Het gaat vaak vanzelf: een medewerker wil snel een nette reactie op een klachtenmail en plakt de hele mail — naam, adres, ordergegevens — in ChatGPT. Handig, snel, en niemand die er verder over nadenkt. Toch is dit een van de grootste blinde vlekken in het mkb op dit moment. Want wat gebeurt er eigenlijk met de bedrijfsdata die je team dagelijks in AI-tools stopt?
Waar je data heen gaat
Dat verschilt sterk per abonnement. Bij gratis en persoonlijke versies van veel AI-tools mag de aanbieder je gesprekken standaard gebruiken om modellen te trainen, en worden ze bewaard op servers buiten de EU. Zakelijke abonnementen liggen anders: daar wordt invoer doorgaans niet voor training gebruikt en zijn er afspraken over bewaartermijnen en beveiliging. Het verschil zit dus niet in de tool, maar in de versie — en de meeste medewerkers gebruiken privé-accounts waar de werkgever geen zicht op heeft.
De AVG kijkt mee
Zodra er persoonsgegevens in een prompt staan — een naam, e-mailadres of telefoonnummer is al genoeg — ben je aan het verwerken volgens de AVG. Dan gelden de normale regels: je hebt een grondslag nodig, een verwerkersovereenkomst met de aanbieder, en je klant mag verwachten dat zijn gegevens niet ongevraagd bij een Amerikaans techbedrijf belanden. Met een gratis account is aan die voorwaarden vrijwel nooit voldaan. Dat maakt AI-gebruik niet verboden, maar wel iets dat je bewust moet regelen in plaats van laten gebeuren.
Praktische huisregels voor je team
- Geen persoonsgegevens in prompts. Namen, adressen, mailadressen en klantnummers gaan er niet in — “de klant” en “het product” werken net zo goed voor een conceptantwoord.
- Anonimiseren als gewoonte. Haal identificerende details uit een tekst vóór je hem plakt, en zet ze er pas na het genereren weer in.
- Eén zakelijk account in plaats van tien privé-accounts. Dan weet je welke voorwaarden gelden, staat training standaard uit en houd je overzicht.
- Bedrijfsgeheimen blijven binnen. Prijsafspraken, offertes, broncode en strategiestukken deel je niet met een externe dienst zonder afspraken op papier.
- Leg het vast en bespreek het. Een A4’tje met huisregels voorkomt meer datalekken dan een verbod dat toch niemand naleeft.
Verbieden werkt niet, regelen wel
AI-tools volledig verbieden klinkt veilig, maar in de praktijk gebruikt je team ze dan stiekem verder — zonder regels en zonder zicht. Slimmer is het om het gebruik te faciliteren met een zakelijk abonnement en duidelijke afspraken. Dan haal je de voordelen binnen én houd je de risico’s beheersbaar.
Twijfel je of het AI-gebruik in jouw bedrijf AVG-proof is, of wil je AI juist goed geregeld inzetten op je website? We denken graag met je mee.
