Dat hangt volledig af van welke AI je gebruikt en hoe die is opgezet. Een gratis consumentenversie is niet geschikt voor klantgegevens: je hebt geen contract, geen garantie waar de data staat en je invoer kan gebruikt worden om het model te trainen. Een zakelijke opzet met een verwerkersovereenkomst, EU-verwerking en training uitgeschakeld is wel verdedigbaar onder de GDPR.
De grootste risico's die we tegenkomen hebben zelden met de leverancier te maken. Ze ontstaan aan de keukentafel: een medewerker die een klantendossier in een gratis AI-tool plakt om er snel een samenvatting van te maken. Goed bedoeld, maar dat dossier is dan het huis uit, zonder dat er ergens iets over is afgesproken.
De GDPR verbiedt AI niet. Ze vraagt drie dingen: weet welke persoonsgegevens je waar naartoe stuurt, heb daar een reden voor, en leg het vast met wie je ermee samenwerkt. Zolang je dat kunt uitleggen, ben je in orde.
Een gratis account is gebouwd voor privégebruik. Er zit geen verwerkersovereenkomst achter, je weet niet in welk land je invoer terechtkomt, en in veel gratis varianten mag de leverancier je gesprekken gebruiken om zijn model te verbeteren.
Een zakelijke opzet is dezelfde technologie, met andere afspraken erachter: verwerking binnen de EU, training op jouw data contractueel uitgesloten, bewaartermijnen die vastliggen en een leverancier die aansprakelijk is voor zijn deel. Vanaf ongeveer twintig euro per gebruiker per maand.
Zonder afspraken op papier houd je vier categorieën buiten elke AI-tool: rijksregisternummers en identiteitsgegevens, medische of andere gevoelige gegevens, lopende dossiers met een juridisch of conflictueus randje, en wachtwoorden of toegangsgegevens. Ook loonbrieven en bankgegevens van personeel horen daar niet thuis.
Dat is geen overdreven voorzichtigheid: het zijn precies de gegevens waar een datalek je zowel een boete als je reputatie kost. In een goed opgezette AI-klantenservice of boekhoudkoppeling beperken we bewust wat de assistent te zien krijgt.
Voor iets zonder klantgegevens, zoals een vacaturetekst of een blogidee, is dat geen probleem. Zodra er namen, adressen, dossiers of medische of financiële details in gaan, heb je een zakelijke versie met een verwerkersovereenkomst nodig. Het verschil zit niet in de kwaliteit van de antwoorden maar in het contract eronder.
Jij, als verwerkingsverantwoordelijke. De leverancier is verwerker en is aansprakelijk voor zijn deel, maar tegenover je klant en tegenover de Gegevensbeschermingsautoriteit sta jij vooraan. Daarom leggen we bij elke opzet schriftelijk vast wie wat doet.
Ja. Je privacyverklaring moet vermelden dat je AI-diensten inzet en waarvoor. Praat een assistent rechtstreeks met klanten, dan hoort daar ook een korte melding bij dat ze met een digitale assistent te maken hebben.
In de gratis AI-audit kijken we ook naar wat er vandaag al aan AI gebruikt wordt in je zaak, en wat daarvoor op papier hoort te staan.
Vraag je gratis AI-audit aan →