Werken met AI? Zorg dat gemak geen datalek wordt

AI-tools zoals ChatGPT, Gemini, Claude en Copilot worden steeds vaker gebruikt op de werkvloer. Medewerkers laten teksten herschrijven, documenten samenvatten, klantmails voorbereiden of ideeën genereren voor beleid en rapportages.

Handig, snel en vaak heel praktisch. Maar niet zonder risico.

Want wat gebeurt er met de informatie die medewerkers invoeren? Weten zij welke gegevens ze wel en niet mogen delen met een AI-tool? En herkennen zij het verschil tussen een onschuldige tekst en informatie die onder de AVG valt?

Shadow AI

Veel organisaties hebben nog geen duidelijke afspraken over het gebruik van AI. Daardoor gaan medewerkers zelf aan de slag met openbare AI-tools, vaak zonder dat IT, security, privacy of het management daarvan op de hoogte is.

Dat noemen we shadow AI.

Shadow AI is het gebruik van AI-tools binnen een organisatie zonder toestemming, toezicht of duidelijke afspraken. Denk aan medewerkers die een openbaar AI-programma gebruiken om sneller te werken, een document te laten samenvatten of een klantmail te verbeteren, terwijl de organisatie niet weet welke tool wordt gebruikt en welke informatie daarin wordt ingevoerd.

Meestal gebeurt dit niet met verkeerde bedoelingen. Medewerkers willen efficiënter werken, tijd besparen of betere teksten maken. Maar juist omdat het buiten het zicht van de organisatie gebeurt, ontstaan er risico’s.

Als niemand weet welke AI-tools worden gebruikt, is het ook lastig om te controleren:

• welke gegevens worden ingevoerd;
• waar die gegevens terechtkomen;
• of de tool voldoet aan privacy- en beveiligingseisen;
• en of medewerkers weten wat wel en niet mag.

Wat mag je niet zomaar delen met AI?

Een belangrijk risico bij AI-gebruik is het delen van persoonsgegevens of vertrouwelijke informatie.

Persoonsgegevens zijn alle gegevens die direct of indirect iets zeggen over een persoon. Het gaat dus niet alleen om een naam of e-mailadres. Ook informatie die naar iemand te herleiden is, kan onder de AVG vallen.

Denk bijvoorbeeld aan:

• namen en contactgegevens;
• klant- en personeelsnummers;
• BSN-nummers;
• salaris- en financiële gegevens;
• medische en verzuimgegevens;
• beoordelingsverslagen;
• klachten, dossiers en gespreksverslagen;
• foto’s, camerabeelden of informatie over iemands gedrag en prestaties.

Sommige persoonsgegevens zijn extra gevoelig, zoals medische gegevens, strafrechtelijke gegevens of informatie over iemands gezondheid, geloof, afkomst of vakbondslidmaatschap.

Juist dit soort informatie mag je niet zomaar invoeren in een openbare of niet-goedgekeurde AI-tool.

Persoonsgegevens zijn meer dan alleen naam en e-mailadres

De AVG, de Algemene Verordening Gegevensbescherming, bepaalt hoe organisaties met persoonsgegevens moeten omgaan. Organisaties moeten persoonsgegevens veilig, zorgvuldig en doelgericht verwerken.

Wanneer een medewerker persoonsgegevens invoert in een externe AI-tool, worden deze gegevens door die toepassing verwerkt. Als daarvoor geen duidelijke afspraken, geldige grondslag of passende beveiligingsmaatregelen bestaan, kan dat een privacy- of beveiligingsprobleem opleveren.

Veilig AI-gebruik is daarom niet alleen een zaak van IT. Ook HR, privacy, security, management en medewerkers zelf spelen hierin een rol.

Van hulpmiddel naar mogelijk datalek

Dat dit geen theoretisch risico is, bleek onder andere bij de gemeente Eindhoven. Uit een analyse van de gemeente bleek dat bestanden met persoonlijke gegevens van inwoners en medewerkers naar openbare AI-websites waren gestuurd. De gemeente heeft dit gemeld bij de Autoriteit Persoonsgegevens.

Het ging om informatie die niet zomaar buiten de organisatie gedeeld had mogen worden.

Zo’n situatie ontstaat vaak heel eenvoudig:

Even een document samenvatten.
Even een e-mail laten herschrijven.
Even een casus laten beoordelen.
Even een rapport laten verbeteren.

Maar “even snel” kan grote gevolgen hebben als medewerkers niet weten waar de grens ligt.

Wanneer persoonsgegevens, klantinformatie, interne documenten of bedrijfsgevoelige informatie worden ingevoerd in een AI-tool die daarvoor niet is goedgekeurd, kan een privacy- of beveiligingsincident ontstaan. In sommige gevallen kan er sprake zijn van een datalek.

Verbieden is niet altijd de oplossing

AI volledig verbieden klinkt misschien veilig, maar is in de praktijk lastig. Medewerkers zien de voordelen en gebruiken AI vaak toch, zeker wanneer er geen duidelijk alternatief of beleid is.

Daarom werkt een duidelijk AI-beleid vaak beter dan alleen verbieden.

Een goed AI-beleid maakt duidelijk:

• welke AI-tools medewerkers wel en niet mogen gebruiken;
• welke gegevens nooit mogen worden ingevoerd;
• hoe persoonsgegevens en vertrouwelijke informatie moeten worden beschermd;
• wie verantwoordelijk is voor toezicht en controle;
• hoe incidenten worden gemeld;
• en welke afspraken binnen de organisatie gelden.

Van verbieden naar verantwoord gebruiken

Veilig werken met AI vraagt om meer dan alleen bewustwording bij medewerkers. Organisaties moeten ook duidelijke kaders vastleggen voor het gebruik van AI.

Welke toepassingen zijn toegestaan?
Welke gegevens mogen worden gebruikt?
Welke risico’s horen bij een bepaalde AI-toepassing?
Wie controleert de uitkomsten?
En hoe voorkom je dat AI leidt tot privacyproblemen, bias of onduidelijke besluitvorming?

Een goed AI-beleid geeft teams houvast. Het maakt duidelijk wat wel en niet mag, wie waarvoor verantwoordelijk is en wanneer extra controle nodig is. Zo hoeft een organisatie niet achteraf te corrigeren, maar houdt zij vooraf grip op het gebruik van AI.

Praktisch leren werken met AI

Met de online training AI-beleid: Werken met AI binnen duidelijke kaders leer je AI niet alleen beter begrijpen, maar vertaal je de belangrijkste regels en risico’s direct naar jouw eigen werkomgeving.

Tijdens de training leer je:

• de belangrijkste regels uit de AI Act en de AVG begrijpen;
• AI-toepassingen indelen naar risicoklasse;
• bepalen wanneer het gebruik van AI wel en niet is toegestaan;
• AI-uitkomsten beoordelen op privacy, betrouwbaarheid en bias;
• concrete bouwstenen opstellen voor AI-beleid binnen je team of organisatie.

Krijg grip op AI-gebruik

Met duidelijk AI-beleid verklein je de kans op datalekken, privacyproblemen, onbetrouwbare uitkomsten en onduidelijkheid binnen teams. Tegelijkertijd geef je medewerkers de ruimte om AI verantwoord en doelgericht te gebruiken.

Wil je het gebruik van AI binnen jouw team of organisatie vertalen naar heldere en werkbare afspraken?

Bekijk dan de training AI-beleid: Werken met AI binnen duidelijke kaders.