Wat er nu misgaat
Niemand doet het expres. Maar elke keer dat een collega "even" een dossier uploadt om een samenvatting te krijgen, gebeurt er iets dat je niet kunt terugdraaien en meestal niet eens kunt zien.
Namen, BSN's, salarissen, medische details en adressen belanden bij een Amerikaanse aanbieder. Zonder verwerkersovereenkomst en verwerkingsregister is dat een risico onder de AVG, met mogelijke meldplicht.
Wat je eraan doet: laat de assistent alleen tekst zien waarin namen en nummers al vervangen zijn. Zie Pseudonimiseren of anonimiseren.
Bij consumentenversies van AI-chatbots kan invoer worden bewaard en gebruikt om modellen te trainen, afhankelijk van de instellingen. Zakelijke versies bieden doorgaans meer controle, maar zonder bewuste configuratie en verwerkersovereenkomst heb je geen zekerheid over wat er met de gegevens gebeurt.
Wat je eraan doet: kies een zakelijk abonnement en zet training uit. Zie Welk abonnement mag je zakelijk gebruiken.
Verwerking op servers buiten de EU vraagt om een geldige doorgiftegrondslag — zoals het EU-VS Data Privacy Framework, Standard Contractual Clauses (SCC's) of een adequaatheidsbesluit — en een risicobeoordeling. Bij ongecontroleerd chatgebruik ontbreekt dat doorgaans. Een Europese aanbieder neemt deze zorg grotendeels weg, de andere niet: ‘in de EU’ zegt waar je gegevens staan, niet wat je erin mag stoppen. Ook daar gaat het volledige dossier mee.
Wat je eraan doet: leg per aanbieder vast waar de gegevens heen gaan en op welke grondslag. Zie Verwerkersovereenkomst met een AI-aanbieder.
De toezichthouder vraagt: welke gegevens, van wie, wanneer, met welke grondslag? Een chatgeschiedenis op een privé-account geeft daar geen antwoord op. Een verwerkingsregister ook niet.
Wat je eraan doet: zet het gebruik in je verwerkingsregister en bewaar wie wat deelde. Zie Verwerkingsregister voor AI-tools.
Een AI-verbod verplaatst het gebruik naar telefoons en privélaptops. Medewerkers willen het gemak. Je kunt het beter veilig aanbieden dan blind verbieden.
Wat je eraan doet: bied een route aan die mag, en schrijf op wat niet mag. Zie Shadow AI.
Sinds 2 februari 2025 geldt de AI-geletterdheidsplicht (art. 4); andere verplichtingen rond transparantie en hoog-risicosystemen volgen in fasen. Een documentzoekfunctie valt niet automatisch onder de hoog-risicocategorieën, maar als AI wordt ingezet voor besluiten over personen (HR, kredieten, klanten) gelden zware eisen.
Wat je eraan doet: regel de AI-geletterdheid van je medewerkers. Zie AI-geletterdheid is verplicht.
"Wij dachten dat onze accountant, adviseur en HR-collega's alleen met geanonimiseerde stukken werkten. Bij de eerste steekproef bleek dat niemand precies wist wat er was geüpload." Uit een gesprek met een klant. Herkenbaar? Dit is de standaardsituatie in het mkb, niet de uitzondering.
De andere kant
PrivaSearch is die route: dezelfde snelheid voor je team, zonder ongecontroleerde doorgifte van persoonsgegevens naar externe AI-diensten. Bekijk hoe dat werkt.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →