ChatGPT en Copilot op kantoor: AI gebruiken zonder klantgegevens prijs te geven

Of: waarom de snelste medewerker van je bedrijf ook een contract nodig heeft

AI-assistenten zijn in veel kmo’s binnengekomen zoals de koffiemachine: iemand begon ermee, iedereen gebruikt het, en niemand heeft ooit beslist hoe. Dat is prima voor koffie. Voor een tool waarin je klantenmails, offertes en cv’s plakt, loont het om even stil te staan bij de gegevensbescherming in een kmo. Niet om AI af te remmen, wel om te weten wat je uit handen geeft.

AI op het werk en GDPR: wat je in een chatbot zet, verlaat je bedrijf

De uitzendkracht die nooit slaapt

Zie een AI-assistent als een uitzendkracht. Hij is razendsnel, altijd beschikbaar, en je mag hem alles vragen. Maar hij werkt niet voor jou: hij komt van een uitzendkantoor, en de voorwaarden van dat kantoor bepalen wat er gebeurt met wat je hem toevertrouwt.

Duw het beeld verder en de vragen stellen zich vanzelf. Mag de uitzendkracht notities mee naar huis nemen om er later beter van te worden? Dat is training. Leest zijn chef af en toe mee over zijn schouder? Dat is menselijke controle. Werkt hij in België of op een kantoor aan de andere kant van de oceaan? Dat is de locatie van je gegevens. En heb je met het kantoor een contract dat dit allemaal regelt, of heb je hem gewoon binnengelaten omdat hij zo vriendelijk glimlachte? Dat is de verwerkersovereenkomst.

Een uitzendkracht die je hele klantenbestand krijgt zonder contract, zou in geen enkele kmo passeren. Met een chatbot gebeurt het elke dag.

Wat er gebeurt met wat je intypt

Voor de GDPR is een AI-dienst een leverancier die gegevens verwerkt, net als je mail- of cloudprovider. Dezelfde vragen gelden dus, zoals uitgelegd in de gids over transparant zijn over persoonsgegevens:

• Training: gebruikt de aanbieder je invoer om zijn modellen te verbeteren? Bij zakelijke abonnementen beloven de grote aanbieders doorgaans van niet; bij gratis of persoonlijke accounts moet je het vaak zelf uitzetten. Welke knoppen er zijn, lees je bij de privacy-instellingen van ChatGPT en Copilot.
• Menselijke controle: kijken er mensen mee? Eind september 2026 bleek dat bij Copilot menselijke beoordelaars foto’s van gebruikers zien, zonder dat je je kunt afmelden. Een instelling tegen training is niet hetzelfde als een instelling tegen meekijken.
• Bewaring en locatie: hoe lang blijven je gesprekken bewaard, en in welk land?
• Contract: is er een verwerkersovereenkomst? Voor gratis accounts meestal niet.

Wat je beter niet intypt

Ook met een goed contract blijft de beste bescherming wat je niet deelt. Zonder duidelijke afspraken zet je dit beter niet in een AI-assistent:

• klantgegevens met naam, adres of contactgegevens, als het ook zonder kan;
• personeelsdossiers, beoordelingen en loongegevens;
• gezondheidsgegevens en andere bijzondere gegevens, waarvoor de GDPR strengere regels heeft;
• identiteitskaarten, contracten met persoonsgegevens en wachtwoorden.

Vaak kan het ook zonder. Een klantenmail laten herformuleren lukt net zo goed als je de naam, het adres en het klantnummer eerst vervangt door „de klant”. Het antwoord wordt er niet slechter van. Het risico wel kleiner.

Beslissingen over mensen

Er is één plek waar de GDPR bijzonder duidelijk is. Volgens artikel 22 heeft iemand het recht om niet onderworpen te worden aan een beslissing die uitsluitend geautomatiseerd genomen wordt en die hem aanzienlijk treft, zoals het afwijzen van een sollicitatie of een kredietaanvraag. Er zijn uitzonderingen, maar de vuistregel voor een kmo is eenvoudig: laat AI sorteren, samenvatten en voorstellen, en laat een mens beslissen. Een mens die de beslissing echt kan veranderen, niet een mens die op „akkoord” klikt.

De AI-verordening komt erbij

Naast de GDPR is er sinds 2024 ook de Europese AI-verordening, de AI Act. Die regelt vooral de AI-systemen zelf, maar één verplichting geldt sinds februari 2025 ook voor gewone gebruikers in een bedrijf: wie AI inzet, neemt maatregelen die de AI-geletterdheid van zijn personeel ondersteunen, zodat het de tools verantwoord gebruikt. Sinds de aanpassing van juli 2026 hoeft daarbij geen bepaald niveau gegarandeerd te worden. Voor een kmo hoeft dat geen opleidingsprogramma te zijn. Een korte uitleg over wat mag, wat niet en waarom, is een goed begin. Hoe de AI Act en de GDPR samen werken, staat in de AI-verordening naast de GDPR.

Kmo-Kristof: Ik plak klachten van klanten in ChatGPT, en het schrijft een vriendelijk antwoord. Scheelt me een uur per dag.

Security-Sofie: Mooi. Met of zonder naam en adres van de klant?

Kmo-Kristof: Gewoon zoals de mail binnenkomt.

Security-Sofie: En op welk account?

Kmo-Kristof: Mijn gratis account. Het zakelijke kost geld.

Security-Sofie: Dan heb je een medewerker die je klachtendossier leest, zonder contract, met een baas die je niet kent. Het antwoord is vriendelijk. De rest minder.

Wat kun je nu doen?

1. Maak een lijst van de AI-tools die in je bedrijf gebruikt worden, ook de tools die medewerkers zelf zijn beginnen gebruiken.
2. Kies voor zakelijk gebruik een zakelijk abonnement met een verwerkersovereenkomst, en controleer de instellingen voor training en bewaring.
3. Spreek af wat er niet in mag: klantgegevens met naam, personeelsgegevens, gezondheidsgegevens. Schrijf het op één pagina, zoals in een eenvoudig AI-beleid.
4. Houd een mens bij beslissingen over mensen: sollicitaties, kredieten, sancties.
5. Vermeld in je privacyverklaring welke AI-diensten gegevens van klanten verwerken, zoals je dat voor elke andere leverancier doet.

AI op het werk is geen reden tot paniek, en ook geen vrijgeleide. Het is een nieuwe medewerker, de snelste die je ooit had. Je geeft hem pas je dossiers als je weet voor wie hij werkt.