Het gebruik van kunstmatige intelligentie op de werkvloer neemt toe. Medewerkers gebruiken ChatGPT om e-mails te schrijven, documenten samen te vatten en klantvragen te beantwoorden. Maar wat gebeurt er wanneer zij daarbij persoonsgegevens van klanten invoeren? Veel ondernemers hebben geen idee welke informatie hun medewerkers met AI-systemen delen. En dat kan vervelende gevolgen hebben.
Even snel een klantmail beantwoorden
Het is een herkenbare situatie. Een medewerker ontvangt een ingewikkelde e-mail van een klant. Om tijd te besparen kopieert hij de volledige tekst naar ChatGPT, met de vraag om een professioneel antwoord te formuleren. Binnen enkele seconden verschijnt er een keurige reactie. De medewerker is tevreden, de klant wordt snel geholpen en het bedrijf werkt efficiënter. Op het eerste gezicht niets aan de hand. Maar in de oorspronkelijke e-mail stonden ook de naam, het e-mailadres, een telefoonnummer en mogelijk persoonlijke informatie van de klant. Die gegevens zijn nu gedeeld met een externe AI-dienst. Zonder dat iemand vooraf heeft beoordeeld of dit verantwoord is.
En waarschijnlijk gebeurt morgen precies hetzelfde.
ChatGPT is toch veilig?
Veel ondernemers vertrouwen erop dat bekende AI-programma’s voldoende beveiligd zijn. Maar de vraag of ChatGPT veilig is, staat los van de vraag of medewerkers er zomaar persoonsgegevens in mogen invoeren. Er bestaan verschillende versies van ChatGPT, met uiteenlopende privacyinstellingen en voorwaarden. Bij persoonlijke accounts kunnen ingevoerde gegevens, afhankelijk van de instellingen, worden gebruikt om AI-modellen te verbeteren. Bij zakelijke abonnementen, zoals ChatGPT Business en Enterprise, gebeurt dit standaard niet. Dat neemt niet weg dat ook bij zakelijk AI-gebruik de Algemene verordening gegevensbescherming (AVG) van toepassing blijft. Organisaties moeten kunnen uitleggen waarom persoonsgegevens worden verwerkt, of dit noodzakelijk is en welke afspraken met de AI-leverancier zijn gemaakt. Het gebruik van een zakelijk account betekent dus niet automatisch dat iedere verwerking van klantgegevens is toegestaan.
Het grootste risico zit mogelijk gewoon achter het bureau
De afgelopen jaren hebben veel organisaties hun medewerkers gestimuleerd om slimmer en efficiënter te werken. AI speelt daarin een steeds grotere rol.Toch wordt daarbij regelmatig een belangrijke vraag overgeslagen: weten medewerkers eigenlijk welke informatie zij wel en niet met AI mogen delen? Het risico ontstaat vaak niet door kwade bedoelingen, maar juist door medewerkers die hun werk zo goed mogelijk proberen te doen. Een klantdossier samenvatten, een klacht laten beoordelen of een offerte laten opstellen met behulp van ChatGPT lijkt onschuldig. Maar zodra daarbij persoonsgegevens worden gedeeld, moet de organisatie kunnen verantwoorden dat dit op een rechtmatige en veilige manier gebeurt.
Een medewerker die een klantdossier in ChatGPT plakt, maakt misschien zijn werk gemakkelijker. Maar mogelijk ook het privacyprobleem van zijn werkgever groter.
En een ondernemer kan zich niet eenvoudig verschuilen achter de mededeling dat hij niet wist wat zijn medewerkers deden. De organisatie blijft verantwoordelijk voor de verwerking van persoonsgegevens binnen haar bedrijfsvoering.
AI verbieden is niet de oplossing
Het gebruik van AI volledig verbieden zou voor veel organisaties een gemiste kans zijn. AI kan juist helpen om de productiviteit te verhogen, de dienstverlening te verbeteren en administratieve werkzaamheden te verminderen. Maar verantwoord gebruik begint bij duidelijke afspraken. Welke AI-programma’s mogen medewerkers gebruiken? Welke gegevens mogen worden ingevoerd? Wanneer moeten persoonsgegevens worden verwijderd of geanonimiseerd? En wie houdt toezicht op het naleven van de afspraken? Volgens Privacy Zeker hoeven dergelijke afspraken niet ingewikkeld te zijn. Het belangrijkste is dat ondernemers bewust keuzes maken en hun medewerkers weten waar de grenzen liggen. Want niets regelen en erop vertrouwen dat iedereen verstandig handelt, is geen privacybeleid.
Ondernemers weten vaak niet wat er met hun gegevens gebeurt
De snelle ontwikkeling van AI heeft ervoor gezorgd dat medewerkers nieuwe toepassingen soms eerder gebruiken dan hun werkgever beleid heeft kunnen vaststellen. Dat maakt het voor ondernemers belangrijk om niet alleen naar de voordelen van AI te kijken, maar ook naar de manier waarop medewerkers ermee omgaan. Privacy Zeker adviseert ondernemers daarom om binnen hun organisatie bespreekbaar te maken welke AI-toepassingen worden gebruikt en welke gegevens daarin worden verwerkt. Daarbij gaat het niet om het beperken van innovatie, maar om het voorkomen van onnodige privacyrisico’s.
De vraag is niet óf medewerkers ChatGPT gebruiken
Medewerkers mogen onder bepaalde voorwaarden persoonsgegevens verwerken met behulp van AI. Maar niet zomaar, niet via ieder account en zeker niet zonder duidelijke afspraken. Voor ondernemers ligt daar een belangrijke verantwoordelijkheid. Want terwijl organisaties volop investeren in de mogelijkheden van kunstmatige intelligentie, blijft een fundamentele vraag vaak onbeantwoord.
De vraag is niet of jouw medewerkers ChatGPT gebruiken. De vraag is of jij weet wat ze erin zetten.
Privacy Zeker ondersteunt ondernemers en organisaties bij het naleven van de AVG en het verantwoord omgaan met persoonsgegevens en AI. Met praktische ondersteuning, persoonlijk advies en duidelijke oplossingen helpt Privacy Zeker ondernemers hun privacyzaken goed te regelen.
Privacy en AVG goed geregeld. Zonder gedoe.
Meer informatie: www.privacyzeker.nl
Bronnen: Autoriteit Persoonsgegevens – Generatieve AI en de AVG; OpenAI – Data Privacy en zakelijke AI-toepassingen.