- Geldt de AVG ook als ik een gratis AI-tool gebruik?
Ja. De AVG kijkt niet naar of je betaalt voor een dienst, maar naar wat er met de persoonsgegevens gebeurt. Ook bij gratis tools ben jij verantwoordelijk voor de verwerking van gegevens die je invoert. Controleer altijd de privacyvoorwaarden en kijk of een verwerkersovereenkomst mogelijk is.
- Mag ik klantgegevens invoeren in een AI-tool zoals ChatGPT?
Dat hangt af van de instellingen en de voorwaarden van de tool. In de standaardinstellingen van sommige tools worden invoergegevens opgeslagen of gebruikt voor modelverbetering. Dat is problematisch als het om persoonsgegevens gaat. Er zijn enterprise-versies beschikbaar waarbij de data niet wordt gebruikt voor training, maar dat vereist een apart contract en extra kosten. Wees hier altijd bewust van voordat je klantgegevens invoert.
- Wat is een verwerkersovereenkomst en wanneer heb ik die nodig?
Een verwerkersovereenkomst is een contract tussen jouw organisatie en een externe partij die persoonsgegevens verwerkt namens jou. Je hebt er één nodig zodra een externe tool, dienst of partij toegang heeft tot persoonsgegevens die jij verzamelt of beheert. Dat geldt dus ook voor AI-tools die gegevens ontvangen via jouw invoer. Zonder deze overeenkomst voldoe je niet aan de AVG.
Search
AI en de AVG: hoe ga je om met persoonsgegevens als je AI-tools inzet in je organisatie?
De AVG beschermt persoonsgegevens van mensen. Dat zijn niet alleen namen en e-mailadressen, maar ook IP-adressen, locatiegegevens, klantgedrag en zelfs bepaalde voorkeuren. Veel AI-tools verwerken precies dit soort gegevens, soms zonder dat je het direct doorhebt. Door te investeren in kennis over verantwoord werken met AI kun je dit soort risico’s beter inschatten.
Stel je voor dat je een chatbot inzet op je klantenservicepagina. Bezoekers stellen vragen en de chatbot geeft antwoorden. Klinkt onschuldig, maar wat als die vragen namen, adresgegevens of klachten bevatten? Die data gaat ergens naartoe, wordt opgeslagen of gebruikt om het model te verbeteren. Dat is verwerking van persoonsgegevens, en dat valt onder de AVG.
Het probleem is niet dat AI en de AVG niet samengaan. Het probleem is dat organisaties AI-tools soms inzetten zonder te weten wat er met de data gebeurt.
Wat de AVG van je vraagt als je AI gebruikt
De AVG stelt een aantal eisen waaraan je moet voldoen als je persoonsgegevens verwerkt. Die eisen gelden ook als je een AI-tool van een externe partij gebruikt. Je bent dan de verwerkingsverantwoordelijke en de aanbieder van de tool is de verwerker.
Dat betekent dat je een verwerkersovereenkomst moet afsluiten met die aanbieder. Daarin leg je vast wat er met de data mag gebeuren, hoe lang die bewaard wordt en welke beveiligingsmaatregelen er gelden. Veel organisaties slaan deze stap over, simpelweg omdat ze niet weten dat het nodig is.
Daarnaast moet je een geldige grondslag hebben om persoonsgegevens te verwerken. Dat kan toestemming zijn, maar ook een gerechtvaardigd belang of de uitvoering van een overeenkomst. Zorg dat je weet welke grondslag je gebruikt en dat je die kunt uitleggen als iemand ernaar vraagt.
Welke risico’s AI-tools meebrengen bij gegevensverwerking
Niet elke AI-tool is even transparant over wat er met jouw data gebeurt. Sommige tools slaan invoer op om hun model mee te trainen. Dat klinkt technisch, maar het betekent dat de tekst die jij invoert mogelijk wordt gebruikt door de aanbieder. Als jij namen of contactgegevens invoert, kan dat een probleem zijn.
Een praktisch voorbeeld: een HR-medewerker gebruikt een AI-tool om sollicitatiebrieven samen te vatten. Hij plakt de volledige brief, inclusief naam, adres en soms ook gezondheidsgegevens, in de tool. Als die tool de invoer opslaat of gebruikt voor modeltraining, verwerk je bijzondere persoonsgegevens buiten jouw systemen om.
Dit soort risico’s zijn niet denkbeeldig. Ze gebeuren dagelijks in organisaties die te snel zijn gegaan met het uitrollen van AI-tools. Het goede nieuws is dat je dit kunt voorkomen met de juiste kennis en een duidelijk beleid.
Hoe je als organisatie verantwoord met AI en data omgaat
Begin met een inventarisatie. Welke AI-tools gebruik je, of wil je gaan gebruiken? Welke gegevens verwerk je daarmee? En waar gaan die gegevens naartoe? Dit hoeft geen ingewikkeld project te zijn, maar je moet het wel bewust doen.
Stel per tool een paar basisvragen. Waar staat de data opgeslagen? Is dat binnen de EU of daarbuiten? Wat doet de aanbieder met jouw invoer? Is er een verwerkersovereenkomst beschikbaar? Als een aanbieder die vragen niet kan beantwoorden, is dat een signaal om voorzichtig te zijn.
Maak ook afspraken binnen je organisatie. Wie mag welke AI-tools gebruiken? Welke gegevens mogen wel en niet worden ingevoerd? Medewerkers die weten waar de grenzen liggen, maken minder fouten. Dat is niet alleen goed voor de AVG-naleving, maar ook voor het vertrouwen van klanten en medewerkers.
Waarom AI-geletterdheid helpt om AVG-risico’s te verminderen
Veel AVG-problemen met AI ontstaan niet door kwade opzet. Ze ontstaan door onwetendheid. Medewerkers weten niet wat er met hun invoer gebeurt, begrijpen de risico’s niet en maken daardoor onbewust fouten.
AI-geletterdheid helpt daarbij. Als medewerkers begrijpen hoe AI-tools werken, wat data betekent in die context en welke vragen ze moeten stellen, nemen ze betere beslissingen. Ze kiezen bewuster welke informatie ze invoeren en herkennen situaties waarbij ze eerst even moeten nadenken.
Bij 2bSkilled is de opleiding AI-geletterdheid precies hierop gericht. Je leert niet alleen wat AI is, maar ook hoe je er verantwoord mee omgaat. Daarin is ook aandacht voor privacy, data en de rol van regelgeving zoals de AVG. De opleiding is praktisch en direct toepasbaar, zonder dat je een juridische achtergrond nodig hebt.
Wat je concreet kunt regelen rondom AI en de AVG
Er zijn een aantal stappen die je vandaag al kunt zetten. Controleer eerst welke AI-tools al actief zijn in jouw organisatie. Dat zijn niet alleen de tools die IT heeft goedgekeurd, maar ook de tools die medewerkers zelf gebruiken in hun dagelijkse werk.
Zoek daarna per tool de privacyverklaring en de mogelijkheid om een verwerkersovereenkomst af te sluiten. Grote aanbieders als Microsoft en Google bieden dit standaard aan. Bij kleinere of nieuwere aanbieders moet je soms expliciet erom vragen.
Stel als laatste een intern beleid op. Dat hoeft geen uitgebreid document te zijn. Een helder overzicht van welke tools zijn toegestaan, welke gegevens niet mogen worden ingevoerd en waar medewerkers terecht kunnen met vragen, is al een grote stap. Koppel dat aan een korte training en je hebt een solide basis.
