Regels
Wanneer het invoeren van persoonsgegevens in een AI-chatbot een datalek is, wanneer je het moet melden en wat je in de eerste 72 uur doet.
Je meldt het bij de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat het lek een risico oplevert voor de mensen over wie de gegevens gaan. Gaat het om gevoelige gegevens, zoals medische gegevens of een BSN met naam en adres, dan is dat risico er in de regel. De melding doe je zo mogelijk binnen 72 uur.
Die regel staat in artikel 33 van de AVG. De toets heeft twee drempels. Voor een melding bij de toezichthouder is een risico genoeg. Voor het informeren van de betrokkenen zelf vraagt artikel 34 een hoog risico. Je maakt dus altijd een inschatting, en die leg je vast.
De AVG gebruikt het woord datalek niet. Artikel 4 onder 12 spreekt van een "inbreuk in verband met persoonsgegevens": een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van, of de ongeoorloofde toegang tot, persoonsgegevens.
De Autoriteit Persoonsgegevens (AP) vat dat samen op haar pagina wat is een datalek: het gaat om toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is, met een inbreuk op de beveiliging als oorzaak. Zij onderscheidt drie soorten.
Opzet is niet nodig: de definitie zegt "per ongeluk of op onrechtmatige wijze". Bij een AI-chatbot gaat het bijna altijd om de eerste soort. De gegevens zijn niet weg en niet veranderd. Ze zijn terechtgekomen bij een partij die ze niet had mogen krijgen.
De AP publiceerde op 6 augustus 2024 het bericht Let op: gebruik AI-chatbot kan leiden tot datalekken. Zij schrijft daarin dat zij meerdere meldingen had gekregen van datalekken doordat medewerkers persoonsgegevens van bijvoorbeeld patiënten of klanten deelden met een AI-chatbot. Door die invoer kunnen de bedrijven achter de chatbot ongeoorloofd toegang krijgen tot de gegevens.
De AP noemt twee voorbeelden. Bij een huisartsenpraktijk had een medewerker, tegen de afspraken in, medische gegevens van patiënten in een AI-chatbot ingevoerd. Bij een telecombedrijf had een medewerker een bestand met onder meer adressen van klanten ingevoerd.
De kern van het bericht is een onderscheid tussen twee situaties.
Organisaties moeten volgens de AP beide situaties voorkomen. Het tweede punt wordt vaak overgeslagen. Een beleid dat het gebruik toestaat, maakt van de invoer geen datalek, maar lost de rest niet op: je hebt nog steeds een grondslag nodig, een overeenkomst met de aanbieder en waar nodig een grondslag voor doorgifte. Dat staat uitgewerkt op ChatGPT, Claude, Mistral Vibe en de AVG.
De AP sluit af met drie adviezen. Maak duidelijke afspraken met medewerkers over de inzet van AI-chatbots. Maak, als je het gebruik toestaat, duidelijk welke gegevens wel en niet ingevoerd mogen worden. En bekijk of je met de aanbieder kunt regelen dat die de ingevoerde gegevens niet opslaat. Gaat het toch mis, dan is een melding aan de AP en aan de betrokkenen volgens het bericht "in veel gevallen verplicht".
De tabel zet veelvoorkomende situaties naast elkaar. Ze is een hulpmiddel bij je eigen inschatting, geen vervanging ervan. Waar "hangt af van" staat, bepaalt de risicoafweging in de volgende paragraaf de uitkomst.
| Situatie | Is het een datalek? | Melden bij de AP? | Betrokkenen informeren? |
|---|---|---|---|
| Medewerker voert tegen de afspraken in medische gegevens in op een privé-account | Ja, volgens de AP | In de regel ja: bij gezondheidsgegevens houd je rekening met een hoog risico | Waarschijnlijk ja; hangt af van wat er precies is ingevoerd en van de herleidbaarheid |
| Medewerker voert tegen de afspraken in een klantenlijst met namen en adressen in op een privé-account | Ja, volgens de AP | Hangt af van de hoeveelheid, de gevoeligheid en wat de aanbieder met de invoer doet | Alleen bij een waarschijnlijk hoog risico |
| Medewerker voert een BSN met naam en adres in op een privé-account | Ja, volgens de AP | In de regel ja: de AP noemt deze combinatie gevoelig vanwege het risico op fraude | Hangt af van het risico op misbruik; leg je afweging vast |
| Medewerker gebruikt de zakelijke AI-dienst van de organisatie zoals het beleid voorschrijft | Nee | Niet van toepassing | Niet van toepassing |
| Het beleid staat een consumentenchatbot toe voor klantgegevens | Volgens de AP geen datalek, wel vaak niet wettelijk toegestaan | Geen melding als datalek; wel een verwerking die je moet herstellen | Niet op grond van de meldplicht |
| Medewerker voert tekst in waarin persoonsgegevens vooraf zijn gepseudonimiseerd | Hangt af van de afspraken en van wat er nog herleidbaar is | Hangt af; pseudonimisering verkleint het risico | Meestal niet; hangt af van de herleidbaarheid |
| De aanbieder van de zakelijke AI-dienst meldt zelf een beveiligingsincident | Ja, als jouw gegevens zijn geraakt | Hangt af van het risico; de termijn loopt vanaf zijn melding | Alleen bij een waarschijnlijk hoog risico |
| Medewerker voert een tekst in zonder persoonsgegevens | Nee | Niet van toepassing | Niet van toepassing |
De AP geeft op haar pagina datalek wel of niet melden de factoren waarmee je de afweging objectief maakt:
Bij een chatbot is de vraag wie de ontvanger is en wat die met de invoer doet. Dat verschilt per account. Op een privé-account gelden consumentenvoorwaarden, kan invoer worden bewaard en kan ze, afhankelijk van de instelling van de gebruiker, worden gebruikt om modellen te trainen. Je organisatie weet niet wat die collega heeft ingesteld.
De AP noemt als voorbeeld van een betrouwbare ontvanger een partij waarmee je een zakelijke relatie hebt, zoals een vaste leverancier. Een aanbieder met wie je organisatie geen overeenkomst heeft, valt daar niet onder. Kun je de invoer laten verwijderen en bevestigt de aanbieder dat, leg dat dan vast. Het verkleint het risico, maar het maakt het lek niet ongedaan. Wat aanbieders per abonnement met geüploade bestanden doen, staat in documenten uploaden in een AI-chatbot.
Twijfel je, dan is de AP duidelijk: neem het zekere voor het onzekere en meld het wel.
De termijn begint niet bij het incident, maar bij het moment waarop je ervan weet. De Europese toezichthouders leggen dat uit in hun richtsnoeren over de melding van datalekken: je hebt kennis zodra je met een redelijke mate van zekerheid weet dat persoonsgegevens zijn gecompromitteerd. Een kort eerste onderzoek mag, als het meteen begint.
Artikel 33 lid 3 noemt vier onderdelen: de aard van de inbreuk met waar mogelijk de categorieën en het aantal betrokkenen en records bij benadering, de contactgegevens van de functionaris gegevensbescherming of een ander contactpunt, de waarschijnlijke gevolgen, en de maatregelen die je hebt genomen of voorstelt.
Komt het lek van de kant van een aanbieder met wie je een overeenkomst hebt, dan moet die jou zonder onredelijke vertraging informeren. De aanbieder hoeft het risico niet eerst zelf te wegen: dat doe jij. Hoe snel een aanbieder zich verplicht te melden, verschilt per contract. De verschillen staan in de verwerkersovereenkomst met een AI-aanbieder.
Artikel 33 lid 5 verplicht je alle inbreuken te documenteren: de feiten, de gevolgen en de corrigerende maatregelen. Met die documentatie kan de toezichthouder controleren of je de meldplicht naleeft. De Europese toezichthouders moedigen aan daarvoor een intern register bij te houden van alle inbreuken, ongeacht of ze gemeld moesten worden. De AP biedt op haar pagina over datalekken een voorbeeld van zo'n datalekregister.
Voor een lek via een chatbot leg je in elk geval vast:
De adviezen van de AP zijn het begin. In de praktijk komt daar meer bij.
PrivaSearch is gemaakt voor de oorzaak achter dit soort lekken: een medewerker wil een vraag over een dossier beantwoord hebben, en het hele dossier gaat mee. In PrivaSearch worden persoonsgegevens eerst herkend en vervangen door pseudoniemen. Een collega ziet origineel en gepseudonimiseerde tekst naast elkaar en keurt goed. Pas daarna is een document doorzoekbaar. De werkwijze staat op hoe PrivaSearch werkt.
Een gekoppelde AI-assistent zoekt alleen in die vrijgegeven passages en krijgt geen originele bestanden, bestandsnamen of links. Staat er toch een naam in een zoekvraag aan PrivaSearch, dan wordt die vervangen voordat er gezocht wordt. De koppeling werkt met Claude, ChatGPT Business en Mistral Vibe. Handelingen worden gelogd.
Twee grenzen horen daarbij. Automatische herkenning is nooit volledig; daarom is de menselijke review verplicht. En wat een medewerker zelf in de assistent typt, gaat rechtstreeks naar de aanbieder van die assistent, buiten PrivaSearch om. Gepseudonimiseerde gegevens blijven voor jouw organisatie bovendien persoonsgegevens. De meldplicht en de afweging blijven dus van jou. Welke risico's ongecontroleerd gebruik met zich meebrengt, staat op de risico's van AI op je dossiers.
Medewerkers volgen in PrivaSearch een korte training in AI-geletterdheid, met periodieke herhaling. Wil je zien hoe het werkt, vraag dan een demo aan.
Volgens de Autoriteit Persoonsgegevens wel, als de medewerker dat op eigen initiatief en tegen de afspraken met de werkgever in doet. De aanbieder van de chatbot krijgt dan toegang tot persoonsgegevens zonder dat dat mocht. Is het gebruik juist onderdeel van het beleid van de organisatie, dan is het volgens de toezichthouder geen datalek, maar vaak niet wettelijk toegestaan.
Zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat je van het datalek weet. De termijn begint dus niet bij het incident zelf, maar op het moment dat je met redelijke zekerheid weet dat persoonsgegevens zijn geraakt. Meld je later, dan geef je de reden voor de vertraging erbij. Ontbrekende informatie mag je daarna in stappen aanvullen.
Nee. Je meldt een datalek tenzij het niet waarschijnlijk is dat het een risico oplevert voor de mensen over wie de gegevens gaan. Die inschatting maak je zelf, aan de hand van onder meer de gevoeligheid van de gegevens, de herleidbaarheid en de ontvanger. Bij twijfel adviseert de toezichthouder om wel te melden. Vastleggen in je eigen register moet altijd.
Als het datalek waarschijnlijk een hoog risico voor hen oplevert. Dat is een hogere drempel dan voor de melding bij de toezichthouder. Je informeert hen onverwijld en in duidelijke taal over wat er is gebeurd, de mogelijke gevolgen en de maatregelen. Het hoeft niet als de gegevens vooraf onbegrijpelijk waren gemaakt, bijvoorbeeld door versleuteling, of als je het hoge risico achteraf hebt weggenomen.
De feiten van de inbreuk, de gevolgen en de corrigerende maatregelen die je hebt genomen. Dat geldt voor elke inbreuk, ook als je haar niet hebt gemeld. Leg er ook je risicoafweging bij vast, met de redenen waarom je wel of niet hebt gemeld. De toezichthouder kan het register opvragen om te controleren of je de meldplicht naleeft.
Ja. Meld je een datalek ten onrechte niet bij de Autoriteit Persoonsgegevens, dan kan zij een boete opleggen. Informeer je de betrokkenen ten onrechte niet, dan kan zij je verplichten dat alsnog te doen. Hoe zij in een concreet geval oordeelt, hangt af van de omstandigheden. Leg daarom bij elk incident vast welke afweging je hebt gemaakt en waarom.
Wat de AIIA van het ministerie van Infrastructuur en Waterstaat is, voor wie het verplicht is, hoe het is opgebouwd en hoe het zich verhoudt tot IAMA en DPIA.
De lidstaten willen AI-verwerking op gerechtvaardigd belang laten steunen en pseudonimisering anders regelen. Wat er echt staat en wat je nu doet.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →