Iedereen die weleens onder tijdsdruk een klantmail moest samenvatten, kent de verleiding. Je plakt de mail in ChatGPT, vraagt om een korte samenvatting voor je manager, en binnen tien seconden heb je wat je nodig had. Wat de meeste mensen daarbij niet beseffen, is dat ze op dat moment mogelijk net een naam, een adres of een klantnummer naar een externe server stuurden, buiten het zicht van hun werkgever. Een recent Nederlands trendonderzoek onder tienduizenden medewerkers laat zien hoe wijdverspreid dit inmiddels is: vijfenzeventig procent van de werknemers gebruikt AI voor werkgerelateerde taken, en van die groep doet achtenzeventig procent dat zonder enige toestemming of toezicht van de IT-afdeling. Organisaties hebben naar schatting zicht op minder dan elf procent van het daadwerkelijke AI-gebruik binnen hun eigen muren.
We kwamen Yara al eerder tegen in ons artikel over de EU AI Act voor MKB, waar ze als recruitmentondernemer haar eigen AI-tools in kaart bracht. Wat ze daarbij ontdekte, verraste haar: twee van haar medewerkers gebruikten al maandenlang een gratis AI-tool om conceptvacatureteksten te schrijven, inclusief passages met de naam van de opdrachtgever, zonder dat zij daar ooit iets van had gemerkt. Niemand deed dit met kwade bedoelingen. Ze wilden gewoon sneller werken. Wat Yara begreep, en wat veel werkgevers en werknemers nog missen, is dat mag je ai gebruiken op je werk privacy geen simpel ja-of-nee-antwoord kent, maar wel een aantal heldere grenzen heeft zodra je weet waar je op moet letten.
Het Snelle Antwoord: Mag Het Wel of Niet?
Het korte antwoord is ja, maar onder strikte voorwaarden. AI-tools gebruiken op je werk mag zodra je werkgever dat toestaat, en zolang je geen persoonsgegevens, bedrijfsgeheimen of vertrouwelijke klantinformatie invoert in gratis of onbeveiligde AI-modellen. Namen, e-mailadressen, medische gegevens of financiële cijfers invoeren in een openbare chatbot kan door de Autoriteit Persoonsgegevens worden aangemerkt als een datalek, met een aansprakelijkheid die in de eerste plaats bij je werkgever ligt, niet bij jou als individuele medewerker.
Wat Mag Wel en Wat Mag Niet? Een Overzicht
De grens tussen toegestaan en riskant gebruik zit vaak niet in de tool zelf, maar in wat je erin stopt.
| Scenario op de werkvloer | Mag dit volgens AVG? | Toelichting en voorwaarde |
|---|---|---|
| Brainstormen of een sjabloon opstellen | Wel toegestaan | Zolang de prompt geen specifieke bedrijfs- of persoonsnamen bevat |
| Klantmail of rapport laten samenvatten | Niet toegestaan (gratis AI) | Bevat al snel persoonsgegevens en bedrijfsdata die de aanbieder kan gebruiken als trainingsdata |
| Code of tekst laten controleren op fouten | Voorwaardelijk toegestaan | Alleen als eigen bedrijfs-IP of gevoelige broncode eerst is geanonimiseerd |
| Enterprise AI met een zakelijke licentie | Wel toegestaan | Mits er een verwerkersovereenkomst is en data niet wordt gebruikt voor modeltraining |
Wat opvalt aan deze tabel, is dat vrijwel dezelfde taak, zoals tekst laten samenvatten, van “niet toegestaan” naar “wel toegestaan” verschuift zodra je overstapt van een gratis, publieke chatbot naar een zakelijk abonnement met de juiste contractuele waarborgen. Het is dus zelden de taak zelf die het probleem vormt, maar de vraag of de tool waarmee je die taak uitvoert, contractueel garandeert wat er met je data gebeurt.
De Drie Grootste Privacyrisico’s van AI op het Werk
Het eerste risico zit in de trainingsdata. Gratis AI-chatbots slaan de invoer van gebruikers vaak op externe servers op, mede om hun onderliggende modellen verder te trainen. Plak je een klacht van een klant in zo’n tool, dan staat die klacht, inclusief eventuele persoonsgegevens, op het moment van plakken al op de server van de AI-leverancier, buiten de controle van jouw organisatie.
Het tweede risico is een directe overtreding van de AVG. Bedrijven moeten kunnen aantonen waar en hoe persoonsgegevens worden verwerkt, en veel AI-modellen verwerken data buiten de Europese Economische Ruimte zonder de waarborgen die de AVG daarvoor eist. Bij een controle of een klacht bij de Autoriteit Persoonsgegevens moet een organisatie kunnen laten zien welke verwerkers ze gebruiken en op basis van welke overeenkomst, en “een medewerker gebruikte toevallig een gratis chatbot” is precies het soort antwoord dat een toezichthouder niet accepteert.
Het derde risico ligt minder voor de hand, maar weegt inmiddels net zo zwaar: de AI-geletterdheidsverplichting uit de Europese AI-verordening. Sinds februari 2025 moeten organisaties er al voor zorgen dat medewerkers die met AI-systemen werken, voldoende training en kennis hebben om de risico’s van die systemen te begrijpen. Een bedrijf dat AI-gebruik oogluikend toestaat zonder ooit uit te leggen wat wel en niet mag, voldoet strikt genomen al niet aan die verplichting, los van de vraag of er ooit daadwerkelijk een datalek plaatsvindt.
Stappenplan: Hoe Gebruik Je Veilig AI voor Werk?
Check als eerste het interne AI-protocol van je organisatie. Vraag bij HR of de IT-afdeling na of er een vastgestelde “AI Acceptable Use Policy” bestaat, want veel organisaties hebben inmiddels wel beleid opgesteld, maar communiceren dat onvoldoende naar de werkvloer, met als resultaat dat medewerkers gewoon hun eigen weg zoeken. Anonimiseer vervolgens altijd je input voordat je iets in een AI-tool plakt: vervang namen door een neutrale aanduiding zoals “Persoon A”, bedrijfsnamen door “Bedrijf X”, en verwijder BSN-nummers of specifieke bedragen voordat je een tekst invoert, ook als je denkt dat de context onschuldig is.
Gebruik daarnaast bewust de privacy-instellingen die de meeste tools bieden. Zet in gratis accounts expliciet de optie uit die je gesprekken gebruikt om het model te trainen, en schakel waar mogelijk je geschiedenis uit voor gevoelige gesprekken. Grijp tot slot zo veel mogelijk terug naar goedgekeurde enterprise-tools die je organisatie beschikbaar heeft gesteld, ook als die net iets minder soepel aanvoelen dan de vertrouwde gratis versie thuis, want precies dat verschil in contractuele bescherming is waar de AVG-naleving in de praktijk om draait.
Yara loste het probleem bij haar eigen recruitmentbureau uiteindelijk op door niet in eerste instantie te verbieden, maar een zakelijk abonnement aan te schaffen dat wél aan de voorwaarden voldeed, en haar medewerkers actief te laten zien waarom dat verschil ertoe deed. Binnen twee weken verdween het gebruik van de gratis tool bijna volledig, niet omdat ze het had verboden, maar omdat het alternatief net zo makkelijk was geworden zonder het risico.
Waarom een Verbod Zelden Werkt
De verleiding voor veel werkgevers is om AI-gebruik simpelweg te verbieden zodra de risico’s duidelijk worden, maar de cijfers laten zien waarom die aanpak vrijwel altijd faalt. Medewerkers die AI nodig hebben om hun werkdruk behapbaar te houden, stoppen niet met zoeken naar een oplossing zodra een verbod wordt ingevoerd. Ze verplaatsen het gebruik simpelweg verder uit het zicht, bijvoorbeeld naar hun privételefoon in plaats van hun werklaptop, wat het voor een organisatie nog moeilijker maakt om te zien wat er daadwerkelijk gebeurt. Het aantal medewerkers dat klikte op AI-gerelateerde phishingmails steeg de afgelopen twee jaar van iets meer dan één procent naar bijna zeven procent, een stijging die vooral wordt gevoed door een gebrek aan begeleiding, niet door een gebrek aan regels op papier.
Een effectievere aanpak begint met de vraag waarom medewerkers naar een niet-goedgekeurde tool grijpen, meestal simpelweg omdat er geen praktisch, even snel werkend alternatief beschikbaar is. Organisaties die tijd investeren in het aanbieden van een goedgekeurd, net zo toegankelijk alternatief, zien shadow AI-gebruik sneller afnemen dan organisaties die alleen een verbod communiceren zonder een werkbaar alternatief te bieden. Verbieden zonder vervangen lost het onderliggende probleem, de tijdsdruk die mensen naar AI drijft, namelijk helemaal niet op.
Veelgestelde Vragen
Wie is er aansprakelijk als ik per ongeluk een datalek veroorzaak via ChatGPT op mijn werk?
De werkgever is onder de AVG primair verantwoordelijk tegenover de Autoriteit Persoonsgegevens en de betrokkenen wier gegevens zijn gelekt. Dat betekent niet dat een werknemer nooit gevolgen ondervindt: als iemand expliciet vastgesteld beleid negeert, bijvoorbeeld door bewust gevoelige data in een verboden tool te plakken, kan een werkgever daarnaast nog arbeidsrechtelijke maatregelen nemen.
Mag mijn werkgever controleren of ik AI-tools gebruik op kantoor?
Ja, werkgevers mogen netwerkverkeer monitoren op het gebruik van ongewenste software, waaronder shadow AI, mits dit transparant is vastgelegd in het personeelshandboek en de ondernemingsraad hiermee heeft ingestemd. Heimelijke, niet-aangekondigde monitoring zonder die transparantie is juist weer in strijd met diezelfde AVG die het bedrijf probeert na te leven.
Is Microsoft Copilot veiliger voor privacy dan de gratis versie van ChatGPT?
Ja, mits je bent ingelogd met een zakelijk Microsoft 365-account. Microsoft biedt dan enterprise-databescherming waarbij de invoer niet wordt gebruikt om het onderliggende AI-model te trainen, en de gegevensverwerking valt onder een zakelijke overeenkomst in plaats van de consumentenvoorwaarden die voor de gratis, publieke versie gelden. Log je echter met een privéaccount in op dezelfde tool, dan gelden alsnog de lichtere consumentenvoorwaarden, ongeacht dat het om dezelfde onderliggende technologie gaat.
Die klantmail die binnen tien seconden was samengevat, dat is waar dit verhaal begon, en het is precies het soort moment dat nu net iets meer bewustzijn verdient dan het krijgt. Niet omdat AI op de werkvloer onveilig is, maar omdat het verschil tussen veilig en riskant vaak zit in een stap die maar een paar seconden extra kost: even nadenken over wat je precies plakt, voordat je op enter drukt.
