Je personeel gebruikt ChatGPT, is dat een datalek?

Ergens in je bedrijf zit nu iemand een klantmail in ChatGPT te plakken om er een net antwoord van te maken. Of een offerte. Of een lijst met namen en telefoonnummers die ‘even gesorteerd’ moet worden. Handig, snel, en precies het soort handeling waar de Autoriteit Persoonsgegevens voor waarschuwt. Want zodra er persoonsgegevens in zo'n AI-chatbot belanden, kan dat een datalek zijn. Eentje die jij binnen 72 uur moet melden. Je personeel gebruikt ChatGPT al lang, de vraag is of jij weet wat ze erin stoppen.

Shadow AI: je mensen gebruiken AI, jij weet niet waarvoor

Er is een naam voor: shadow AI. Medewerkers gebruiken AI-tools, ChatGPT, Copilot, Gemini, gratis vertaalsites, zonder dat er afspraken over zijn. Niet uit kwaadwil. Ze willen gewoon sneller werken. Maar omdat niemand het overziet, weet je niet welke bedrijfsinformatie er het pand verlaat.

Dat gat tussen gebruiken en weten-wat-je-doet is het probleem. Driekwart van je mensen werkt met AI. Eén op de zeven heeft geleerd hoe het veilig moet. De rest gokt, en plakt in het ergste geval gevoelige klantgegevens in een tool waarvan ze niet weten waar de data heen gaat.

Waarom ‘gewoon ChatGPT’ een datalek kan zijn

De Autoriteit Persoonsgegevens, de Nederlandse privacywaakhond, heeft hier een duidelijke waarschuwing over afgegeven. Ze kregen meerdere meldingen van datalekken door het gebruik van AI-chatbots. Het bekendste voorbeeld: een medewerker van een huisartsenpraktijk voerde medische gegevens van patiënten in bij een chatbot. Het bedrijf achter de chatbot kan die ingevoerde gegevens namelijk opslaan en hergebruiken, en dan ben je de controle kwijt.

Je hoeft geen huisarts te zijn om hetzelfde risico te lopen. Een naam, een telefoonnummer, een klantadres, een personeelsdossier, een mail met een klacht erin, het zijn allemaal persoonsgegevens. Zodra die in een AI-chatbot belanden zonder dat je weet wat ermee gebeurt, is dat volgens de AVG mogelijk een datalek. En een datalek met persoonsgegevens moet je binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Doe je dat niet, dan kan dát op zichzelf al een boete opleveren.

Wat je mensen nu waarschijnlijk al invoeren

Vraag het je team niet rechtstreeks, bijna niemand zegt ‘ja, ik plak klantdata in ChatGPT’. Maar kijk eens eerlijk naar wat er dagelijks gebeurt:

• Klantmails die ‘even netjes herschreven’ worden, inclusief naam, ordernummer en soms een klacht over een persoon
• Offertes en facturen die als voorbeeld worden geplakt om een nieuwe te laten maken
• Lijsten met namen, e-mailadressen of telefoonnummers die ‘even gesorteerd of opgeschoond’ moeten worden
• Sollicitatiebrieven en cv's die door AI worden samengevat of beoordeeld
• Notulen en gespreksverslagen met namen van klanten, leveranciers of personeel
• Stukjes uit je boekhouding of klantsysteem die als context worden meegegeven

Stuk voor stuk logische, goedbedoelde handelingen. En stuk voor stuk een potentieel datalek als de tool niet veilig is ingericht.

Het dubbele risico: niet alleen de AVG

Sinds 2 februari 2025 geldt er nog iets. De Europese AI-wet (de AI Act) verplicht elk bedrijf dat AI gebruikt om te zorgen dat medewerkers ‘AI-geletterd’ zijn, ze moeten basiskennis hebben van wat de tool wel en niet veilig kan. Dat heet artikel 4. Eén medewerker die zomaar klantgegevens in een chatbot plakt, is dus twee dingen tegelijk: een mogelijk AVG-datalek én een teken dat je niet aan die AI-geletterdheid voldoet.

Het wordt dus niet kleiner. Waar het vorig jaar nog ging om ‘iemand vraagt ChatGPT iets’, draaien er nu steeds vaker tools die zelfstandig mailtjes sturen, afspraken inboeken of bestanden verwerken. Als je daar geen zicht op hebt, groeit het risico met de week.

Mag ChatGPT überhaupt met de AVG?

Ja, ChatGPT is niet verboden. Het gaat niet om de tool, maar om wat je erin stopt. Vraag je ChatGPT om een blog te schrijven of een idee uit te werken zonder persoonsgegevens? Geen probleem. Plak je er een klantenbestand of een mail met namen in? Dan begint het risico. De grens is simpel: gaat er informatie in waarmee je een persoon kunt herkennen, dan hoort dat niet in een open AI-tool thuis. Die ene regel voorkomt het overgrote deel van de problemen.

Verbieden werkt niet, dat maakt het erger

De eerste reflex van veel ondernemers: ‘ChatGPT op het werk? Verboden.’ Begrijpelijk, maar het werkt averechts. Je mensen gebruiken het omdat het hun werk makkelijker maakt. Verbied je het, dan stoppen ze er niet mee, ze doen het alleen stiekem, op hun eigen telefoon, buiten elk zicht. Daarmee maak je het probleem onzichtbaar in plaats van kleiner. De oplossing is niet minder AI, maar AI die je wél kunt vertrouwen.

Wat wél werkt, in 4 stappen

• Maak het bespreekbaar. Vraag, zonder verwijt, welke tools je team gebruikt en waarvoor. Je zult schrikken hoeveel er al draait. Dit is meteen stap één van de AI-geletterdheid die de wet vraagt.
• Spreek af wat er nooit in een open AI-tool mag. Eén simpele regel die iedereen snapt: geen namen, geen klantgegevens, geen personeelsdossiers in ChatGPT of een gratis vertaalsite. Zet het op één A4.
• Geef een veilig alternatief. Dit is de kern: zolang er geen goede, veilige tool is, blijven mensen de onveilige gebruiken. Zorg dat er een variant is waar bedrijfsgegevens niet naar buiten lekken.
• Houd het levend. Maak één persoon verantwoordelijk, bespreek het een keer per kwartaal kort, en pas je afspraken aan als er nieuwe tools bijkomen.

De echte oplossing: een eigen, veilige variant

Een lijst met regels houdt niemand tegen die onder tijdsdruk staat. Wat wél werkt, is een AI-tool die net zo makkelijk is als ChatGPT, maar dan ingericht op jouw bedrijf, gekoppeld aan je eigen systemen, zo dat klantgegevens binnen de deur blijven. Je mensen krijgen de snelheid waar ze om vragen, en jij houdt de controle over waar de data heen gaat.

Dat hoeft geen groot, duur project te zijn. Vaak begint het met de twee of drie handelingen waar je team het vaakst AI voor pakt, mails beantwoorden, offertes opstellen, lijsten opschonen, en bouw je daar een veilige variant voor. De rest volgt vanzelf zodra mensen merken dat het werkt én dat het mag.

Hoe Socialo dit aanpakt

Ik begin met een gratis kennismakingsgesprek. We bespreken waar tijd in gaat zitten, welke systemen je gebruikt en waar automatisering kan helpen. Daarna krijg je een voorstel met automatiseringskansen, koppelingen, planning en kosten.

Shadow AI is geen toekomstprobleem. Je personeel gebruikt AI nu al, elke dag, vaak met gegevens die het pand niet zouden mogen verlaten. Het goede nieuws: je hoeft het niet te verbieden en je hoeft er geen jurist voor in te huren. Je moet het alleen zichtbaar maken en een veilig alternatief bieden. Wie dat nu regelt, loopt straks voorop, in plaats van achter de feiten aan met een datalekmelding in de hand.