De vraag is niet welke AI-tool u gebruikt, maar welke data u erin stopt. Een medewerker die een persoonlijk account gebruikt voor klantgegevens, maakt een datalek-in-wording, ook als de tool zelf veilig is.
Dit artikel geeft een model in vier niveaus met een stoplichtkleur per niveau, plus de wettelijke punten die erbij horen. Het is onderdeel van het element datakwaliteit en privacy in het AIP Duurzame AI Kompas. Wilt u daarna een concrete tool toetsen, gebruik dan de checklist voor het beoordelen van een AI-toepassing.
Vier niveaus van data
| Niveau | Voorbeelden | Publieke AI-tool (privéaccount) | Goedgekeurde zakelijke omgeving |
|---|---|---|---|
| 1. Openbaar (groen) | Website-teksten, persberichten, openbare rapporten | Toegestaan | Toegestaan |
| 2. Intern (geel) | Interne procedures, concepten, vergaderagenda's zonder namen | Niet toegestaan | Toegestaan |
| 3. Vertrouwelijk (oranje) | Klantgegevens, personeelsgegevens, contracten, offertes, financiële gegevens | Niet toegestaan | Alleen met verwerkersovereenkomst en vastgelegd gebruiksdoel |
| 4. Strikt vertrouwelijk (rood) | Bijzondere persoonsgegevens, BSN, medische gegevens, bedrijfsgeheimen, wachtwoorden | Niet toegestaan | Standaard niet. Alleen na toets door FG of jurist, bij voorkeur lokaal of afgeschermd |
Dit is een uitgangspunt dat u op uw eigen organisatie en contracten afstemt. Het exacte toegestane gebruik legt u vast in uw AI-beleid.
De wettelijke punten die ertoe doen
- Persoonsgegevens zijn alle gegevens over een geïdentificeerde of identificeerbare persoon. Een naam hoeft er niet bij te staan; combinaties van functie, afdeling en situatie kunnen volstaan.
- Bijzondere persoonsgegevens (artikel 9 AVG) vallen in niveau 4. Verwerking is in principe verboden.
- BSN mag in Nederland alleen worden verwerkt als een wet dat voorschrijft of toestaat.
- Verwerkersovereenkomst (artikel 28 AVG): nodig zodra een leverancier namens u persoonsgegevens verwerkt.
- Doorgifte buiten de EER: heeft aanvullende voorwaarden (hoofdstuk V AVG). Controleer waar de leverancier data verwerkt.
- Hergebruik voor modeltraining: verschilt per product en per abonnement. Lees de voorwaarden en de instellingen van het account dat uw medewerkers gebruiken. Ga niet uit van de standaardinstelling.
Anonimiseren is moeilijker dan het lijkt
Namen weglaten of vervangen door "klant A" is pseudonimiseren. De gegevens blijven persoonsgegevens zolang iemand via context te herleiden is, bijvoorbeeld door een zeldzame functie, een kleine plaats of een uniek incident. Controleer daarom bij elke geanonimiseerde tekst of een collega kan raden over wie het gaat. Kan hij dat, behandel de tekst dan als niveau 3.
Invoeren in vijf stappen
- Inventariseer welke data per afdeling in AI-tools terechtkomtEen korte rondvraag levert vaak meer op dan een technische scan.
- Ken elk datatype een niveau toeBegin met de tien soorten gegevens die uw organisatie het vaakst gebruikt.
- Koppel niveaus aan toolsBepaal welke tool of omgeving bij welk niveau hoort en zorg dat er per niveau een goedgekeurd alternatief is.
- Train op voorbeelden uit het eigen werkLaat medewerkers eigen documenten indelen. Regels alleen op papier veranderen weinig.
- Controleer en herziePlan een vaste herziening, bijvoorbeeld halfjaarlijks, en leg afwijkingen vast.
Valkuil: een verbod zonder alternatief
Wie een tool verbiedt zonder werkbaar alternatief, verplaatst het gebruik naar privételefoons en privéaccounts. Zorg dat elk niveau een goedgekeurde route heeft, zodat medewerkers niet hoeven te omzeilen.
Wat wij in de praktijk zien
Inzicht 1: niveau 3 is het grijze gebied
Over openbare informatie en over BSN's zijn mensen het snel eens. De meeste twijfel zit bij klantcorrespondentie, offertes en HR-stukken. Besteed uw training daar de meeste tijd aan.
Inzicht 2: samenvatten voelt onschuldig
Medewerkers plakken een volledig dossier in een tool "om het even samen te vatten". Dat is in de AVG-zin een verwerking, ook als de uitkomst geen persoonsgegevens bevat.
Inzicht 3: de instelling bepaalt, niet de tool
Dezelfde tool heeft per account andere regels voor hergebruik en bewaartermijn. Een beleid dat alleen toolnamen noemt, mist daardoor de kern.
Veelgestelde vragen over data in AI-tools
Mag ik klantgegevens in ChatGPT plakken?
Niet in een privé- of niet-goedgekeurd account. Klantgegevens zijn vrijwel altijd persoonsgegevens. Gebruik ze alleen in een door uw organisatie goedgekeurde omgeving waarvoor een verwerkersovereenkomst is gesloten en waarvan u de instellingen voor hergebruik van data hebt gecontroleerd.
Is het vervangen van namen genoeg om data veilig te gebruiken?
Vaak niet. Als iemand via de overige gegevens nog te herleiden is, blijven het persoonsgegevens (pseudonimisering). Pas als herleiding redelijkerwijs niet meer mogelijk is, valt informatie buiten de AVG.
Mag ik een BSN in een AI-tool invoeren?
Een BSN mag in Nederland alleen worden verwerkt als een wet dat voorschrijft of toestaat. Voor gewone AI-toepassingen betekent dat: niet invoeren.
Welke data is bijzonder gevoelig?
Bijzondere persoonsgegevens volgens artikel 9 AVG: gegevens over gezondheid, ras of etnische afkomst, politieke opvattingen, religie of levensovertuiging, vakbondslidmaatschap, genetische en biometrische gegevens voor identificatie, en gegevens over seksueel gedrag of seksuele gerichtheid. Verwerking is in principe verboden, tenzij er een uitzondering geldt.
Is dit stoplichtmodel een wettelijke norm?
Nee. Het is een praktisch model van AI Personeelstraining. De wettelijke kaders blijven de AVG en de afspraken in uw eigen beleid en contracten. Laat grensgevallen beoordelen door uw functionaris gegevensbescherming of een jurist.
Tot slot
Begin met vier niveaus en een goedgekeurde route per niveau. Zie ook of ChatGPT veilig is voor bedrijven en hoe u met lokale AI gevoelige data afschermt.
Dit artikel is algemene informatie en geen juridisch advies. Laat uw eigen situatie toetsen door uw functionaris gegevensbescherming of een jurist.
Over de auteur
Barry van der Laan MBA is oprichter van AI Personeelstraining en werkt al meer dan 25 jaar in de financiële sector. Hij heeft een master's-niveau opleiding in Financial Services (NIBE-SVV) en helpt organisaties om generatieve AI praktisch, verantwoord en binnen duidelijke governance in te voeren.
Zijn trainingen en adviestrajecten richten zich op AI-geletterdheid, AI-beleid en de praktische invoering van AI-toepassingen in bestaande werkprocessen. Lees meer over onze trainers.