Kort antwoord

Mag dit bedrijfsgegeven in een AI-tool?

Dat hangt af van het doel, de inhoud, de gebruikte productvorm en de afspraken met de leverancier. Een openbaar productblad kan in een eerste proef meestal eenvoudiger worden gebruikt dan klantdossiers of loonstroken. De naam van een AI-tool zegt weinig: een persoonlijk account, zakelijke werkruimte en eigen API hebben andere beheerders, functies en contracten. Controleer dus het precieze account en de gegevensstroom voordat iemand tekst plakt, een bestand uploadt of een connector inschakelt.

Als persoonsgegevens meedoen, gelden onder de AVG onder meer doelbinding, dataminimalisatie, bewaarbeperking en passende beveiliging. De Europese Commissie zet deze beginselen uiteen. Deze gids geeft geen oordeel over een specifieke grondslag of overeenkomst. Laat de privacyverantwoordelijke beoordelen welke verwerking voor jouw organisatie is toegestaan. Voor een algemene eerste proef kun je met openbare of volledig fictieve gegevens werken.

Gegevensklassen

Hoe maak je een eenvoudige invoerregel?

Maak drie werkklassen. Openbaar: al vrijgegeven informatie, zoals een publiek productblad. Intern: werkafspraken en cijfers die niet buiten de organisatie bedoeld zijn. Vertrouwelijk of persoonlijk: klantgegevens, personeelsdossiers, contracten, wachtwoorden en gevoelige bedrijfsinformatie. Zo'n indeling is een praktisch hulpmiddel, geen wettelijke categorie. Dezelfde tekst kan bij combinatie met een naam of projectcode alsnog herleidbaar worden.

Leg per klasse vast welke taak is toegestaan, welke toolvorm mag worden gebruikt en wie toestemming geeft. Verbied geheimen zoals API-sleutels en wachtwoorden in gewone prompts; gebruik hiervoor de daarvoor bedoelde beheermiddelen. Anonimiseren vraagt meer dan namen verwijderen. Een zeldzame functie, datum of combinatie van gebeurtenissen kan iemand herkenbaar maken. De EDPB benadrukt dat anonimiteit in de context van AI per geval moet worden beoordeeld.

Productvorm

Wat moet je bij de leverancier controleren?

Bekijk de geldende voorwaarden voor juist de werkruimte die je gebruikt. OpenAI onderscheidt ChatGPT Business van persoonlijke producten en de API. Anthropic beschrijft eigendom en beheer van Claude for Work onder organisatieafspraken. Google's Workspace Privacy Hub noemt expliciet welke kwalificerende edities onder de beschreven toezeggingen vallen. Neem geen belofte over de ene productvorm automatisch over voor een andere.

Controleer wie gegevens kan inzien, welke koppelingen toegang hebben, waar invoer en uitvoer worden opgeslagen, hoe lang ze blijven en hoe je ze verwijdert. Vraag ook wie een account uitzet wanneer een medewerker vertrekt. Een connector kan meer documenten bereikbaar maken dan een losse chat. Maak daarom een toegangstest met twee rollen voordat een hele map wordt gekoppeld.

Beslisblad

Hoe besluit je voor een concrete taak?

Schrijf een rij met vijf vragen: welk werkdoel dient de invoer, welke minimale velden zijn nodig, welke personen of geheimen zitten erin, welke exacte accountvorm verwerkt ze en wie controleert het antwoord? Vervang echte namen en cijfers waar mogelijk door fictieve waarden. Is de echte inhoud nodig, laat dan eerst gegevensbescherming, geheimhoudingsafspraken en leveranciersvoorwaarden beoordelen. Zet de beslissing met datum en eigenaar op papier.

Een document met toegestane inhoud kan nog steeds onjuiste instructies bevatten. Beoordeel daarom de bron en begrens de acties die een AI-systeem mag uitvoeren. Een medewerker mag een conceptantwoord pas naar buiten sturen nadat feiten en vertrouwelijkheid zijn gecontroleerd. Beslis ook wat er gebeurt als iemand per ongeluk gegevens in een verkeerde account heeft geplaatst: wie krijgt melding en wie beoordeelt de vervolgstappen?

Teamregel

Wat is een werkbare standaard voor morgen?

Zet één korte standaard op de plek waar medewerkers AI gebruiken: start met openbaar of fictief materiaal, gebruik voor goedgekeurde interne taken alleen de aangewezen zakelijke omgeving, voer geen geheimen in en laat een mens externe uitvoer controleren. Voeg een contactpersoon toe voor twijfelgevallen. Dit is duidelijker dan een algemeen verbod dat niemand uitlegt.

Loop periodiek de aangesloten bronnen en gedeelde gesprekken na. Nieuwe functies of licenties kunnen de gegevensstroom veranderen. Gebruik de inventaris van AI-gebruik om te zien welke tools er nu zijn, en de teamafspraken om de invoerregel vast te leggen.

Verantwoording

Bronnen en controle

Auteur
Jesse Dekkers, Redactioneel verantwoordelijke, Palisade. Verantwoordelijk voor de inhoud en actualisering van deze Palisade Kennisgids.
Inhoudelijke controle
Jesse Dekkers op 25 oktober 2026
Werkwijze
Primaire EU- en leveranciersbronnen gecontroleerd op 25 oktober 2026. Dit is een besliskader, geen beoordeling van een specifieke verwerking, overeenkomst of rechtsgrond.