De meestgemaakte fout bij het gebruik van AI-tools op de werkvloer is dat medewerkers persoonsgegevens invoeren in een tool als ChatGPT, Copilot of een vergelijkbare chatbot, zonder dat het bedrijf weet dat dit gebeurt. Een cv, een klantdossier of een e-mailwisseling wordt even snel samengevat of herschreven, terwijl niemand heeft nagegaan waar die gegevens vervolgens staan, wie ze kan inzien en of er een verwerkersovereenkomst met de aanbieder van die tool bestaat.
Dat is geen klein detail. Zodra een tool persoonsgegevens verwerkt, gelden daarvoor dezelfde uitgangspunten als bij elke andere SaaS-toepassing: er moet een grondslag zijn, de verwerking hoort in het verwerkingsregister te staan, en als de aanbieder als verwerker optreedt, hoort daar een verwerkersovereenkomst bij. Bij veel gratis AI-tools ontbreekt dat laatste, of staat in de voorwaarden dat invoer gebruikt mag worden om het model te trainen. Dat verschilt sterk per aanbieder en per abonnementsvorm, en is precies waarom controle vooraf nodig is.
Hoe dit in de praktijk misgaat
In de meeste gevallen ontstaat het probleem niet uit onzorgvuldigheid, maar uit onwetendheid. Een HR-medewerker plakt een sollicitatiebrief in een chatbot om een vacaturetekst te verbeteren. Een projectleider laat een klantmail samenvatten. Niemand van hen denkt aan de AVG, omdat het voelt als een hulpmiddel en niet als een verwerking van persoonsgegevens. Het bedrijf zelf heeft vaak geen overzicht van welke AI-tools er dagelijks worden gebruikt, laat staan of die tools in het verwerkingsregister staan of ergens op een lijst van goedgekeurde software.
Een tweede terugkerende fout is dat bedrijven die wél een AI-beleid hebben, dit beleid niet laten aansluiten op hun bestaande verwerkingsregister en verwerkersovereenkomsten. De AI-tool wordt dan los van de rest van de AVG-administratie behandeld, terwijl het in wezen om dezelfde vraag gaat die ook bij elke andere SaaS-tool speelt: wie verwerkt welke gegevens, met welk doel, en op basis waarvan. de kennisbank met uitleg per onderwerp behandelt die vraag ook voor andere veelgebruikte software, en laat zien dat AI-tools in de praktijk geen uitzondering zijn op de systematiek die al voor andere leveranciers geldt.
Waarom het om persoonsgegevens kan gaan, ook als dat niet de bedoeling is
De AVG hanteert een breed begrip van persoonsgegevens: alle informatie die herleidbaar is tot een identificeerbare natuurlijke persoon. Een naam, een klantnummer, een foto, een telefoonnotitie of een combinatie van gegevens die samen iemand aanwijsbaar maken, valt daaronder. Bij het gebruik van AI-tools gaat het dus niet alleen om expliciete persoonsgegevens zoals een cv, maar ook om fragmenten die in een groter document verstopt zitten, zoals een naam in een bijlage die wordt meegekopieerd.
De Autoriteit Persoonsgegevens en de EDPB publiceren richtsnoeren over de omgang met AI en persoonsgegevens, en die ontwikkelen zich; wat vandaag geldt als gangbare uitleg kan op onderdelen worden aangescherpt. Dat is een van de redenen waarom een vaste procedure binnen het bedrijf meer houvast biedt dan losse afspraken per medewerker.
Hoe u deze fout voorkomt
De kern van de oplossing is simpel te formuleren, ook al vraagt de uitvoering tijd: breng in kaart welke AI-tools binnen het bedrijf worden gebruikt, en stel per tool vast of daarbij persoonsgegevens worden ingevoerd. Is dat het geval, dan hoort die tool in het verwerkingsregister te staan en hoort er, net als bij andere SaaS-leveranciers, te worden nagegaan of de aanbieder als verwerker optreedt en of er een verwerkersovereenkomst beschikbaar is. hoe gegevens bij verwerkers worden beschermd geeft een beeld van de punten die daarbij relevant zijn.
Daarnaast helpt een korte, concrete instructie aan medewerkers meer dan een uitgebreid beleidsdocument dat niemand leest: welke tools zijn toegestaan, welke gegevens mogen daar wel en niet in, en bij wie meldt een medewerker het als hij twijfelt. Die laatste stap is misschien wel de belangrijkste, want de meeste fouten ontstaan niet uit onwil maar uit het ontbreken van een duidelijk aanspreekpunt.
Als het al is gebeurd
Is er onbedoeld een grote hoeveelheid persoonsgegevens in een AI-tool ingevoerd zonder dat daar een verwerkersovereenkomst voor bestaat, dan is het verstandig om te beoordelen of dit kwalificeert als een gebeurtenis die om een reactie vraagt, bijvoorbeeld in het kader van de meldplicht bij datalekken. in een paar vragen een eerste indicatie krijgen kan daarbij een eerste houvast geven, los van de vraag of melding in een concreet geval nodig is; die beoordeling hoort bij de verantwoordelijke zelf of bij een jurist thuis.
Wilt u voor uw eigen bedrijf op een rij zetten welke tools, inclusief AI-toepassingen, aandacht nodig hebben? Doe de gratis quick-scan of lees de onderwerpen in de veelgestelde vragen over AVG en software om te zien waar uw situatie om vraagt.