AI en de AVG: wat mag je wel en niet invoeren in ChatGPT & co?
Mag je een klantmail in ChatGPT plakken? Een cv laten samenvatten? Notulen met namen laten uitwerken? AI en de AVG botsen sneller dan veel medewerkers denken. Dit zijn de regels, in gewone taal.
Waarom de AVG ook over AI-tools gaat
De AVG (Algemene Verordening Gegevensbescherming) geldt zodra je persoonsgegevens verwerkt, en iets in een AI-tool invoeren ís verwerken. Typ je een naam, e-mailadres, personeelsdossier of klantgesprek in een chatbot, dan verstuur je die gegevens naar de servers van de aanbieder. Bij gratis en privéaccounts kunnen ingevoerde gegevens bovendien gebruikt worden om modellen te trainen. Twee wetten raken elkaar hier: de AVG (persoonsgegevens) en de AI-verordening (verantwoord AI-gebruik en AI-geletterdheid).
Wat mag níet in een publieke AI-tool?
- Persoonsgegevens: namen, adressen, e-mailadressen, telefoonnummers, BSN’s
- Bijzondere gegevens: alles over gezondheid, geloof, afkomst of strafrechtelijk verleden
- Personeelsinformatie: cv’s, verslagen, beoordelingen, salarisgegevens
- Vertrouwelijke bedrijfsinformatie: contracten, financiële cijfers, klantdata, bedrijfsgeheimen
Wat mag wél?
Heel veel! AI is prima te gebruiken zonder de AVG te raken, bijvoorbeeld zo:
- Anonimiseer eerst: vervang namen door [klant] of [medewerker] en verwijder herleidbare details voordat je iets invoert
- Gebruik AI voor structuur, niet voor data: laat een opzet, sjabloon of formulering maken en vul zelf de gegevens in
- Werk met zakelijke accounts waarbij afspraken over datagebruik zijn vastgelegd en trainen op jouw data uitstaat
- Controleer de uitvoer, ook op persoonsgegevens die AI zelf ‘verzint’
De vuistregel voor elke medewerker
Zou je het op een ansichtkaart naar een onbekende sturen? Nee? Dan hoort het ook niet in een publieke AI-tool.
Deze vuistregel, plus de kennis van wat AI met je invoer doet, is precies wat medewerkers leren in onze training AI-geletterdheid. In 2 uur kent je team de regels én de praktijk, inclusief certificaat als bewijs voor je beleid.
Veelgestelde vragen over AI en privacy
Is een naam invoeren in ChatGPT al een datalek?
Het is in elk geval een verwerking van persoonsgegevens waarvoor je een grondslag nodig hebt. Gebeurt het zonder afspraken met de aanbieder en buiten je beleid om, dan kan het als datalek kwalificeren dat je moet beoordelen en mogelijk moet melden.
Zijn zakelijke AI-accounts wel AVG-proof?
Zakelijke varianten bieden doorgaans betere afspraken: geen training op jouw data en een verwerkersovereenkomst. Dat maakt het gebruik beheersbaar, maar je blijft zelf verantwoordelijk voor wát je invoert.
Wie is verantwoordelijk als het misgaat?
De organisatie, als verwerkingsverantwoordelijke. Daarom is het belangrijk om regels vast te leggen én medewerkers te trainen: kennis voorkomt de meeste incidenten.
