Redactie en AI: AI kan hebben geholpen bij onderzoek, structurering of een eerste concept. Een mens bepaalde de strekking, controleerde bronnen en claims en keurde publicatie goed. Lees het redactiebeleid.
In het kort
- Veilig AI-gebruik draait om vijf afspraken: weet waar je data heen gaat, scheid de omgeving, minimaliseer toegang, houd een mens tussen AI en klant, en leg alles vast op papier.
- Gebruik voor echte bedrijfs- of persoonsgegevens geen persoonlijk of consumentaccount; controleer per zakelijk product de voorwaarden, traininginstelling, DPA, retentie en toegangsopties.
- Geef per taak alleen toegang tot de bronnen die die taak nodig heeft.
- Alles wat naar buiten gaat, gaat eerst langs een mens: dat is je vangnet.
- Verwerkersovereenkomst en subverwerkerslijst zijn het minimum, ook richting de AVG.
Regel 1: weet waar je data heen gaat
Elke AI-dienst verwerkt data ergens. De vraag is waar, onder welke voorwaarden en of je data wordt gebruikt om modellen te trainen. Zakelijke abonnementen sluiten training op jouw data doorgaans uit, gratis versies vaak niet. Check het, en leg het vast.
Regel 2: scheid de omgeving
Gebruik voor bedrijfswerk nooit het persoonlijke account van een medewerker. Een aparte omgeving met eigen accounts en eigen mappen zorgt dat je weet wat erin zit, en dat er niets meeverhuist als iemand vertrekt. Wij draaien klantomgevingen op eigen beheerde hardware, maar ook binnen clouddiensten kun je scheiden.
Regel 3: minimaliseer wat erin gaat
De AI medewerker die offertes voorbereidt, heeft je prijslijst nodig. Niet je personeelsdossiers. Geef per taak alleen toegang tot wat die taak nodig heeft. Klinkt logisch, gebeurt zelden.
Regel 4: houd een mens tussen AI en klant
Alles wat naar buiten gaat, gaat eerst langs een mens. Dit is niet alleen een kwaliteitsregel maar ook je vangnet: een fout die intern blijft is een leermoment, een fout bij de klant is schade.
Regel 5: zet het op papier
Verwerkersovereenkomst, subverwerkerslijst, afspraken over wat de AI wel en niet mag. Saai? Zeker. Maar als er ooit iets misgaat, is het verschil tussen "we hadden afspraken" en "we dachten dat het wel goed zat" precies het verschil dat telt, ook richting de AVG.
Hoe het misgaat: een fictief maar herkenbaar voorbeeld
Een fictief voorbeeld, samengesteld uit situaties die we in intakegesprekken vaker terug horen. Een handelsbedrijf met twintig man heeft geen AI-beleid. Een accountmanager wil sneller offertes maken en plakt daarvoor complete klantmails, inclusief namen, adressen en prijsafspraken, in het gratis AI-account dat hij privé al gebruikte. Dat werkt prima, dus collega's nemen het over, ieder in een eigen account.
Een halfjaar later vertrekt de accountmanager naar een concurrent. Zijn privéaccount, met daarin maanden aan klantgesprekken en prijsafspraken, gaat gewoon met hem mee. Niemand weet precies wat erin zit, want niemand heeft ooit meegekeken. En omdat het een gratis account was, is er geen verwerkersovereenkomst en geen enkele afspraak over wat de aanbieder met die data doet. Er is geen hack aan te pas gekomen en toch ligt er bedrijfsdata buiten de deur. Elke regel uit dit artikel had dit afgevangen: een gescheiden zakelijke omgeving (regel 2) had het lek voorkomen, minimalisatie (regel 3) had de schade beperkt, en papierwerk (regel 5) had in elk geval vastgelegd waar de data stond.
De vijf regels invoeren: een week werk
Dit hoeft geen project van maanden te zijn. Wie het strak aanpakt, heeft de basis in een week staan:
- Inventariseer eerst wat er nu al gebeurt: vraag je team welke AI-tools ze gebruiken, ook privéaccounts. Zonder gedoe en zonder verwijten, anders hoor je de helft niet
- Kies één zakelijke omgeving en zeg de rest op: een zakelijk abonnement met uitgesloten training, of een afgeschermde eigen omgeving
- Bepaal per taak welke bronnen erin mogen: prijslijsten en templates wel, personeelsdossiers en volledige klantendatabases niet
- Spreek de controleregel af en maak hem zichtbaar: niets gaat naar buiten zonder menselijke check, en iedereen weet wie die check doet
- Regel het papierwerk: verwerkersovereenkomst opvragen, subverwerkers nalopen en de afspraken in één document vastleggen dat iedereen kan vinden
De volgorde is bewust: eerst weten wat er speelt, dan pas regels maken. Een AI-beleid dat wordt opgelegd zonder te weten hoe mensen AI nu al gebruiken, wordt genegeerd. Een beleid dat het bestaande gebruik veiliger maakt, wordt omarmd, want niemand plakt die klantmails voor zijn plezier in een privéaccount.
Wat je een aanbieder moet vragen
Besteed je de inrichting uit, dan verschuift het werk naar de juiste vragen stellen. Deze vijf horen erbij:
- Waar draait mijn omgeving fysiek en wie kan erbij?
- Wordt mijn data gebruikt om modellen te trainen, en waar staat dat op papier?
- Welke subverwerkers zitten er in de keten en waar staan die?
- Hoe is de toegang per taak begrensd: kan de offerterol bij data die hij niet nodig heeft?
- Wat gebeurt er met mijn data als ik stop: hoe wordt er overgedragen en opgeruimd?
Let daarbij minder op de woorden en meer op het tempo waarmee het papier op tafel komt. Een aanbieder die de verwerkersovereenkomst en subverwerkerslijst binnen een dag kan sturen, heeft zijn zaken op orde. Een aanbieder die "daar komen we op terug" zegt, heeft ze niet.