Een medewerker heeft haast, plakt een klantcontract in een gratis AI-chatbot en vraagt om een samenvatting. Binnen tien seconden heeft ze wat ze nodig heeft. En binnen diezelfde tien seconden staat een vertrouwelijk document van uw opdrachtgever op een server waar u geen enkele zeggenschap over heeft.
Dit gebeurt dagelijks, in vrijwel elke organisatie. Niet uit kwade wil, maar uit efficiëntie. Het is daarom een probleem dat u met techniek en afspraken moet oplossen, niet met een boze mail.
Het verschil tussen een gratis en een zakelijke variant
Bij consumentenversies van AI-diensten is de gebruikelijke afspraak dat de aanbieder uw invoer mag gebruiken om zijn diensten te verbeteren, wat in de praktijk vaak neerkomt op modeltraining. U kunt dat bij sommige diensten uitzetten, maar dat vergt een actieve handeling die vrijwel niemand verricht.
Bij zakelijke abonnementen ligt dit anders. Daar is contractueel vastgelegd dat uw invoer niet voor training wordt gebruikt en sluit de aanbieder een verwerkersovereenkomst met u af. Datzelfde geldt voor AI die is ingebouwd in uw Microsoft 365-omgeving: die data blijft binnen uw eigen tenant.
Waar de AVG concreet knelt
Zodra er persoonsgegevens in de invoer zitten, en dat is sneller dan u denkt, bent u verwerkingsverantwoordelijke. Een klantmail met naam en adres, een cv van een sollicitant, een verzuimdossier: allemaal persoonsgegevens.
U moet dan kunnen aantonen dat er een verwerkersovereenkomst is, dat u weet waar de gegevens worden verwerkt en dat u een grondslag heeft. Bij een gratis account zonder overeenkomst kunt u dat geen van drieën. Bij een datalek is dat een verzwarende omstandigheid.
Informatie die nooit in een publieke chatbot hoort
- Klantcontracten, offertes en alles wat onder geheimhouding valt.
- Personeelsdossiers, cv's, beoordelingen en verzuiminformatie.
- Financiële gegevens, bankrekeningnummers en factuuroverzichten.
- Broncode, technische tekeningen en andere bedrijfseigen kennis.
- Inloggegevens, API-sleutels en configuratiebestanden.
Waarom een verbod averechts werkt
Organisaties die AI blokkeren op het bedrijfsnetwerk, verplaatsen het probleem alleen maar. Medewerkers pakken hun privételefoon en typen de gegevens daar in. U heeft dan geen enkel zicht meer op wat er naar buiten gaat, en het risico is identiek.
Dit fenomeen heet schaduw-IT en is oud nieuws in ons vak: mensen kiezen altijd de weg van de minste weerstand. De enige duurzame oplossing is die weg zelf de veilige maken.
Wat u concreet regelt
Bied een goedgekeurde zakelijke AI-tool aan die technisch is ingericht op uw omgeving en waarvoor een verwerkersovereenkomst is getekend. Communiceer helder welke dat is en waarom. Leg in één alinea vast welke soorten informatie er sowieso nooit in mogen, ongeacht de tool.
Tot slot: neem dit op in uw introductie voor nieuwe medewerkers. Het is inmiddels net zo basaal als uitleggen dat men niet op onbekende links klikt.
In vijf stappen op orde
- Vraag na welke AI-tools nu daadwerkelijk worden gebruikt; oordeel niet, inventariseer.
- Kies één zakelijke tool met verwerkersovereenkomst en rol die uit.
- Zet duidelijk op papier welke informatie nooit ingevoerd mag worden.
- Neem het onderwerp op in uw introductieprogramma voor nieuwe medewerkers.
- Controleer of uw verwerkingsregister deze nieuwe verwerking bevat.