Bij de meeste organisaties gebruikt iemand al een AI-chatbot voor werk dat met een klant te maken heeft, ook als niemand het zo zou benoemen. Of daar beleid voor bestaat doet er daarbij weinig toe; het gaat om wat er daadwerkelijk gebeurt.
Vier situaties uit de dagelijkse praktijk
Een medewerker laat een offerte die net iets te informeel is geformuleerd door een AI-tool herschrijven, inclusief de naam en de specifieke wensen van de klant.
Iemand laat een chatbot een lang e-mailgesprek met een klant samenvatten voordat het intern naar een collega gaat.
Een conceptcontract gaat door een AI-tool voor controle op onduidelijke formuleringen, terwijl de naam van de wederpartij en de specifieke voorwaarden er nog in staan.
Een lastige klacht wordt in een chatbot geplakt voor advies over de reactie, inclusief alle details.
Geen van deze situaties voelt op het moment zelf risicovol; voor de medewerker is het een manier om sneller klaar te zijn. Toch is in elk van deze vier gevallen klantdata naar een server van een externe partij gegaan zonder dat daar bewust over is besloten.
De AVG geldt ook voor een snelle prompt
Klantgegevens die naar een AI-clouddienst gaan, vallen onder dezelfde AVG-regels als elke andere verwerking van persoonsgegevens. Gaat het om medische, juridische of anderszins gevoelige informatie, dan kan er ook een geheimhoudingsplicht in het spel zijn die losstaat van de AVG. De verantwoordelijkheid ligt in beide gevallen bij de organisatie, niet bij de medewerker die even snel iets wilde regelen of bij de AI-leverancier waarvan vrijwel niemand de voorwaarden woordelijk kent.
Een gewoon persoonlijk abonnement is daar niet op ingericht. Zonder verwerkersovereenkomst zijn er geen afspraken over waar de gegevens belanden, wie er nog meer bij kan en welke subverwerkers de leverancier achter de schermen inschakelt.
Drie vragen als zelfcheck
Vraag 1: is zeker dat niemand in het team de afgelopen maand een klantnaam, contactgegevens of dossierdetails heeft geplakt in een publieke chatbot?
Vraag 2: als dat niet zeker is, bestaat er dan een manier om het te controleren, of blijft het bij aannemen?
Vraag 3: heeft de organisatie een AI-tool die net zo snel werkt als ChatGPT, zodat er geen prikkel is om naar een onveilig alternatief te grijpen?
Is het antwoord op vraag drie nee, dan voelen vraag één en twee waarschijnlijk ook ongemakkelijk. Dat is geen reden voor paniek, wel om er nu naar te kijken. De organisatie constateert dit beter zelf dan via een toezichthouder of een ontevreden klant.
Verbieden werkt niet en is ook niet nodig
Een team verbieden om AI te gebruiken werkt niet. Een AI-tool die dezelfde snelheid geeft en klantdata binnen het pand houdt, neemt de prikkel weg om naar een publieke chatbot te grijpen. KennisKluis is daarvoor gebouwd: een mini-computer met AI-chip en softwaresuite die volledig lokaal draait, zonder cloud en zonder data-uitstroom. De inschatting "mag dit eigenlijk wel" hoeft dan niemand meer te maken.
Wil je weten wat lokale, privacyvriendelijke AI voor de organisatie kan betekenen? Plan een gesprek van 30 minuten.