Veilig AI gebruiken op het werk: wat je wel en niet deelt

AI-chatdiensten zijn in korte tijd gewoon gereedschap geworden. Een lange mail samenvatten, een tekst herschrijven, een formule in Excel uitzoeken: het scheelt tijd. Je collega’s gebruiken ze waarschijnlijk al, of je dat nu hebt geregeld of niet.

Het risico zit niet in het gebruik zelf, maar in wat er wordt gedeeld. Een klachtmail met naam, adres en rekeningnummer. Een personeelsdossier. Een contract met vertrouwelijke prijsafspraken. Op het moment dat die tekst in een chatvenster staat en iemand op Versturen klikt, is hij bij een externe partij.

Wat er met je tekst gebeurt

Dat verschilt per dienst en per abonnement. Bij sommige gratis of persoonlijke versies kan wat je invoert worden bewaard en gebruikt om de dienst te verbeteren. Zakelijke versies bieden vaak betere afspraken, zoals een verwerkersovereenkomst en de toezegging dat je gegevens niet voor training worden gebruikt. Lees de voorwaarden van de dienst die je gebruikt; ga er niet van uit dat het goed zit.

Voor je beleid maakt het verschil groot: een zakelijk account waarvoor jullie een verwerkersovereenkomst hebben, is iets anders dan een gratis account dat een medewerker op eigen houtje heeft aangemaakt.

Wat zegt de AVG?

Als je persoonsgegevens in een AI-dienst invoert, verwerk je die gegevens. Daarvoor gelden de gewone regels van de AVG. Je hebt een grondslag nodig, je mag gegevens alleen gebruiken voor het doel waarvoor je ze hebt gekregen, en als een externe partij ze voor jou verwerkt, hoort daar een verwerkersovereenkomst bij.

Een klant die zijn gegevens aan jullie gaf om een bestelling af te handelen, heeft er niet mee ingestemd dat die in een willekeurige chatdienst belanden. De Autoriteit Persoonsgegevens heeft ook gemeld datalekken te ontvangen doordat medewerkers persoonsgegevens in AI-chatbots invoerden. Zo’n incident kan een meldplichtig datalek zijn.

Daarnaast geldt sinds februari 2025 onder de Europese AI-verordening dat organisaties die AI-systemen inzetten, moeten zorgen voor voldoende AI-geletterdheid bij hun medewerkers. Uitleggen wat wel en niet mag, hoort daarbij.

Wat je niet in een openbare AI-dienst plakt

Een praktische vuistregel voor medewerkers:

• Persoonsgegevens van klanten, patiënten of cliënten: namen in combinatie met contactgegevens, adressen, rekeningnummers, geboortedata.
• Bijzondere persoonsgegevens: gezondheid, strafrechtelijke gegevens, geloof, etniciteit. Hier gelden extra strenge regels.
• Het burgerservicenummer. Het gebruik van het BSN is wettelijk beperkt; het hoort niet in een chatdienst.
• Personeelsgegevens: beoordelingen, verzuim, salaris.
• Vertrouwelijke bedrijfsinformatie: contracten, prijsafspraken, offertes, plannen die nog niet openbaar zijn.
• Wachtwoorden, API-sleutels en toegangscodes, ook als ze “toevallig” in een stuk configuratie of code staan.

Wat meestal wel kan

• Algemene vragen, uitleg en voorbeelden.
• Teksten zonder persoonsgegevens of vertrouwelijke inhoud herschrijven.
• Teksten waarin je eerst de herleidbare gegevens hebt vervangen door labels, zoals [klant] of [bedrag].
• Werk in een zakelijke AI-omgeving die jullie organisatie heeft afgenomen en waarvoor goede afspraken zijn gemaakt, binnen de regels die jullie daarvoor hebben gesteld.

Goede afspraken maken

Kies één of twee diensten die jullie wél gebruiken. Een verbod op alles drijft mensen naar privéaccounts. Een goedgekeurd alternatief met duidelijke afspraken werkt beter.

Leg vast wat er niet in mag. Kort en concreet, zoals de lijst hierboven. Een beleid van tien pagina’s leest niemand.

Leer mensen anonimiseren. Vervang namen en nummers door labels voordat je een tekst deelt. Het resultaat is meestal net zo bruikbaar.

Herinner op het moment zelf. Het beleid kennen is één ding; eraan denken als je een klantmail wilt laten samenvatten, is iets anders. Een korte waarschuwing op het moment van plakken of versturen doet meer dan een jaarlijkse training.

Zorg dat een fout gemeld kan worden. Als iemand toch iets heeft gedeeld wat niet mocht, wil je dat snel horen, zodat je kunt beoordelen of het een datalek is. Dat gebeurt alleen als melden niet leidt tot straf.

Samengevat

• Wat je in een AI-dienst plakt, verlaat je organisatie.
• Persoonsgegevens, bijzondere gegevens, BSN, personeelsgegevens, vertrouwelijke stukken en wachtwoorden horen er niet in.
• Kies goedgekeurde diensten met goede afspraken in plaats van een algemeen verbod.
• Leer anonimiseren en herinner mensen op het moment dat het ertoe doet.

ClickCheck kan die herinnering geven: bij het versturen in een AI-dienst controleert de extensie op de eigen computer of de tekst persoonsgegevens bevat. Lees meer over veilig AI gebruiken met ClickCheck.