Wat gebeurt er als je een prompt verstuurt?
Zodra je op enter drukt gaat de volledige inhoud van je bericht naar de servers van de aanbieder. Daar wordt hij verwerkt, mogelijk opgeslagen voor misbruikdetectie, en afhankelijk van je contract al dan niet gebruikt voor modelverbetering.
Dat laatste is het punt waar de meeste organisaties de mist in gaan. Bij consumentenaccounts kan de inhoud van gesprekken standaard worden gebruikt om modellen te verbeteren, tenzij je dat zelf uitschakelt. Bij zakelijke en enterprise-contracten is dat in de regel contractueel uitgesloten.
Een prompt met een klantnaam, een contract of een medisch dossier is onder de AVG een verwerking van persoonsgegevens, precies zoals het versturen van datzelfde bestand per e-mail. Er is geen uitzondering voor "ik vroeg het alleen even".
Praktisch gevolg: de vraag is niet of je AI mag gebruiken, maar welke gegevens in welk kanaal terechtkomen.
Wat zegt de AVG hierover?
Drie bepalingen doen het meeste werk.
Grondslag. Elke verwerking heeft een grondslag nodig. Voor de meeste zakelijke AI-toepassingen is dat uitvoering van de overeenkomst of gerechtvaardigd belang. Dat betekent ook dat je moet kunnen uitleggen waarom het versturen van dit gegeven naar deze partij noodzakelijk is.
Dataminimalisatie, artikel 5 lid 1 sub c. Je verwerkt niet meer gegevens dan nodig voor het doel. Een model dat een contract samenvat heeft de naam van de tegenpartij zelden nodig om zijn werk te doen. Dat is geen theoretisch punt: het is precies de basis waarop pseudonimisering verdedigbaar is.
Verwerkersovereenkomst, artikel 28. Verwerkt een AI-aanbieder persoonsgegevens namens jou, dan heb je een verwerkersovereenkomst nodig. Zonder dat contract heb je geen rechtsgeldige basis, ongeacht hoe goed het product is.
Daarnaast geldt de verantwoordingsplicht: je moet kunnen aantonen dat je dit geregeld hebt. Een mondelinge afspraak in een teamoverleg is dat niet.
Waarom lost EU-hosting het probleem niet volledig op?
Dit is het punt dat in vrijwel elke boardroom over het hoofd wordt gezien. De Amerikaanse CLOUD Act verplicht Amerikaanse aanbieders om data te verstrekken wanneer een rechtsgeldig Amerikaans bevel daarom vraagt, ongeacht waar die data fysiek staat.
Een Europese regio van een Amerikaanse hyperscaler verandert daar niets aan. De servers staan in Frankfurt of Dublin, maar de moedermaatschappij valt onder Amerikaans recht, en daarmee blijft de data in beginsel opvraagbaar.
Voor de meeste bedrijfsgegevens is dat een aanvaardbaar risico dat je expliciet accepteert. Voor gegevens waarbij een verstrekking aan een buitenlandse overheid onacceptabel is, zoals patiëntgegevens, juridische dossiers of gevoelige onderhandelingsposities, is het dat niet.
Wie daar niet op wil leunen, kiest infrastructuur onder Europees recht of houdt de gegevens binnen de eigen omgeving. Dat is de kern van wat datasoevereiniteit betekent in de praktijk.
Een dataclassificatie die werkt
Beleid dat zegt "wees voorzichtig met gevoelige data" werkt niet, omdat niemand weet waar de grens ligt. Vier klassen met een vaste route per klasse werkt wel. Dit is het model dat Pilex bij klanten hanteert.
| Klasse | Voorbeelden | Route |
|---|---|---|
| Tier 1, publiek | Marketingcontent, openbare rapporten, productinformatie | Direct naar de cloud |
| Tier 2, intern | Interne notities, analyses, conceptteksten | Cloud met standaardcontroles |
| Tier 3, vertrouwelijk | Klantnamen, contracten, financiële details | Gepseudonimiseerd naar de cloud |
| Tier 4, beperkt | BSN, gezondheidsgegevens, biometrie, juridische dossiers | Alleen lokaal, verlaat de omgeving nooit |
De winst zit in Tier 3. Dat is verreweg de grootste categorie in de meeste organisaties, en zonder een tussenweg belandt hij ofwel onterecht bij Tier 2 ofwel onwerkbaar bij Tier 4.
Publiceer deze tabel intern, met per klasse drie concrete voorbeelden uit je eigen organisatie. Abstracte categorieën worden verkeerd toegepast.
Hoe werkt pseudonimisering, en waarom niet met labels?
De voor de hand liggende oplossing is persoonsgegevens vervangen door labels: [PERSOON], [BEDRIJF], [DATUM]. Dat werkt slecht, omdat het model de samenhang kwijtraakt. Bij drie personen in één document weet het niet meer welke [PERSOON] wat deed, en het antwoord wordt navenant slechter.
De bruikbare variant vervangt persoonsgegevens door realistische pseudoniemen. Jan de Vries wordt Peter Smits, consistent binnen het hele verzoek. Het model behoudt de structuur, redeneert normaal, en in het antwoord worden de echte gegevens teruggezet voordat de gebruiker ze ziet.
De detectie hoort lokaal te draaien. Pilex gebruikt hiervoor Microsoft Presidio, een open source bibliotheek voor het herkennen en anonimiseren van persoonsgegevens. Draait die detectie in de cloud, dan heb je het probleem alleen verplaatst.
Overweging 26 van de AVG bepaalt dat gegevens die zodanig zijn geanonimiseerd dat de betrokkene niet meer identificeerbaar is, buiten de reikwijdte van de verordening vallen. Pseudonimisering haalt die drempel niet automatisch, maar verkleint het risico aanzienlijk en onderbouwt je dataminimalisatie.
Wat is het verschil tussen een gratis en een zakelijk account?
Groter dan de prijs suggereert, en het verschil zit op vier punten.
Training op je data. Bij consumentenabonnementen kan de inhoud gebruikt worden voor modelverbetering, met een opt-out die de gebruiker zelf moet aanzetten. Bij zakelijke contracten is dat standaard uitgesloten.
Verwerkersovereenkomst. Alleen zakelijke contracten bieden een DPA die aan artikel 28 voldoet.
Bewaartermijnen. API- en enterprisecontracten kennen doorgaans een korte bewaartermijn voor misbruikdetectie, waarna verwijdering volgt. Bij consumentenaccounts is dat minder scherp geregeld.
Beheer. Zakelijke omgevingen bieden single sign-on, rolgebaseerde toegang en logging. Zonder die drie weet je niet wie wat heeft ingevoerd, en dat maakt de verantwoordingsplicht onhaalbaar.
De praktische conclusie is ongemakkelijk: een organisatie waar medewerkers op eigen gratis accounts werken, heeft geen van deze vier. Dat is precies het shadow AI-probleem.
Wat kun je deze week regelen?
Vijf stappen die geen project vereisen.
- Vraag na wie welk account gebruikt. Niet als controle, maar om het beeld compleet te krijgen. In de praktijk ligt het aantal altijd hoger dan verwacht.
- Zet één goedgekeurde route neer. Zolang de veilige weg niet ook de makkelijkste is, wijken mensen uit. Dat is geen kwade wil, dat is werkdruk.
- Publiceer de vier dataklassen met eigen voorbeelden.
- Sluit de verwerkersovereenkomsten met elke aanbieder die persoonsgegevens verwerkt.
- Leg vast wat je hebt geregeld. Eén A4 is genoeg om te beginnen.
Bij MZA, een assurantiekantoor met privacyzorgen over cloudoplossingen, hebben we hiervoor een volledig lokale opzet neergezet: gespreksverslagen worden automatisch gegenereerd zonder dat data het eigen netwerk verlaat.
Wanneer is lokaal draaien overdreven
Niet elke organisatie heeft een lokaal model nodig, en de kosten zijn reëel. Werk je vrijwel uitsluitend met Tier 1- en Tier 2-gegevens, dan is een zakelijk cloudcontract met een deugdelijke verwerkersovereenkomst en een heldere interne richtlijn een verdedigbare en aanzienlijk goedkopere keuze.
Lokaal draaien is verantwoord wanneer je structureel met Tier 4-gegevens werkt, of wanneer een klant of toezichthouder het contractueel eist. De afweging staat uitgewerkt in de gids over self-hosted AI of cloud.