Je medewerkers gebruiken AI al. De vraag is waarvoor
Wat de Autoriteit Persoonsgegevens ziet, waarom een verbod meestal niet helpt, en wat je deze maand kunt regelen.
Een medewerker die een lang dossier in een chatbot plakt om er een samenvatting van te krijgen, doet dat zelden uit onverschilligheid. Het scheelt tijd, het werkt verrassend goed, en meestal heeft niemand gezegd dat het niet mag. Juist daarom gebeurt het, ook in organisaties die over AI nog niets hebben besloten.
Dat is op zich geen probleem. Het wordt er een zodra er gegevens in gaan die daar niet horen, en niemand weet waar die daarna blijven.
Wat de toezichthouder ziet
In augustus 2024 waarschuwde de Autoriteit Persoonsgegevens dat er meerdere meldingen van datalekken waren binnengekomen doordat medewerkers persoonsgegevens deelden met een AI-chatbot. In één geval had een medewerker van een huisartsenpraktijk medische gegevens van patiënten ingevoerd, in een ander ging het om een bestand met klantadressen bij een telecombedrijf. Beide keren tegen de afspraken met de werkgever in.
De AP wijst erop dat de meeste aanbieders van chatbots opslaan wat je invoert, vaak zonder dat de gebruiker dat beseft. Gebruikt een medewerker zo'n tool op eigen initiatief en voert die daarbij persoonsgegevens in, dan is dat een datalek. Een melding aan de AP en aan de mensen om wie het gaat is dan in veel gevallen verplicht.
Het is sindsdien niet minder geworden. Volgens Accountant.nl, dat zich baseert op het FD, ontving de AP in 2024 en 2025 tientallen meldingen, in 2025 meer dan in het jaar ervoor. Bij de gemeente Eindhoven bleek uit een steekproef dat medewerkers in dertig dagen onder meer cv's en jeugdzorgdossiers in openbare chatbots hadden gezet.
Waarom een verbod meestal niet werkt
De eerste reactie is vaak om het gebruik te verbieden. Dat is begrijpelijk, maar het neemt de reden niet weg waarom mensen ermee begonnen: het werk gaat sneller. Een verbod verplaatst het gebruik dan naar de eigen telefoon en het privéaccount, waar je er nog minder zicht op hebt.
Alles toestaan is ook geen oplossing. De AP merkt op dat gebruik dat bij het beleid hoort weliswaar geen datalek is, maar vaak ook niet wettelijk is toegestaan. Wie AI wil inzetten, moet dus weten welke tool het is, waar de gegevens heen gaan en wat de aanbieder ermee mag doen.
Wat je deze maand kunt regelen
Je hebt geen beleidsdocument van twintig pagina's nodig om te beginnen. Met vier stappen kom je al een heel eind.
Vraag na welke tools er gebruikt worden en waarvoor. Maak er geen verhoor van, want dan krijg je geen eerlijk antwoord.
Leg vast welke gegevens er nooit in mogen, zoals persoonsgegevens van klanten of patiënten en alles wat onder een geheimhoudingsplicht valt.
Kies één zakelijke omgeving en regel met de aanbieder dat ingevoerde gegevens niet worden opgeslagen, zoals de AP ook adviseert.
Deel wat werkt: prompts, instructies en voorbeelden op een plek die het hele team kent, zodat de kennis niet bij één persoon blijft hangen.
De keerzijde
Dit kost iets. Een zakelijke omgeving kost geld per gebruiker, afspraken maken kost tijd van mensen die het al druk hebben, en een afspraak die niemand kent helpt niet. Een zakelijk account is bovendien geen vrijbrief: ook daar moet je weten waar de gegevens staan en wie erbij kan. Het alternatief is alleen niet dat er geen AI wordt gebruikt. Het alternatief is dat het gebeurt zonder dat jij weet hoe.
Waar sta je zelf?
In onze AI-zelfscan gaan twee van de twaalf vragen precies hierover: of er afspraken zijn over wat wel en niet in AI-tools mag, en of je weet welke tools er gebruikt worden en waar de gegevens heen gaan. Gebruiken medewerkers AI terwijl die afspraken ontbreken, dan meldt de scan dat bovenaan je resultaat. Het invullen duurt ongeveer drie minuten en je antwoorden blijven in je browser.
Wil je het voor jullie eigen situatie laten uitzoeken, dan nemen we het mee in de AI-quickscan.