AI op je eigen bedrijfsdocumenten: wat er met je data gebeurt

Om ChatGPT te laten antwoorden op je eigen bedrijfsdocumenten, geef je het model toegang tot die documenten — door tekst te plakken in een gesprek, bestanden te koppelen aan een zakelijke assistent, of een systeem te gebruiken dat eerst in je documenten zoekt en het gevonden stuk tekst meegeeft. In alle drie de gevallen leert het model je documenten niet uit het hoofd; het krijgt ze telkens opnieuw als context. Wat wél verschilt: waar de documenten terechtkomen, of ze het model trainen, en of je kunt zien welk document een antwoord onderbouwt.

Hoe werkt 'AI op je eigen documenten' eigenlijk?

De meeste systemen die AI op bedrijfsdocumenten aanbieden werken met retrieval: het systeem doorzoekt eerst jouw teksten op relevantie en geeft alleen de meest relevante stukken aan het taalmodel mee bij je vraag. Het model formuleert het antwoord op basis van die meegegeven stukken, niet op basis van kennis die het toevallig al had.

Deze aanpak heet retrieval-augmented generation, RAG. Amazon Web Services omschrijft het zo: het voegt informatie uit een externe bron toe aan wat een taalmodel al kan, zonder dat het model opnieuw getraind hoeft te worden.¹ Concreet: je vraag gaat eerst naar een zoekstap die de relevante tekst ophaalt, en pas die combinatie van vraag én gevonden tekst gaat naar het taalmodel.¹

Dat is een andere volgorde dan mensen vaak vrezen. Het model 'leert' je documenten niet in de zin dat het ze blijvend onthoudt en later, in andermans gesprek, zomaar kan opdreunen. Bij een RAG-opzet wordt het onderliggende model niet bijgetraind op jouw tekst — je documenten worden per vraag opgezocht, niet permanent in het model gebakken.

Welke opties heb je als MKB-bedrijf, en wat is het verschil?

Je hebt ruwweg drie opties: tekst plakken in een gewoon chatvenster, een zakelijke AI-assistent die je eigen bestanden mag doorzoeken, of een systeem dat specifiek is gebouwd om vragen over jouw kennis te beantwoorden. De techniek erachter lijkt op elkaar; het verschil zit in wat er met je data gebeurt en hoe goed je kunt navragen waar een antwoord vandaan komt.

Tekst plakken in een gewoon chatvenster

De laagdrempeligste vorm: je kopieert een stuk document in ChatGPT, Copilot of een vergelijkbare tool en stelt er een vraag over. Prima voor een eenmalige vraag. Nadeel: je moet zelf steeds het juiste document meesturen, er is geen geheugen tussen gesprekken, en een gratis of consumentenversie hanteert vaak ruimere voorwaarden voor je invoer dan een zakelijk abonnement.

Een hosted assistent gekoppeld aan je bestanden

Tools als Microsoft Copilot of een zakelijk ChatGPT-abonnement kunnen doorzoekbaar worden gemaakt op een map met documenten. Je stelt vragen in gewone taal en krijgt antwoord op basis van wat daarin staat. Een goede middenweg voor een team dat al met die tools werkt — mits de zakelijke voorwaarden gelden, niet de consumentenvoorwaarden.

Een systeem dat specifiek voor dit doel is gebouwd

Een purpose-built systeem legt kennis niet vast als los document, maar als kleine, beheerde eenheden — elk met een eigenaar, een bron en een controledatum. Dat kost meer om op te zetten dan een chatvenster openen, maar levert iets op wat de andere twee opties niet hebben: je kunt per antwoord zien wie de bron is en wanneer die voor het laatst is nagekeken.

Wat gebeurt er met je data als je die aan een AI-tool geeft?

Dat hangt volledig af van de tool en het abonnement, niet van het idee 'AI op documenten' zelf. Bij consumentenversies van chatbots kan je invoer worden gebruikt om het model te verbeteren, tenzij je dat uitzet. Bij zakelijke abonnementen is dat meestal standaard uitgeschakeld en contractueel vastgelegd. Vraag het na — ga er niet vanuit.

Vijf vragen die je aan elke leverancier moet stellen voordat je bedrijfsdocumenten aan een AI-tool voert, ongeacht wat de verkoper je vertelt:

1. Waar wordt mijn data verwerkt? Binnen de EU, of ook daarbuiten — en zo ja, onder welke afspraak?
2. Wordt mijn invoer gebruikt om het model te trainen? En zo ja, kun je dat uitzetten, en geldt dat ook voor jouw abonnement?
3. Wie is de verwerker, en zijn er subverwerkers? Een AI-leverancier draait vaak zelf weer op de cloud van een ander bedrijf.
4. Is er een verwerkersovereenkomst, en dekt die dit specifieke gebruik?
5. Hoe lang wordt een gesprek of document bewaard, en kun je het laten verwijderen?

Kan een leverancier een van deze vragen niet beantwoorden, dan is dat op zichzelf het antwoord. Bij Buddai is dit expliciet ingericht: de verwerking staat vast binnen de EU, op AWS Frankfurt, en niet ergens anders — geen instelling die per klant verschilt.

Wanneer is een verwerkersovereenkomst verplicht?

Zodra een externe partij persoonsgegevens verwerkt namens jouw bedrijf, ben je verplicht om dat vast te leggen in een verwerkersovereenkomst. Bedrijfsdocumenten bevatten bijna altijd persoonsgegevens — namen van klanten, medewerkers of contactpersonen — dus dit geldt voor vrijwel elke AI-tool die je op die documenten loslaat.

De AVG regelt dit in artikel 28. Verwerking door een verwerker moet worden geregeld via een contract of andere rechtshandeling, waarin onder meer het onderwerp, de duur, de aard en het doel van de verwerking staan, net als het soort persoonsgegevens en de categorieën betrokkenen.² Een AI-leverancier die jouw documenten verwerkt, is in AVG-termen een verwerker — jij blijft de verwerkingsverantwoordelijke.

Dit staat los van de AI-geletterdheidsplicht uit de AI-verordening, die apart geldt zodra je personeel een AI-systeem laat gebruiken. Wat die plicht precies inhoudt en sinds wanneer die geldt, staat in een apart artikel — de twee verplichtingen overlappen in de praktijk, maar zijn juridisch gescheiden.

Waarom slechte AI-antwoorden bijna nooit aan het model liggen

Een AI-systeem dat antwoordt op basis van jouw documenten, is zo goed als die documenten. Voer je verouderde, tegenstrijdige of dubbele informatie in, dan krijg je een antwoord dat net zo zelfverzekerd klinkt als een goed antwoord — maar dat niet is. Dit is een bronnenprobleem, geen modelprobleem.

In de praktijk zit de fout zelden in het taalmodel zelf. Hij zit in een prijslijst die twee versies geleden is bijgewerkt, een procedure die is aangepast maar niet overschreven, of twee documenten die elkaar tegenspreken zonder dat iemand dat heeft opgemerkt. Retrieval vindt dan het verkeerde stuk tekst — en het model formuleert daar vervolgens een vlekkeloos ogend antwoord bij.

• Documenten zonder eigenaar: niemand voelt zich verantwoordelijk als de inhoud veroudert.
• Documenten zonder datum: je kunt niet zien of iets nog actueel is.
• Meerdere versies van hetzelfde stuk in omloop, zonder dat duidelijk is welke geldt.
• Losse aantekeningen en mondelinge afspraken die nooit zijn vastgelegd, en dus ook nooit worden gevonden.

Waarom een AI-antwoord zonder bron onbruikbaar is in je werk

In een werkcontext is een antwoord zonder zichtbare bron niet te vertrouwen, hoe overtuigend het ook klinkt. Je moet kunnen zien uit welk document of welke kaart het antwoord komt, en wanneer die voor het laatst is gecontroleerd. Zonder dat kun je een fout antwoord niet onderscheiden van een goed antwoord — en dat is precies het risico van hallucinatie.

Een taalmodel formuleert altijd een antwoord, ook als het onzeker is. Het verschil tussen een correct antwoord en een verzonnen antwoord zit zelden in de toon — beide klinken zelfverzekerd. De enige praktische mitigatie is niet 'een beter model', maar een antwoord dat je kunt natrekken: welk document, welke datum, wie is de eigenaar.

Dit is ook waarom de brondocumenten zelf op orde moeten zijn, niet alleen de AI-laag erbovenop. Hoe je van losse documenten naar een doorzoekbare, actuele kennisbron komt, staat uitgewerkt in een artikel over het opzetten van een interne kennisbank — en sluit aan op wat we eerder schreven over kennisborging.

Hoe begin je praktisch, zonder meteen een groot project op te tuigen?

Begin klein: kies een beperkt, actueel setje documenten, geef elk stuk een eigenaar en een datum, en test met een handvol echte vragen of het systeem het juiste antwoord én de juiste bron teruggeeft. Breid pas uit als dat klopt.

1. 1

   Stap 1 — kies een beperkte, actuele set

   Begin niet met de hele gedeelde schijf. Kies vijf tot tien documenten waarvan je zeker weet dat ze kloppen, en waar mensen daadwerkelijk vragen over stellen.

2. 2

   Stap 2 — geef elk stuk een eigenaar en een datum

   Zonder eigenaar veroudert het stil. Wijs per onderwerp één naam aan die verantwoordelijk is, en noteer wanneer het voor het laatst is gecontroleerd.

3. 3

   Stap 3 — stel de vragen die vandaag al gebeuren

   Test met vragen die collega's daadwerkelijk stellen, niet met theoretische voorbeelden. Controleer per antwoord: klopt dit, en zie je waar het vandaan komt?

4. 4

   Stap 4 — regel de AVG-kant voordat je opschaalt

   Vraag de leverancier de vijf vragen uit dit artikel, en zorg dat er een verwerkersovereenkomst ligt voordat er persoonsgegevens doorheen gaan.

5. 5

   Stap 5 — breid pas uit als de bron klopt

   Voeg pas meer documenten toe als de eerste set betrouwbare, navolgbare antwoorden geeft. Meer input over een rommelige basis levert meer foute antwoorden op, niet meer waarde.