AI en privacy: bescherm je bedrijfsgegevens

AI-tools zijn krachtige hulpmiddelen, maar elke prompt die je intypt verlaat in principe je organisatie. Wie niet oplet, deelt zonder het te beseffen vertrouwelijke bedrijfsgegevens of persoonsgegevens met een externe partij. Dit artikel laat zien hoe je dat voorkomt.

Het risico van data in prompts

Het gemak van generatieve AI verleidt tot onnadenkend gebruik. Even een contract laten samenvatten, een klantenlijst laten analyseren of een interne memo laten herschrijven: het kost een paar seconden. Maar alles wat je in het invoerveld typt, stuur je naar de servers van de aanbieder.

Daarmee verlaat de informatie je beveiligde omgeving. Je weet vaak niet waar die data terechtkomt, hoe lang ze wordt bewaard en wie er toegang toe heeft. Voor openbare informatie is dat geen probleem, maar voor vertrouwelijke of persoonsgegevens kan het leiden tot een datalek met meldplicht.

Dit privacyrisico is een van de belangrijkste AI-risico’s op de werkvloer, en tegelijk een van de makkelijkst te voorkomen. Bewustzijn en een paar simpele afspraken maken het verschil.

Wat gebeurt er met je ingevoerde data

Wat er precies met je prompt gebeurt, hangt af van de tool en het abonnement. Globaal zijn er een paar mogelijkheden.

• Training van het model: bij veel gratis consumentenversies kan je input worden gebruikt om het onderliggende model te verbeteren. In theorie kan een fragment van jouw data later in andermans output opduiken.
• Opslag en logging: prompts worden meestal opgeslagen, soms maandenlang, voor kwaliteitscontrole en misbruikdetectie.
• Locatie van de servers: veel aanbieders verwerken data buiten de EU, wat extra AVG-eisen met zich meebrengt.
• Toegang door medewerkers: personeel van de aanbieder kan onder bepaalde voorwaarden bij ingevoerde gegevens kunnen.

Een medewerker plakt de notulen van een vertrouwelijke directievergadering in een gratis chatbot voor een nette samenvatting. Die notulen staan nu op een server buiten de EU en kunnen worden gebruikt om het model te trainen. Een klassiek, en vermijdbaar, datalek.

Een vaak vergeten variant is de browserextensie of plug-in. Veel handige AI-hulpjes die in je mailprogramma of browser worden geïnstalleerd, lezen mee met alles wat op het scherm staat. Daarmee stroomt soms continu bedrijfsdata naar een derde partij, zonder dat de gebruiker een bewuste actie onderneemt. Controleer daarom kritisch welke extensies medewerkers mogen installeren.

AVG/GDPR en AI

Zodra er persoonsgegevens in het spel zijn, geldt de AVG onverkort. Een naam, e-mailadres, beoordeling of salarisgegeven valt daar al onder. Het invoeren daarvan in een AI-tool is een verwerking, met alle bijbehorende verplichtingen.

Concreet betekent dit dat je nodig hebt:

• een geldige grondslag voor de verwerking;
• een verwerkersovereenkomst met de aanbieder als die namens jou data verwerkt;
• duidelijkheid over de opslaglocatie, bij voorkeur binnen de EU;
• aandacht voor het beginsel van dataminimalisatie: verwerk niet meer dan strikt nodig.

Bij de meeste gratis tools is hier niets van geregeld. Dat maakt het invoeren van persoonsgegevens daar vrijwel altijd een overtreding. De AVG vraagt bovendien om aantoonbaar beleid, en de EU AI Act onderstreept dat medewerkers voldoende AI-geletterdheid moeten hebben om dit soort afwegingen zelf te maken.

Welke tools zijn veiliger

Niet alle AI-tools zijn gelijk. Het onderscheid tussen gratis consumentenversies en betaalde zakelijke versies is voor privacy doorslaggevend.

De vuistregel: gebruik voor werk met gevoelige of persoonsgegevens uitsluitend een zakelijke versie waarmee je organisatie de juiste afspraken heeft gemaakt. Gratis tools zijn prima voor openbare informatie en brainstorms, maar niet voor vertrouwelijke inhoud.

Let er wel op dat een zakelijke versie geen vrijbrief is. Ook met de beste contractuele afspraken blijft het verstandig om niet meer gegevens te delen dan nodig. De veiligste prompt is er een waarin gevoelige informatie is geanonimiseerd of vervangen door fictieve voorbeelden. Een zakelijk abonnement verlaagt het risico, maar gezond verstand bij wat je intypt blijft de belangrijkste beveiliging.

Do’s en don’ts

Een korte, heldere lijst helpt medewerkers in het dagelijks gebruik de juiste keuze te maken.

Deze afspraken werken alleen als iedereen ze kent en begrijpt waarom ze er zijn. Een verbod zonder uitleg wordt al snel omzeild.

Beleid en afspraken maken

Losse waarschuwingen zijn niet genoeg. Bescherming van bedrijfsgegevens vraagt om vastgelegd beleid dat duidelijk maakt welke tools zijn toegestaan, welke data wel en niet mag worden ingevoerd, en wie waarvoor verantwoordelijk is.

Goed AI-beleid bevat in elk geval:

• een lijst van goedgekeurde tools en versies;
• regels over welke datasoorten zijn toegestaan;
• een meldprocedure voor incidenten;
• afspraken over verantwoordelijkheid en toezicht.

Net zo belangrijk als de inhoud is het levend houden van het beleid. AI-tools veranderen razendsnel: een aanbieder past zijn voorwaarden aan, een nieuwe functie verschijnt, of een gratis versie wordt plots breed gebruikt binnen een team. Beleid dat een jaar geleden klopte, kan vandaag achterhaald zijn. Plan daarom vaste herzieningsmomenten in en wijs iemand aan die de ontwikkelingen volgt. Zo voorkom je dat het document een dode letter wordt die niemand meer raadpleegt.

Een vastgelegd AI-beleid dat je periodiek herziet, helpt daarbij. Beleid op papier verandert echter pas gedrag als medewerkers het begrijpen en de risico’s voelen.

Verantwoordelijkheid en bewustzijn

Privacy is geen taak die je volledig kunt delegeren aan de IT-afdeling of de privacy officer. Iedere medewerker die met AI werkt, neemt dagelijks kleine beslissingen over welke data hij of zij deelt. Daarom werkt beleid alleen als het gepaard gaat met bewustwording: mensen moeten begrijpen wat er met hun data gebeurt en waarom de regels bestaan.

Een handige test voor in het hoofd: zou ik deze informatie ook hardop voorlezen aan een onbekende in de trein? Is het antwoord nee, dan hoort de informatie niet zonder meer in een AI-tool. Zulke simpele vuistregels beklijven beter dan lange beleidsteksten en helpen medewerkers in het moment de juiste afweging te maken.

Daarom helpen wij organisaties niet alleen met de regels, maar ook met de mensen erachter. Bekijk wat we voor jouw team kunnen betekenen op de pagina voor organisaties, waar we training en beleidsondersteuning combineren tot één aanpak die privacy van bedrijfsgegevens echt borgt.