Bij bijna elk bedrijf dat wij spreken was het eerste AI-systeem in productie niet door engineering gebouwd. Het was een browsertab. Een supportmedewerker plakte een klacht in ChatGPT om een beleefd antwoord op te stellen. Een recruiter vroeg Copilot vijftig cv's te rangschikken. Een financieel analist uploadde een spreadsheet met klantbetalingen "om het patroon te vinden". Niets hiervan ging langs legal, en alles heeft juridische gevolgen. Deze notitie legt uit wat er aangaat zodra uw mensen generatieve tools gebruiken met bedrijfs- of klantgegevens, en wat u in enkele weken op orde kunt hebben.
1. De AVG gaat direct aan
Een prompt met een naam, een e-mailadres, een ordernummer of een beschrijving van een persoon is een verwerking van persoonsgegevens. U bent verwerkingsverantwoordelijke. De toolleverancier is, afhankelijk van het abonnement, uw verwerker of een zelfstandige verantwoordelijke die de inhoud mogelijk gebruikt om modellen te trainen. Dat levert vier vragen op die u moet kunnen beantwoorden: wat is de grondslag, is er een verwerkersovereenkomst (artikel 28) met de leverancier, waar gaan de gegevens heen (veel consumentenabonnementen lopen via de VS zonder doorgiftemechanisme) en heeft u de betrokkenen in uw privacyverklaring geïnformeerd. Gebruiken medewerkers privé-accounts, dan heeft u niets hiervan geregeld, en een klacht of audit laat dat zien.
2. De AI-verordening voegt geletterdheidsplichten toe, en soms een rol
Sinds 2 februari 2025 verplicht artikel 4 van de AI-verordening elk bedrijf dat AI-systemen gebruikt om te zorgen voor voldoende AI-geletterdheid bij de medewerkers die ermee werken. Dat geldt voor een recruiter met een chatbot net zo goed als voor een datascientist. Wordt de tool gebruikt om kandidaten te screenen, kredietwaardigheid te beoordelen of te beslissen over toegang tot diensten, dan bent u mogelijk ook gebruiksverantwoordelijke van een hoog-risicosysteem, met plichten rond menselijk toezicht, monitoring en informatie aan betrokkenen. Ook waar de toepassing onschuldig is, moet u weten welke systemen in gebruik zijn. Daarom is een AI-inventaris in bijna elke opdracht het eerste resultaat.
3. Uw contracten verbieden het waarschijnlijk al
Kijk naar de geheimhoudingsbepaling in uw klantovereenkomsten en NDA's. De meeste zeggen dat vertrouwelijke informatie niet aan derden mag worden verstrekt en alleen mag worden verwerkt op systemen onder uw beheer. Het uploaden van een klantdocument naar een publiek model is, letterlijk gelezen, een schending van die bepaling, ongeacht wat de leverancier ermee doet. Hetzelfde geldt voor de verplichtingen van uw medewerkers onder hun arbeidsovereenkomst en voor uw eigen verplichtingen als verwerker onder artikel 28 (geen subverwerkers zonder toestemming).
4. Voor gereguleerde bedrijven kan het een meldplichtig incident zijn
Bent u een financiële entiteit onder DORA, een aanbieder onder NIS2 of heeft u een vergunning van DNB of de AFM, dan kan een ongecontroleerde stroom van cliëntgegevens naar een extern systeem gelden als een ICT- of beveiligingsincident dat interne escalatie en, boven een drempel, melding aan de toezichthouder vereist. Gezondheidsgegevens, gegevens van kinderen en bijzondere categorieën verlagen die drempel verder.
Zes dingen die het gat dichten
Een AI-gebruiksbeleid van twee pagina's: welke tools zijn goedgekeurd, welke dataklassen erin mogen, wat nooit (bijzondere persoonsgegevens, broncode, klantdocumenten) en wie nieuwe tools goedkeurt. Goedgekeurde zakelijke accounts met een verwerkersovereenkomst, geen training op uw inhoud, dataopslag in de EU waar mogelijk en single sign-on, zodat u gebruik kunt zien. Een inventaris van AI-systemen met eigenaar, doel en een eerste risicoclassificatie. AI-geletterdheidstraining van één uur, vastgelegd, over wat de tools doen, hallucinaties, vertrouwelijkheid en het beleid. Aangepaste bepalingen in arbeidsvoorwaarden, NDA's en klantovereenkomsten die zeggen wat is toegestaan. Een intakestap voor nieuwe toepassingen, zodat de volgende tool door een beoordeling van dertig minuten gaat in plaats van door een crisis.
Niets hiervan vertraagt uw teams. Het geeft hen een veilige baan en het bedrijf een verdedigbaar dossier. Wilt u de beleidstemplate en de trainingsopzet, mail ons dan.