Vraag in een willekeurige organisatie wie er weleens ChatGPT gebruikt voor het werk, en de helft steekt de hand op. Vraag daarna wie daar afspraken over heeft, en het wordt stil. Dat is geen verwijt. AI-tools zijn handig en de meeste mensen gebruiken ze met de beste bedoelingen. Maar er gaan gegevens in die er niet in horen, en als werkgever ben je daar verantwoordelijk voor.
Waar het misgaat
Het klassieke voorbeeld: een medewerker plakt een e-mail van een klant in ChatGPT met de vraag "maak hier een nette reactie op". In die mail staan een naam, een adres, misschien een klacht over een gezondheidsklacht. Dat zijn persoonsgegevens, en die zijn zojuist verwerkt door een partij waar je organisatie geen overeenkomst mee heeft.
Andere voorbeelden die we tegenkomen:
- Een notulist die een opname van een vergadering laat samenvatten, inclusief wat er over collega's gezegd is.
- Een HR-medewerker die een sollicitatiebrief laat beoordelen.
- Een accountmanager die een offerte laat schrijven op basis van een prijslijst die vertrouwelijk is.
Geen van deze mensen doet iets kwaadaardigs. Ze doen hun werk sneller. Dat is precies waarom verbieden niet werkt.
Wat de AVG eist
De AVG vraagt van je dat je weet welke persoonsgegevens je verwerkt, met welk doel, en dat je afspraken hebt met elke partij die dat namens jou doet. Een gratis AI-tool waar een medewerker zelf een account voor heeft aangemaakt, voldoet daar niet aan. Er is geen verwerkersovereenkomst, je weet niet waar de data staat en je hebt geen controle over hoe lang die bewaard blijft.
Bij zakelijke abonnementen van de grote aanbieders ligt het beter: er is een verwerkersovereenkomst en de gegevens worden niet gebruikt voor training. Maar de data verlaat nog steeds je organisatie, vaak naar servers buiten de EU. Voor gewone bedrijfscommunicatie is dat vaak te verantwoorden. Voor bijzondere persoonsgegevens meestal niet.
Hoe je het praktisch regelt
Verbieden leidt tot stiekem gebruik. Wat wel werkt, is een duidelijk alternatief bieden en een paar heldere regels afspreken.
Stap 1: bied een goedgekeurde tool aan. Dat kan een zakelijk abonnement bij een Europese aanbieder zijn, met een verwerkersovereenkomst. Werk je met dossiers vol persoonsgegevens, dan werken we met PrivaSearch, waarbij persoonsgegevens worden vervangen door pseudoniemen voordat de AI ze ziet. Als de goedgekeurde tool net zo makkelijk werkt als de gratis variant, gebruiken mensen hem vanzelf.
Stap 2: maak een korte lijst van wat er niet in mag. Geen persoonsgegevens van klanten of collega's, geen medische of financiële dossiers, geen vertrouwelijke prijzen of contracten. Kort en concreet, geen beleidsdocument van twaalf pagina's.
Stap 3: neem AI op in je verwerkingsregister. Welke tool, welk doel, welke gegevens, welke overeenkomst. Dat is een uur werk en het scheelt veel als de Autoriteit Persoonsgegevens ooit langskomt.
Stap 4: leg uit waarom. Mensen houden zich aan regels die ze begrijpen. Een half uur uitleg over wat er met hun invoer gebeurt, doet meer dan een handtekening onder een reglement.
En de AI-verordening?
Naast de AVG is er sinds 2024 de Europese AI-verordening. Voor het gebruik van een chatassistent op kantoor betekent die vooral dat je medewerkers moet informeren en dat je bij bepaalde toepassingen, zoals het beoordelen van sollicitanten, aan strengere eisen moet voldoen. Het is verstandig om nu al te weten in welke categorie jouw gebruik valt.
Begin met inzicht
De eerste stap is weten wat er nu al gebeurt. Wie gebruikt welke tools, waarvoor, en welke gegevens gaan erin? Dat brengen we in kaart in een AI-verkenning, samen met een advies over welke toepassingen veilig in de cloud kunnen en welke beter in eigen beheer draaien. Zo houd je de voordelen van AI, zonder de risico's.
