AI-tools zijn voor veel ondernemers inmiddels niet meer weg te denken in hun dagelijkse werkzaamheden. Ook ik laat weleens een lastige mail herschrijven of een stuk tekst samenvatten. Dat scheelt tijd en daar is niets mis mee. Het gaat echter mis bij wat je in zo’n AI-tool plakt. In deze blog lees je welke gegevens je beter buiten ChatGPT of vergelijkbare AI-tools houdt, en wat je moet regelen als je een AI-tool zakelijk gebruikt.
Waarom is het een probleem om klantgegevens in te voeren?
Zodra je gegevens van een klant in een AI-tool plakt, verwerk je persoonsgegevens en de AVG stelt daar eisen aan. Twee daarvan zijn hier het belangrijkst. Je hebt een grondslag nodig voor wat je met die gegevens doet en je moet afspraken over de verwerking vastleggen in een verwerkersovereenkomst met de partij achter de tool. Gebruik je ChatGPT, dan heb je een verwerkersovereenkomst nodig met OpenAI. Bij een gratis of persoonlijk account van een AI-tool heb je die overeenkomst meestal niet. Daar komt nog bij dat sommige AI-tools je invoer standaard gebruiken om het model te trainen en verbeteren. Je weet dan niet waar die informatie belandt.
Wat zet je liever niet in ChatGPT of een vergelijkbare AI-tool?
Houd in elk geval buiten jouw AI-tool:
- Namen, adressen, telefoonnummers en e-mailadressen van klanten
- BSN, kopieën van identiteitsbewijzen en bankgegevens
- Gezondheidsgegevens en andere gevoelige informatie
- Complete klantdossiers, contracten of offertes van opdrachtgevers
- Bedrijfsgevoelige informatie van een opdrachtgever, zoals prijsafspraken of plannen
- Inloggegevens en wachtwoorden
- Foto’s waarop personen herkenbaar in beeld zijn
Mag het dan nooit?
Jawel, maar dan met een paar aanpassingen. Zo kun je het beste anonimiseren wat je invoert. Vervang namen door ‘de klant’ en haal herleidbare details eruit. In de meeste gevallen heeft de tool die informatie helemaal niet nodig om je te helpen. Ook kun je een zakelijk abonnement gebruiken waarbij de aanbieder een verwerkersovereenkomst aanbiedt en je invoer niet wordt gebruikt voor training. Controleer deze instelling ook zelf, want deze staat niet altijd standaard goed ingesteld.
Wat als je een geheimhoudingsverklaring hebt getekend?
Een geheimhoudingsbeding verbiedt je vaak om informatie met derden te delen en een aanbieder van een AI-tool is een derde. Informatie uit een opdracht in een AI-tool zetten kan jou, los van de AVG, dus een schending van je contract opleveren. Twijfel je? Vraag jouw opdrachtgever om toestemming of houd bepaalde informatie simpelweg buiten de AI-tool.
Kort samengevat
AI gebruiken mag, maar niet met andermans gegevens in een tool waarmee je niets hebt afgesproken. Anonimiseer wat je invoert, regel een zakelijk account en controleer jouw instellingen, zodat jouw invoer niet wordt gebruikt om het systeem te trainen.
Wil je weten of jouw werkwijze hierop aansluit? Ik kijk graag met je mee. Neem gerust contact op via chantal@haverkampjuridisch.nl.
Auteur: mr. Chantal Haverkamp
Reactie plaatsen
Reacties