Een datalek via een AI-tool meld je bij de Autoriteit Persoonsgegevens zodra er persoonsgegevens zijn gelekt en dat een risico vormt voor de betrokkenen. Dat gebeurt sneller dan je denkt: alles wat je in een AI-tool typt, komt op een server te staan, soms in een land zonder Nederlandse privacybescherming. Kun je die gegevens daarna niet meer beschermen, dan is er sprake van een datalek dat je moet beoordelen.
AI-tools zoals ChatGPT, Gemini of Copilot werken op basis van bestaande data: je typt een verzoek (een ‘prompt’) in en de tool levert tekst of beeld. Wat veel ondernemers zich niet realiseren, is dat de tool alles wat je invoert opslaat op een server. Die server staat mogelijk in een land waar de Nederlandse privacywetgeving niet geldt. Voer je persoonsgegevens of gevoelige bedrijfsinformatie in, dan is die informatie daar mogelijk niet beschermd.
Precies daar zit het risico. Op het moment dat een medewerker klantnamen, e-mailadressen, een klantdossier of gevoelige bedrijfsgegevens in een AI-tool plakt, verlaten die gegevens jouw controle. Je weet niet meer waar ze staan, wie erbij kan of hoe lang ze bewaard blijven. Dat is de kern van een datalek: persoonsgegevens die in verkeerde handen kunnen komen of die je niet langer kunt beschermen. Wil je scherper weten welke klantdata wél en niet in een chatbot mag, lees dan onze gids over AI, AVG en privacy.
De Autoriteit Persoonsgegevens (AP) is in Nederland de toezichthouder op privacy en op het gebruik van algoritmes en AI. In Nederland bepaalt de AVG hoe je met persoonsgegevens omgaat; zorg er dus voor dat de gegevens die medewerkers in AI-tools gebruiken aan die wetgeving voldoen. De hoofdregel voor melden is helder: gaat het om persoonsgegevens die zijn gelekt en levert dat een risico op voor de betrokkenen, dan hoort dat bij de AP gemeld te worden.
Loopt er alleen niet-persoonlijke, algemene tekst weg zonder herleidbare gegevens, dan is er meestal geen meldplicht — maar dat moet je per geval beoordelen en vastleggen. Het lastige met AI-tools is dat je een lek vaak niet ziet gebeuren: er gaat geen alarm af als iemand een klantbestand in een chatbot plakt. Daarom moet je eerst zélf zicht hebben op welke tools je mensen gebruiken en wat ze erin stoppen. Hoe je dat inzicht krijgt, lees je in onze gids over schaduw-AI op de werkvloer. Zonder dat zicht weet je simpelweg niet of er iets te melden valt.
Melden is het sluitstuk; voorkomen is het echte werk. De belangrijkste stap is een AI-beleid: afspraken waarmee je vastlegt hoe jij en je medewerkers AI veilig en slim inzetten. Steeds meer mkb-bedrijven gebruiken AI-tools, maar werknemers weten vaak niet welke programma’s ze mogen gebruiken en welke gegevens ze wel of juist niet mogen invoeren. Leg die afspraken daarom vast in een document of in je personeelshandboek.
Een AI-beleid is niet verplicht, maar het geeft duidelijke regels, voorkomt risico’s en biedt — als er tóch iets misgaat — een juridisch handvat. Bovendien voldoe je er meteen mee aan de juiste regelgeving: de EU-AI-verordening (AI Act, Verordening (EU) 2024/1689) bepaalt hoe bedrijven AI veilig en verantwoord gebruiken, en de AVG regelt de omgang met persoonsgegevens. Beschrijf in je beleid welke tools zijn toegestaan en welke gegevens nooit in een AI-tool mogen. Wil je AI juist wél veilig op je eigen bestanden inzetten, kies dan een aanpak waarbij je documenten alleen als bron dienen; onze gids eigen documenten doorzoeken met AI laat zien hoe dat veilig begint. Zo verklein je de kans dat je ooit een melding bij de AP moet doen.
Feiten en prijzen gecontroleerd op de vermelde bronnen. AI verandert snel; kom je iets tegen dat niet meer klopt? Laat het ons weten.
AI-transparantieplicht: wanneer moet je vertellen dat content door AI is gemaakt?
Wanneer ben je verplicht te melden dat tekst of beeld door AI is gemaakt? Praktische uitleg over de AI-verordening, AVG en risico's voor mkb'ers.
De ondernemingsraad en AI: wanneer heeft de OR instemmingsrecht?
Wanneer moet de ondernemingsraad instemmen met een AI-tool op het werk? Uitleg over personeelsvolgsystemen, AVG, de AI-verordening en een AI-beleid.
Wat kosten zakelijke AI-abonnementen en wanneer loont een upgrade?
Wat kost een zakelijk AI-abonnement en wanneer loont upgraden? Nuchtere uitleg over prijzen, databehandeling en de echte kosten: compliance en beleid.