Wat doe je met je AI-data als het misgaat?
Je trapt op de rem. Je AI-tool heeft klantgegevens verwerkt, een medewerker heeft per ongeluk vertrouwelijke informatie in een prompt gezet, of je ontdekt dat een externe dienst jouw data gebruikt voor modeltraining. En nu?
De meeste mkb’ers hebben geen datalek-draaiboek. Ze weten dat de AVG bestaat, maar niet hoe die werkt bij AI. Dat levert risico op: boetes, reputatieschade en klanten die hun vertrouwen verliezen.
Waarom AI-data anders is
Klassieke databescherming draait om opslag en toegang. AI voegt een laag toe: verwerking door een model waarvan je niet precies weet wat ermee gebeurt. Een prompt naar ChatGPT kan intern worden gelogd. Een spraakassistent bewaart opnames. Een vertaaldienst stuurt zinnen door naar een cloudserver in een land met andere wetgeving.
Je moet dus niet alleen weten waar je data staat, maar ook wat er onderweg en achteraf mee gebeurt. Een standaard backup-en-toegangsbeheer dekt dat niet.
Drie scenario’s, drie aanpakken
Je gebruikt een publieke AI-dienst voor intern werk
Je team gebruikt ChatGPT of Claude om contracten samen te vatten. Iemand plakt een compleet contract in de chat, inclusief NAW-gegevens en prijsafspraken.
Wat je direct doet: stop het gebruik van de gratis variant en schakel over naar een betaald zakelijk abonnement met opt-out voor training. OpenAI en Anthropic bieden beide een businessvariant waarbij je data niet voor modeltraining wordt gebruikt. Dat kost ongeveer dertig euro per gebruiker per maand.
Maak een korte instructie voor het team: geen klantgegevens, geen contracten, geen interne prijslijsten in de gratis chat. Werk met anonieme voorbeelden of gebruik een interne tool die je zelf host.
Je laat een externe partij AI-analyse doen op jouw klantdata
Een marketingbureau of softwareleverancier biedt aan om met AI jouw klantsegmentatie te verbeteren. Ze vragen een export uit je CRM.
Wat je controleert: sluit een verwerkersovereenkomst af waarin staat dat de leverancier jouw data niet voor eigen doeleinden gebruikt en niet deelt met derde partijen. Vraag expliciet of ze een eigen model trainen op jouw gegevens, of dat ze een externe API gebruiken. Zo ja, welke? En in welk land staan de servers?
Check ook of de leverancier een subverwerker inschakelt. Sommige bureaus gebruiken zelf weer een externe AI-dienst, zonder dat duidelijk te melden. Dat moet je weten. Je bent daar ook verantwoordelijk voor onder de AVG.
Je bouwt zelf een AI-feature in je product of dienst
Je integreert bijvoorbeeld een chatbot op je website die vragen van bezoekers beantwoordt. Die bot draait op een externe API.
Wat je regelt: vermeld in je privacyverklaring dat je AI gebruikt en welke data de bot verwerkt. Geef bezoekers de mogelijkheid om hun gesprek te laten verwijderen. Zorg dat de API-provider een DPA (Data Processing Agreement) heeft ondertekend en dat gegevens binnen de EU blijven of onder een passend doorgifte-instrument vallen, zoals standaardcontractbepalingen.
Test de bot regelmatig op hallucinaties en onjuiste antwoorden. Een chatbot die een verkeerd adres of telefoonnummer geeft, levert niet alleen ergernis op maar kan ook aansprakelijkheid opleveren als iemand daardoor schade lijdt.
Wat je deze week kunt regelen
Begin met een inventarisatie van drie dingen:
- Welke AI-tools gebruikt je team, en welke data gaat erin?
- Welke externe partijen hebben toegang tot klantgegevens, en gebruiken zij AI?
- Staat er iets over AI in je privacyverklaring en verwerkersovereenkomsten?
Die inventarisatie hoeft geen dertig pagina’s te zijn. Een spreadsheet met drie kolommen volstaat. Daarna bepaal je per regel of je een zakelijk account nodig hebt, een DPA moet afsluiten of je privacyverklaring moet aanpassen.
Organisaties, en met name ICT-afdelingen, veranderen radicaal door AI. Medewerkers gaan zelf applicaties maken en vragen ICT die te hosten. Dat betekent dat je niet meer alles centraal kunt controleren. Een heldere instructie en een korte checklist helpen meer dan een dik handboek dat niemand leest.
Start klein: kies één tool die je team dagelijks gebruikt, check de voorwaarden en pas waar nodig het abonnement of de instructie aan. Herhaal dat elke maand voor een andere tool. Over een half jaar heb je een werkbare basis zonder dat je er weken fulltime mee bezig bent geweest.
