Begin veilig met AI over eigen documenten door eerst vast te leggen welke data wel en niet in een AI-tool mag, en kies een tool die je documenten alleen als bron gebruikt in plaats van ze te gebruiken om het onderliggende model te trainen. Leg dit vast in een AI-beleid, want dat is niet verplicht maar geeft wel duidelijke regels en een juridisch handvat als het toch misgaat.
Bij het doorzoeken van eigen documenten met AI, ook wel RAG genoemd (retrieval augmented generation), laat je een AI-tool antwoorden zoeken en formuleren op basis van jouw eigen bestanden in plaats van alleen op basis van wat het model al 'weet'. Dat is aantrekkelijk voor mkb'ers: sneller een contract terugvinden, een samenvatting van een offertemap, of een antwoord uit een handboek. Een tool die daarvoor bewust bron-gebonden werkt is bijvoorbeeld NotebookLM, die antwoorden baseert op de documenten die je zelf aanlevert.
Het risico zit in wat je precies uploadt. Zodra medewerkers zelf documenten in een AI-tool zetten zonder afspraken, weet niemand meer welke gegevens waar staan en of dat volgens de regels mag. De Autoriteit Persoonsgegevens werkt daarom aan AVG-richtlijnen specifiek voor generatieve AI, en vanaf 2 augustus gelden bovendien nieuwe transparantie-eisen uit de AI-verordening. Dat maakt duidelijke afspraken vooraf geen overbodige luxe.
Documenten met persoonsgegevens vallen onder de AVG: denk aan personeelsdossiers, klantcontracten met naw-gegevens, of sollicitatiebrieven. Voordat je zulke documenten in een AI-tool zet, moet je weten hoe die tool met de data omgaat en of dat gebruik voldoet aan de wetgeving. Twijfel je of klantdata in een tool als ChatGPT mag, lees dan eerst de gids over AI, AVG en privacy.
Een praktische vuistregel: begin met documenten zonder persoonsgegevens of concurrentiegevoelige informatie, zoals openbare handleidingen, algemene procedures of gepubliceerde rapporten. Bouw pas gevoeligere data toe als je weet hoe de tool data verwerkt en opslaat. Check bij elke tool expliciet of documenten gebruikt worden om het model verder te trainen op andere gebruikers, of dat ze alleen als eigen, afgeschermde bron dienen.
Een AI-beleid is niet verplicht, maar wel de manier om chaos te voorkomen. Zonder afspraken weten medewerkers vaak niet welke AI-software ze mogen gebruiken en welke gegevens ze wel of juist niet mogen invoeren. Leg dit vast in een los document of als onderdeel van het personeelshandboek, en beantwoord daarin minimaal: voor wie geldt het beleid (ook externen en zzp'ers?), welke tools zijn toegestaan, en welke documenten mogen wel of niet geüpload worden.
Zo'n beleid zorgt er ook voor dat je meteen aan de juiste regelgeving voldoet: de AI-verordening (AI Act) bepaalt hoe bedrijven AI veilig en verantwoord moeten gebruiken, en de AVG bepaalt hoe je met persoonsgegevens omgaat. Gaat er toch iets mis door verkeerd of onveilig gebruik, dan biedt een vastgelegd beleid ook een juridisch handvat. Nog geen beleid? Begin met de basis in de gids AI voor zzp en mkb.
Een AI-tool die over je documenten antwoordt, kan toch fouten maken of dingen combineren die niet kloppen. Het NCSC wijst erop dat AI-systemen met een zekere mate van zelfstandigheid antwoorden aandragen op basis van input, wat niet hetzelfde is als een gegarandeerd correct antwoord. Vertrouw dus nooit blind op een AI-samenvatting van een contract of beleidsdocument: controleer belangrijke conclusies altijd tegen het brondocument zelf. Hoe je dat systematisch doet, lees je in de gids hallucinaties van AI herkennen.
Houd er ook rekening mee dat AI-regelgeving nog in beweging is: de Europese Commissie werkt naast de AI-verordening aan aanvullende maatregelen zoals het AI-continentactieplan, en de Autoriteit Persoonsgegevens publiceert regelmatig nieuwe richtlijnen. Wat vandaag als veilig geldt, kan met nieuwe richtlijnen strenger worden beoordeeld. Neem daarom bij twijfel over een specifieke situatie liever een stap terug dan achteraf een datalek te moeten melden.
Feiten en prijzen gecontroleerd op de vermelde bronnen. AI verandert snel; kom je iets tegen dat niet meer klopt? Laat het ons weten.