Een medewerker plakt een klachtmail in ChatGPT om een net antwoord te laten schrijven. Snel en handig. Maar in die mail staan een naam, een adres en misschien een ordernummer. Op dat moment verwerk je persoonsgegevens met een AI-tool, en dan geldt de AVG.
Dat betekent niet dat je geen AI mag gebruiken. Wel dat je een paar dingen goed moet regelen. In dit artikel zetten we ze op een rij. Het is een praktisch overzicht, geen juridisch advies. Voor je eigen situatie kan het verstandig zijn een privacy-expert mee te laten kijken.
Persoonsgegevens in prompts
Alles wat je in een AI-tool typt of plakt, gaat naar de aanbieder. Staat er iets in waarmee je een persoon kunt herkennen, dan zijn dat persoonsgegevens. Denk aan:
- namen, adressen, telefoonnummers en mailadressen
- klantnummers, ordernummers of factuurgegevens die naar een persoon te herleiden zijn
- gegevens over medewerkers, zoals beoordelingen of verzuim
- cv's en sollicitatiebrieven
Voor de meeste taken heb je die gegevens niet nodig. Een mail herschrijven lukt net zo goed met "de klant" in plaats van een naam. De eenvoudigste maatregel is dus: laat herleidbare gegevens weg als het kan. Dat noemt de AVG dataminimalisatie.
Voor bijzondere persoonsgegevens, zoals gezondheid, en voor gegevens als het BSN gelden strengere regels. Die horen in principe niet in een algemene AI-tool.
Een verwerkersovereenkomst met de aanbieder
Verwerk je persoonsgegevens via een AI-dienst, dan is de aanbieder in de regel je verwerker. Jij blijft verantwoordelijk voor wat er met de gegevens gebeurt. Daarom heb je een verwerkersovereenkomst nodig, in het Engels een data processing agreement of DPA.
Daarin staat onder meer wat de aanbieder met je gegevens mag doen, hoe ze beveiligd worden en hoe lang ze bewaard blijven. Bij zakelijke abonnementen van ChatGPT en Claude bieden de aanbieders zo'n overeenkomst aan. Lees hem door en bewaar hem bij je administratie.
Zakelijke accounts, geen privé-accounts
Gebruiken medewerkers hun eigen gratis account, dan heb je als bedrijf geen verwerkersovereenkomst, geen overzicht en geen controle. Daarnaast gelden voor persoonlijke accounts vaak andere voorwaarden over het gebruik van je gegevens voor training.
Kies daarom voor een zakelijk abonnement en spreek af dat werk alleen via dat account gaat. Het verschil tussen de abonnementen lees je in ChatGPT of Claude voor je bedrijf.
Waar komen je gegevens terecht?
Veel AI-aanbieders zijn Amerikaans en verwerken gegevens (deels) buiten de EU. Onder de AVG mag dat alleen als er passende waarborgen zijn. In de praktijk gebeurt dat meestal via:
- Het EU-US Data Privacy Framework, als de aanbieder daaronder gecertificeerd is
- Standaardcontractbepalingen (standard contractual clauses) die in de overeenkomst zijn opgenomen
Sommige aanbieders bieden ook de mogelijkheid om gegevens in Europa op te slaan. Kijk in de voorwaarden en de verwerkersovereenkomst hoe het bij jouw aanbieder geregeld is. De regels rond doorgifte buiten de EU zijn de afgelopen jaren een paar keer veranderd, dus controleer de actuele stand van zaken.
Vertel je medewerkers wat de afspraken zijn
De meeste fouten gebeuren niet uit kwade wil, maar omdat niemand heeft uitgelegd wat wel en niet mag. Zorg dat iedereen die met AI werkt weet:
- welke tools en accounts zijn toegestaan
- welke gegevens er niet in mogen
- dat de uitkomst altijd door een mens wordt gecontroleerd
- bij wie je terecht kunt als je twijfelt
Dit sluit aan bij de plicht tot AI-geletterdheid uit de AI Act. Meer daarover in AI-geletterdheid en de AI Act.
Een eenvoudig AI-beleid
Zet de afspraken op papier. Voor een mkb-bedrijf is één of twee pagina's vaak genoeg:
- Welke AI-tools gebruiken we, en waarvoor?
- Met welke accounts, en wie beheert ze?
- Welke gegevens mogen er niet in?
- Wie controleert de uitkomst voordat die naar buiten gaat?
- Waar staan de verwerkersovereenkomsten?
- Wanneer kijken we het beleid opnieuw na?
Neem de AI-tools die persoonsgegevens verwerken ook op in je verwerkingsregister, als je dat bijhoudt.
Wanneer een DPIA?
Een DPIA (gegevensbeschermingseffectbeoordeling) is verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de mensen van wie je gegevens verwerkt. Bij gewoon gebruik van een AI-assistent voor mails en teksten is dat meestal niet zo. Het wordt anders als je AI inzet om op grote schaal gevoelige gegevens te verwerken, of om beslissingen over mensen te nemen, bijvoorbeeld bij het selecteren van sollicitanten. Twijfel je, laat het dan beoordelen.
Eigen AI-tools
Bouw je een eigen AI-tool die met je systemen werkt, dan heb je meer in de hand. Je bepaalt zelf welke gegevens er naar het AI-model gaan en welke niet. Bij de AI-toepassingen die wij bouwen, zoals de assistent in ons eigen ERP-platform JustRunBiz, sturen we alleen mee wat nodig is voor de taak. Ook dan blijven een verwerkersovereenkomst en goede afspraken nodig.
Hulp nodig?
Bij AI-advies en implementatie helpen we je AI zo in te richten dat het tijd bespaart en je gegevens netjes geregeld zijn: de juiste accounts, duidelijke afspraken en uitleg voor je team in korte video's en een handleiding. We zijn geen juristen. Voor een juridische toets van een specifieke verwerking verwijzen we je naar een privacy-expert. Wil je eerst weten waar AI bij jou iets oplevert, begin dan met een processcan.