Mag je bedrijfsgegevens in ChatGPT zetten? Wat de wet erover zegt

Mag je bedrijfsgegevens in ChatGPT zetten?

Ja, dat mag — mits je aan drie voorwaarden voldoet. Zitten er persoonsgegevens in, dan heb je een grondslag en een verwerkersovereenkomst nodig met de aanbieder. Zit er vertrouwelijke bedrijfsinformatie in, dan moet je kunnen aantonen dat je redelijke maatregelen neemt om die geheim te houden. En de versie die je gebruikt moet zakelijke voorwaarden hebben, niet consumentenvoorwaarden.

Er bestaat geen Nederlandse of Europese wet met de tekst 'gij zult geen bedrijfsgegevens in een chatbot plakken'. De regels die van toepassing zijn, zijn dezelfde regels die al golden voor elke andere externe dienst: de AVG voor persoonsgegevens, de Wet bescherming bedrijfsgeheimen voor vertrouwelijke informatie, en sinds kort de Europese AI-verordening voor het gebruik van AI-systemen zelf.

Dat maakt de vraag makkelijker dan hij lijkt. Je hoeft niet te beoordelen of AI 'veilig' is — je beoordeelt of dit specifieke stuk tekst naar deze specifieke leverancier mag, precies zoals je dat zou doen voor een boekhoudpakket of een cloudopslagdienst.

Wanneer wordt het een AVG-kwestie?

Zodra de tekst die je invoert herleidbaar is tot een persoon, is het een verwerking van persoonsgegevens en geldt de AVG onverkort. Een klantmail met een naam erin, een cv, een verzuimdossier, een verslag van een functioneringsgesprek: allemaal persoonsgegevens, ook als het maar één zin is.

Voer je persoonsgegevens in bij een externe AI-dienst, dan verwerkt die aanbieder die gegevens namens jou. Artikel 28 AVG staat dat alleen toe op basis van een overeenkomst waarin onder meer staat wat er verwerkt wordt, met welk doel, hoe lang, en dat de verwerker uitsluitend op jouw instructie handelt.¹ Zonder zo'n verwerkersovereenkomst is er geen route die wél mag — dan is elke invoer van persoonsgegevens in strijd met de AVG.

Daarnaast verplicht artikel 32 AVG je tot passende technische en organisatorische maatregelen, afgestemd op het risico.² De maatstaf is risicogebaseerd, niet voorgeschreven: bij een lijst met verjaardagen mag je andere maatregelen treffen dan bij een medisch dossier. Wat 'passend' is bij het invoeren van een compleet klantbestand in een publieke chatbot, laat zich raden.

En als er geen persoonsgegevens in zitten, maar wel bedrijfsgeheimen?

Dan speelt de Wet bescherming bedrijfsgeheimen. Informatie is daarin alleen een beschermd bedrijfsgeheim als aan drie voorwaarden is voldaan: ze is niet algemeen bekend, ze heeft handelswaarde juist omdát ze geheim is, en er zijn redelijke maatregelen genomen om haar geheim te houden.⁴ Die derde voorwaarde is degene die je zelf in de hand hebt — en die je met onbeheerst chatbotgebruik ondergraaft.

Dat is geen theoretisch risico. Denk aan een calculatiemodel, een receptuur, de marges per klant, de broncode van je eigen software of de voorwaarden van een aanbesteding. Raakt zulke informatie bij een concurrent terecht en wil je daar juridisch tegen optreden, dan zul je moeten aantonen dat je haar behandelde als geheim. Een bedrijf zonder enige afspraak over waar die informatie wel en niet ingevoerd mag worden, staat daar zwak.

• Leg vast wat vertrouwelijk is — een korte lijst per afdeling is genoeg; een classificatieschema van tien niveaus wordt niet gebruikt.
• Beperk de toegang tot wie het nodig heeft, en houd bij wie dat zijn.
• Maak afspraken schriftelijk in arbeidsovereenkomsten, geheimhoudingsbedingen en leveranciersvoorwaarden.
• Benoem AI-gebruik expliciet in die afspraken, zodat de norm niet afhangt van interpretatie.
• Bied een goedgekeurd alternatief, want zonder alternatief blijft de verleiding groter dan de regel.

Deze maatregelen kosten je een middag en versterken je positie bij elk incident, niet alleen bij AI. Ze zijn ook precies wat een auditor zoekt: wie werkt met een kwaliteitsnorm herkent het patroon uit ISO 9001 en kennis van de organisatie.

Wat legt de Europese AI-verordening je op?

De AI-verordening reguleert niet welke gegevens je invoert, maar wel hoe je met AI-systemen omgaat. De verplichting die vrijwel elke organisatie raakt, is artikel 4: aanbieders en gebruiksverantwoordelijken moeten zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel en bij anderen die namens hen met AI-systemen werken.⁵

Die verplichting geldt ongeacht bedrijfsgrootte en ongeacht of je AI zelf bouwt of alleen gebruikt. In de praktijk betekent het dat je medewerkers moeten begrijpen wat het hulpmiddel doet, waar de grenzen liggen en welke gegevens er wel en niet in mogen. Wat daar precies onder valt en hoe je het aantoonbaar maakt, staat in AI-geletterdheid: wat de wet van je vraagt.

Er is geen tegenstelling tussen de AVG en de AI-verordening: de eerste gaat over de gegevens, de tweede over het systeem en de mensen die het bedienen. Een organisatie die beide serieus neemt, komt uit op hetzelfde praktische antwoord — één goedgekeurd hulpmiddel, duidelijke grenzen aan wat erin mag, en mensen die weten waarom.

Waarom een verbod het probleem verplaatst in plaats van oplost

Omdat het gebruik al gaande is. Uit onderzoek onder Nederlandse medewerkers kwam naar voren dat 78 procent AI-hulpmiddelen gebruikt zonder toestemming van de IT-afdeling.⁶ Een verbod maakt dat gebruik niet kleiner — het maakt het alleen onzichtbaar, en daarmee onbestuurbaar.

Bij een verbod verdwijnt het gebruik naar privéaccounts en privételefoons. Precies daar heb je geen verwerkersovereenkomst, geen logging, geen zicht op wat er is ingevoerd, en geen mogelijkheid om na een incident te reconstrueren wat er is gelekt. Het risico dat je wilde wegnemen is dan groter geworden, niet kleiner.

De juridische kant is ondertussen ook nog niet ingeregeld. Uit KVK-onderzoek onder ruim zeshonderd ondernemers bleek dat maar weinig ondernemers concrete stappen zetten rond de Europese AI-wetgeving.⁷ Dat maakt het geen minder relevante verplichting — het betekent vooral dat je met een eenvoudige, goed uitgevoerde regeling al verder bent dan de meesten.

Hoe ziet een werkbaar AI-beleid eruit?

Een werkbaar AI-beleid past op één A4 en bestaat uit drie lijsten — mag altijd, mag na overleg, mag nooit — gekoppeld aan één hulpmiddel dat de organisatie heeft goedgekeurd. Alles wat langer is dan een A4 wordt niet gelezen, en alles zonder goedgekeurd alternatief wordt genegeerd.

1. 1

   Kies één hulpmiddel en regel de papieren

   Selecteer een zakelijke versie met verwerkersovereenkomst en heldere afspraken over bewaartermijnen en of jouw invoer voor modeltraining wordt gebruikt. Leg dat schriftelijk vast voordat je het uitrolt.

2. 2

   Maak de drie lijsten met de mensen zelf

   Vraag per afdeling welke gegevens ze in de praktijk zouden willen invoeren en sorteer dat in groen, oranje en rood. Een lijst uit de praktijk wordt gevolgd; een lijst uit een sjabloon niet.

3. 3

   Leg het uit in twintig minuten

   Eén korte sessie per team, met echte voorbeelden uit hun eigen werk. Leg vast wie erbij was — dat is meteen een deel van je bewijs voor de AI-geletterdheidsverplichting.⁵

4. 4

   Maak melden makkelijk

   Spreek af dat iemand die per ongeluk iets uit de rode lijst invoert dat direct meldt, zonder consequenties. Alleen zo haal je de 72 uur uit artikel 33 als het echt misgaat.³

5. 5

   Kijk er elk halfjaar naar

   Hulpmiddelen, voorwaarden en regelgeving veranderen. Een halfjaarlijkse controle van een half uur houdt het beleid actueel zonder dat het een project wordt.