, moeten hun leveranciers doorlichten. “Die kan je vragen om ook in regel te zijn met NIS2”, zei Ulrich Seldeslachts, CEO van LSEC, op de ITdaily-rondetafel over twee jaar NIS2. Het CCB biedt met CyberFundamentals een Belgisch raamwerk waarop een MSP zo’n dienst kan bouwen.
Enthousiast en nerveus
De MSP’s zelf zijn volgens Meister enthousiast en nerveus tegelijk. “Ze zeggen: we kunnen zoveel en we doen al veel, maar ik weet dat we het nu niet veilig doen. Sommige MSP’s gaan door en hopen op het beste. Andere wachten tot ze weten dat het veilig kan.” Meister wijst op de meldplicht voor datalekken die in veel landen geldt.
“Er was een wereld voor OpenClaw en een wereld na OpenClaw. Wat wordt het volgende?”, zegt Meister over een speelveld dat elke maand verschuift. Check Point werkt Workforce AI daarom voortdurend bij met nieuwe AI-agenten die opduiken. “Geen enkel product kan vandaag stilstaan, want het is heel snel verouderd.”
Er was een wereld voor OpenClaw en een wereld na OpenClaw. Wat wordt het volgende?
Dave Meister, vice president MSP en MSSP bij Check Point Software Technologies
Voor kmo’s bij partners die AI-governance verplicht maken, staat die vanaf januari op de factuur, naast endpoint- en e-mailbeveiliging. Pax8 wil 8os begin 2027 algemeen beschikbaar maken, zodat MSP’s ook zelf AI-agenten bij hun klanten uitrollen. Welke regels voor die agenten gelden en wie de prompts te zien krijgt, ligt dan bij kmo en MSP samen.