Het gebeurt in vrijwel elk bedrijf, meestal met de beste bedoelingen. Een medewerker plakt een klantmail in een chatbot om een net antwoord te formuleren. Iemand anders laat een offerte samenvatten, inclusief namen en bedragen. Handig, snel — en zelden staat iemand stil bij de vraag waar die informatie eigenlijk naartoe gaat. De Autoriteit Persoonsgegevens waarschuwde er niet voor niets voor: bij de toezichthouder kwamen meldingen binnen van datalekken doordat medewerkers op eigen houtje gevoelige gegevens in AI-chatbots invoerden — van een huisartsenpraktijk waar patiëntgegevens in een chatbot belandden tot een telecombedrijf waar dat met klantadressen gebeurde. In dit artikel leggen we zonder paniekzaaierij uit waar je data terechtkomt bij verschillende soorten AI, en hoe je daar als ondernemer verstandig mee omgaat.
Wat gebeurt er eigenlijk met wat je intypt?
Als je een vraag stelt aan een AI-tool, verlaat die tekst je computer en wordt hij verwerkt op de servers van de aanbieder — bij de grote namen staan die vaak in de Verenigde Staten. Tot zover niets bijzonders: dat geldt ook voor je e-mail of je boekhoudpakket in de cloud. Het verschil zit in wat er daarna gebeurt. Bij gratis consumentenversies van populaire chatbots kunnen je gesprekken standaard worden gebruikt om de modellen verder te trainen, tenzij je dat zelf uitzet. Wat jij intypt, kan dan onderdeel worden van het lesmateriaal van het model. Voor een recept of een vakantietip is dat geen probleem. Voor een klantdossier, personeelskwestie of concept-contract is het dat wél: je deelt bedrijfsinformatie met een partij waarmee je geen zakelijke afspraken hebt gemaakt, en onder de AVG is dat al snel een datalek dat je moet melden.
De vraag is niet óf je team AI gebruikt, maar via welke ingang. Een gratis account op een privételefoon is óók een ingang — alleen een die jij niet ziet.
De vier smaken: van gratis chatbot tot eigen server
Grofweg zijn er vier manieren waarop AI met je bedrijfsgegevens omgaat, elk met een ander niveau van controle. Het helpt om ze naast elkaar te zetten:
- Gratis consumententools: je gesprekken kunnen standaard voor training worden gebruikt en je hebt geen contract met de aanbieder. Prima voor algemene vragen zonder bedrijfs- of persoonsgegevens, ongeschikt voor al het andere.
- Zakelijke abonnementen (business- of enterprise-versies): de aanbieder legt contractueel vast dat je invoer niet voor training wordt gebruikt en je kunt een verwerkersovereenkomst sluiten. De verwerking gebeurt vaak nog wel op Amerikaanse servers, onder aanvullende contractuele waarborgen.
- EU-diensten of EU-hosting: de verwerking gebeurt aantoonbaar binnen de Europese Unie, bij een Europese aanbieder of via een Europese regio van een grote aanbieder. Voor sectoren met gevoelige gegevens — zorg, juridisch, financieel — is dit vaak de ondergrens.
- Lokale AI: het model draait op je eigen server of werkstation en je data verlaat het pand niet. Maximale controle, maar ook zelf verantwoordelijk voor hardware, updates en beveiliging — en de kleinere modellen die lokaal draaien, zijn merkbaar minder slim dan de grote clouddiensten.
Belangrijk om te weten: het gat tussen die smaken is kleiner dan veel ondernemers denken. Een zakelijk abonnement kost per gebruiker een paar tientjes per maand en regelt in één klap het grootste risico weg — dat je bedrijfsgegevens trainingsmateriaal worden. Voor de meeste MKB-bedrijven is dát de logische eerste stap, niet een eigen server in de meterkast.
Wat zegt de wet — en wat betekent dat praktisch?
Zodra er persoonsgegevens in het spel zijn — en dat is al zo bij een naam in een e-mail — geldt gewoon de AVG. Die vraagt van jou als ondernemer dat je weet wie je gegevens verwerkt, dat je daar afspraken mee hebt (de verwerkersovereenkomst) en dat je een datalek meldt als het misgaat. Overtredingen kunnen in het uiterste geval flink in de papieren lopen; boetes kunnen oplopen tot vier procent van de jaaromzet. Daarnaast is de Europese AI Act stapsgewijs van kracht geworden, met onder meer de verplichting dat medewerkers die met AI werken daar basiskennis van hebben, en transparantie-eisen voor AI die met klanten praat. Wil je weten hoe dit voor jouw bedrijf uitpakt, dan denken we daar graag een uur in mee.
Praktisch komt het neer op drie huisregels. Eén: gebruik voor werk alleen tools waar het bedrijf een zakelijk account en een verwerkersovereenkomst voor heeft, met training op je data contractueel uitgesloten. Twee: spreek af welke informatie er nooit in een AI-tool gaat — denk aan medische gegevens, BSN's en gevoelige personeelszaken — en haal waar het kan namen en herleidbare details uit je invoer. Drie: leg dit vast in een kort, leesbaar AI-beleid van één A4 en neem het team erin mee. Niet om AI te ontmoedigen, maar juist om het veilig aan te moedigen: het alternatief is dat mensen het stiekem op hun privéaccount doen.
Wanneer is lokaal of EU-hosting het overwegen waard?
Voor de meeste bedrijven is een goed ingericht zakelijk abonnement voldoende. Maar er zijn situaties waarin je een stap verder wilt. Werk je dagelijks met medische, juridische of financiële dossiers, dan is verwerking binnen de EU vaak een harde eis van je eigen klanten of beroepsregels. En wil je AI loslaten op je complete bedrijfsarchief — alle contracten, dossiers en interne documenten — dan kan een lokaal of privé gehost model aantrekkelijk zijn: de kennis blijft binnen, wat er ook met de aanbieder gebeurt. Moderne open modellen zijn de afgelopen jaren fors beter geworden en draaien op een stevige server prima voor taken als samenvatten, zoeken in eigen documenten en tekstwerk. De keerzijde: je koopt hardware, iemand moet het onderhouden, en voor de allerslimste taken blijven de grote clouddiensten voorlopig beter.
Privacy is geen reden om AI links te laten liggen. Het is een reden om het één keer goed in te richten — daarna heb je er jaren gemak van.
Zo pak je het deze maand aan
Begin met inventariseren: welke AI-tools gebruikt je team nu al, ook privé voor werk? Kies vervolgens één zakelijke standaardtool, regel de verwerkersovereenkomst en zet training op je data uit. Stel de drie huisregels op papier en bespreek ze in het werkoverleg. En twijfel je of jouw situatie om EU-hosting of een lokale opzet vraagt — bijvoorbeeld omdat je met gevoelige dossiers werkt — laat je dan één keer goed adviseren in plaats van jaren te blijven twijfelen. Bij Taitanic helpen we bedrijven precies hiermee: van een veilige AI-werkomgeving inrichten (een afgebakend eerste traject begint vanaf zo'n €1.500) tot een praktische AI-training waarin je team leert wat wel en niet in een chatbot thuishoort (vanaf €400).
Benieuwd waar jouw bedrijf nu staat qua AI en gegevensbescherming? Doe de gratis AI-check — je weet binnen een paar minuten waar de kansen én de risico's zitten.