Waarom dit vaker misgaat dan je denkt
De Autoriteit Persoonsgegevens waarschuwde in augustus 2024 voor AI-chatbots op de werkvloer, na meerdere datalekken. In een van de voorbeelden voerde een assistent van een huisartsenpraktijk patiëntgegevens in een chatbot in. Bij een telecombedrijf deed een medewerker dat met een bestand met onder meer adressen.
Het patroon is steeds hetzelfde. Niemand had kwade bedoelingen, en niemand had afgesproken wat wel en niet mag. Volgens de Autoriteit Persoonsgegevens heb je geen controle meer over gegevens zodra ze in zo'n systeem staan.
1. Weet welke gegevens erin gaan
Een persoonsgegeven is elke informatie over een persoon die je kunt identificeren. Denk aan een naam, een e-mailadres, een klantnummer of een klachttekst met details. De AVG stelt eisen aan alles wat je daarmee doet, ook als het via een AI-tool gaat.
Begin daarom met de vraag of de tool de gegevens echt nodig heeft. Vaak niet. Een samenvatting of een voorbeeld zonder namen en nummers levert hetzelfde resultaat.
2. Weet wat de leverancier ermee doet
Verwerkt een AI-leverancier gegevens namens jou, dan verplicht de AVG je tot een verwerkersovereenkomst. Zonder die afspraak weet je niet wat er met de gegevens gebeurt.
Lees daarnaast drie punten in de voorwaarden. Gebruikt de leverancier jouw invoer om het model te trainen, hoe lang bewaart hij die en in welk land staan de servers? Die antwoorden verschillen per abonnement, dus controleer de zakelijke voorwaarden en niet die van de gratis versie.
Staan de gegevens buiten de Europese Unie, dan gelden extra regels voor de doorgifte.
3. Spreek af wat medewerkers mogen
Een verbod alleen is geen oplossing, want medewerkers zoeken dan hun eigen weg. De Autoriteit Persoonsgegevens vraagt bedrijven die chatbots toestaan om duidelijke afspraken te maken met hun medewerkers.
Houd die afspraken kort genoeg om te onthouden. Welke tools zijn goedgekeurd, welke gegevens gaan er nooit in en wie beantwoordt vragen? Een A4 is genoeg.
Wat als het toch misgaat
Zet je per ongeluk persoonsgegevens in een tool waar ze niet horen, dan kan dat een datalek zijn. Is er een risico voor de mensen om wie het gaat, dan meld je het binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens.
Zorg dat medewerkers zo'n fout durven te melden. Een fout die dezelfde dag bekend wordt, is te beperken. Een fout die maanden onopgemerkt blijft, niet.
Bron: Autoriteit Persoonsgegevens, waarschuwing over AI-chatbots, 7 augustus 2024.
Wij zijn geen juristen. Voor de juridische beoordeling vraag je een jurist of de functionaris gegevensbescherming. Wij helpen met de technische kant: toegangsrechten, logging en duidelijke richtlijnen voor AI-tools.