Grote kans dat iemand in jouw bedrijf deze week een AI-chatbot heeft gebruikt. Om een lastige mail te herschrijven, een offerte op te zetten of een lang document samen te vatten. Dat is begrijpelijk, want het scheelt tijd. Maar weet jij welke gegevens daarbij zijn ingevoerd?
Bij veel mkb-bedrijven is het antwoord eerlijk gezegd: nee. Er is niets over afgesproken, dus iedereen doet wat hem handig lijkt. Daar zit het risico.
Wat kan er misgaan?
De Autoriteit Persoonsgegevens (AP) heeft meldingen gekregen van datalekken die precies zo ontstonden. In één geval voerde een medewerker van een huisartsenpraktijk medische gegevens van patiënten in een AI-chatbot in, tegen de afspraken in. In een ander geval zette een medewerker van een telecombedrijf onder meer een bestand met klantadressen in een chatbot.
De AP is daar duidelijk over: als er persoonsgegevens in een chatbot zijn ingevoerd zonder dat de organisatie dat zo heeft geregeld, is dat een datalek. In veel gevallen moet je dat dan melden bij de AP en bij de mensen om wie het gaat. Dat wil je als directeur niet achteraf ontdekken.
Het gaat niet alleen om persoonsgegevens. Denk ook aan prijsafspraken, contracten, plannen voor een overname of de cijfers van je kwartaal. Wat je in een gratis chatbot plakt, verlaat je bedrijf.
Verbieden werkt meestal niet
Een reflex is: dan verbieden we het gewoon. In de praktijk gebruiken mensen het dan toch, maar dan op hun eigen telefoon of privéaccount, buiten jouw zicht. Je bent dan verder van huis dan eerst.
Beter is om bewust te kiezen. Wil je AI wel gebruiken? Dan regel je het goed. Wil je het niet? Dan leg je uit waarom en controleer je het ook. De AP adviseert organisaties om hier heldere afspraken over te maken met medewerkers, inclusief welke gegevens wel en niet ingevoerd mogen worden.
Vijf spelregels om mee te beginnen
Je hoeft geen dik beleidsdocument te schrijven. Een A4'tje met deze punten is een prima start.
1. Welke tools mogen wel? Kies een of twee AI-tools die het bedrijf goedkeurt en regel daar zakelijke accounts voor. Bij zakelijke versies kun je vaak afspraken maken over wat de aanbieder met je gegevens doet, bijvoorbeeld dat ingevoerde gegevens niet worden bewaard of gebruikt om het systeem verder te trainen. Lees die voorwaarden goed na, of laat iemand dat voor je doen.
2. Wat mag er nooit in? Maak een korte lijst. Bijvoorbeeld: namen en gegevens van klanten of personeel, medische gegevens, wachtwoorden, financiële gegevens en vertrouwelijke contracten. Twijfel je, dan niet invoeren.
3. Anonimiseer waar het kan. Een mail laten herschrijven kan prima zonder echte namen of adressen erin. Vervang ze door "klant A" of "medewerker B". Zo houd je het nut en beperk je het risico.
4. Controleer altijd het resultaat. Een chatbot klinkt zeker van zijn zaak, ook als hij zich vergist. Wat naar een klant gaat of waar je een besluit op baseert, leest een mens eerst kritisch na. De verantwoordelijkheid blijft bij jullie.
5. Weet wat je doet als het misgaat. Spreek af dat een medewerker het direct meldt als er per ongeluk gevoelige gegevens in een chatbot zijn beland. Zonder schuldvraag, want je wilt het snel weten. Daarna bepaal je samen of het gemeld moet worden.
Maak het onderdeel van je IT-regie
AI-tools zijn niet anders dan andere software. Iemand moet bijhouden welke tools er gebruikt worden, wie er een account heeft, wat de licenties kosten en of de voorwaarden nog kloppen. Die abonnementen duiken anders ongemerkt op je factuur op. Hoe je daar grip op houdt, lees je in Zo beoordeel je je IT-factuur.
Bespreek de spelregels ook gewoon in een teamoverleg. Leg uit waarom ze er zijn. Mensen houden zich beter aan afspraken die ze begrijpen, en vaak komen er dan ook goede ideeën boven over waar AI wel echt helpt.
Tot slot
AI kan je team veel tijd besparen, mits je er bewust mee omgaat. Een paar duidelijke afspraken voorkomen dat een handige tool een datalek wordt. Wil je hulp bij het kiezen van de juiste tools en het opstellen van spelregels die passen bij jouw bedrijf? Kijk dan bij AI in de praktijk.