Je klantgegevens horen niet in een losse chatbot.

Een medewerker wil snel een klantmail beantwoorden en plakt hem in een gratis chatbot. Handig. Volgens de Autoriteit Persoonsgegevens kan het ook een datalek zijn.

Wat de toezichthouder zag

In augustus 2024 waarschuwde de Autoriteit Persoonsgegevens (AP). Ze had meldingen gekregen van datalekken doordat medewerkers persoonsgegevens in een AI-chatbot zetten.

Bij een huisartsenpraktijk had een medewerker medische gegevens van patiënten ingevoerd, tegen de afspraken in. Bij een telecombedrijf ging een bestand met onder meer adressen van klanten de chatbot in.

De AP schrijft dat de meeste bedrijven achter chatbots alle ingevoerde gegevens opslaan. Die gegevens komen dan op hun servers terecht, vaak zonder dat de medewerker dat beseft.

Het echte probleem: iedereen zijn eigen chatbot

Volgens de AP gebruiken medewerkers chatbots vaak op eigen initiatief. Dat zie je terug in de cijfers. Bij de KVK zei 3 op de 10 ondernemers tools als ChatGPT of Copilot te gebruiken. Tegelijk kent de helft de Europese AI-wet niet, en is maar 7% er goed van op de hoogte.

Ondernemers voelen dat het schuurt. In onderzoek van Ipsos I&O voor Centraal Beheer maakte 91% zich in meer of mindere mate zorgen over privacy. Het CBS meldt dat 49% van de bedrijven privacy noemt als reden om geen AI te gebruiken.

Wat een eigen AI anders doet

Het antwoord is niet: nooit meer AI. Het antwoord is één AI voor je hele bedrijf, waarover de afspraken vooraf vastliggen. Geen tien losse accounts, maar één assistent die je bedrijf al kent.

Dat werkt ook nog beter. Een losse chatbot weet niets van je klanten, dus plak je er steeds gegevens in. Juist dat plakken is het risico. Een eigen AI zit in je eigen systeem en kent je klanten al. Je hoeft niets meer te kopiëren.

Vijf vragen voor elke aanbieder

Ook voor ons. Stel ze voordat je met een AI-systeem in zee gaat.

1. Waar staan mijn gegevens? In welk land, en bij welk bedrijf.
2. Wordt wat ik invoer gebruikt om de AI te trainen? Het antwoord moet helder zijn, en op papier staan.
3. Wie kan erbij? Welke mensen, bij jou en bij de aanbieder.
4. Wat mag de AI zien, en wat niet? Kun je onderdelen afschermen?
5. Krijg ik alles mee als ik wil? Je wilt nergens aan vastzitten.

De AP raadt organisaties aan om duidelijke afspraken te maken met medewerkers. En om met de aanbieder af te spreken dat ingevoerde gegevens niet worden opgeslagen.

Wat je vandaag al kunt doen

• Spreek af wat nooit in een losse chatbot mag: namen, adressen, gezondheid, bestanden met klanten.
• Kies één AI voor je bedrijf, in plaats van dat ieder zijn eigen tool kiest.
• Is het toch misgegaan? Kijk of je het moet melden. Volgens de AP is dat in veel gevallen verplicht.

Dit artikel is geen juridisch advies. Twijfel je over je eigen situatie, kijk dan op de site van de Autoriteit Persoonsgegevens.