AI en GDPR: wat mag je wel en niet met klantdata?

"Mogen we dat wel, met onze klantgegevens?" Bij bijna elk gesprek over AI komt die vraag, en terecht. Veel kmo's houden AI-projecten af uit onzekerheid over de GDPR. Andere zitten al volop met ChatGPT te werken, zonder goed te weten wat er met hun data gebeurt.

Het goede nieuws: AI en GDPR gaan prima samen, als je een paar basisregels volgt. In dit artikel zetten we ze op een rij.

Dit artikel geeft een praktisch overzicht, geen juridisch advies. Bij twijfel over je specifieke situatie raadpleeg je best je DPO of een jurist.

De kern: de GDPR verandert niet door AI

De GDPR geldt voor elke verwerking van persoonsgegevens, of dat nu in Excel, in je CRM of in een AI-model gebeurt. De vragen blijven dezelfde:

• Heb je een rechtsgrond? Bijvoorbeeld de uitvoering van een contract of een gerechtvaardigd belang.
• Gebruik je alleen de gegevens die je nodig hebt? Dat heet dataminimalisatie.
• Weet je waar de gegevens terechtkomen en wie er toegang toe heeft?
• Kan je aantonen dat je het goed doet?

AI maakt vooral die derde vraag lastiger, want een AI-dienst is bijna altijd een externe partij.

Het grootste risico: gratis consumententools

Het meest voorkomende probleem zien we niet bij grote AI-projecten, maar bij medewerkers die klantgegevens in een gratis chatbot plakken. Bij consumentenversies van AI-tools mag de aanbieder je invoer vaak gebruiken om zijn modellen te verbeteren, en heb je geen verwerkersovereenkomst.

Wat je daaraan doet:

• Gebruik zakelijke versies van AI-diensten, waarbij de aanbieder contractueel vastlegt dat je data niet gebruikt wordt voor training.
• Maak een korte AI-richtlijn voor je team: welke tools mogen, en welke gegevens er nooit in mogen.
• Bied een goed alternatief. Medewerkers grijpen naar gratis tools omdat ze een probleem willen oplossen. Een interne AI-assistent die wél veilig is, haalt die reflex weg.

Vijf vragen voor elke AI-leverancier

Voor je een AI-oplossing in gebruik neemt, of laat bouwen, stel je deze vragen:

1. Is er een verwerkersovereenkomst (DPA)? Die is verplicht wanneer een externe partij persoonsgegevens voor jou verwerkt.
2. Waar worden de gegevens opgeslagen en verwerkt? Bij voorkeur binnen de EU. Gebeurt het daarbuiten, dan moeten er geldige doorgiftemechanismen zijn.
3. Wordt je data gebruikt om modellen te trainen? Het antwoord moet "nee" zijn, en dat moet in het contract staan.
4. Hoe lang worden gegevens bewaard? En kan je ze laten verwijderen?
5. Wie heeft toegang? Ook binnen je eigen organisatie: een AI-assistent mag niet zomaar HR- of financiële gegevens tonen aan iedereen.

Privacy inbouwen vanaf het ontwerp

Bij een AI-oplossing op maat heb je meer controle dan bij een standaardtool. Een paar principes die we zelf hanteren:

• Rechten respecteren. Een AI-assistent toont alleen informatie die de gebruiker ook zonder AI mocht zien.
• Gegevens minimaliseren. Stuur alleen naar een AI-model wat nodig is voor de taak. Namen en rijksregisternummers kan je vaak weglaten of vervangen.
• Een audit trail. Leg vast wat een agent deed en op basis van welke gegevens, zodat je achteraf kan verantwoorden wat er gebeurde.
• Een mens in de lus. Voor beslissingen met impact op personen beslist een medewerker, niet de AI.

En de Europese AI Act?

Naast de GDPR is er sinds 2024 de Europese AI-verordening, die stap voor stap van kracht wordt. Voor de meeste kmo-toepassingen, zoals een interne assistent, facturatie of het sorteren van e-mails, gaat het om een beperkt risico. De belangrijkste verplichting is dan transparantie: mensen moeten weten wanneer ze met een AI-systeem praten of wanneer inhoud door AI is gemaakt.

Strengere regels gelden voor toepassingen met een hoog risico, zoals AI die beslist over aanwervingen of kredietwaardigheid. Valt je project daaronder, laat het dan vooraf juridisch toetsen.

Kortom

AI gebruiken met klantdata kan, als je weet waar die data naartoe gaat, er contractuele afspraken over hebt en alleen verwerkt wat nodig is. Het grootste risico zit vaak niet in een doordacht AI-project, maar in het ongecontroleerde gebruik van gratis tools.

Wil je weten hoe een AI-assistent veilig met je eigen documenten werkt? Lees hoe een AI-assistent met je eigen documenten werkt, of vertel ons waar je mee zit.