Waar gaat je data naartoeals je AI gebruikt?

Een terechte bezorgdheid

Als we met bedrijven over AI praten, gaat de eerste vraag vaak niet over wat het kan, maar over waar de data naartoe gaat. Dat is een gezonde reflex. Mails, contracten en klantendossiers bevatten persoonsgegevens en bedrijfsgeheimen. Die in een tool stoppen zonder te weten wat ermee gebeurt, is een risico dat je beter niet neemt.

Het goede nieuws: AI veilig gebruiken kan, en het is niet eens zo ingewikkeld, zolang je de juiste vragen stelt.

De reis van je data

Wanneer AI een document leest, gaat de tekst naar een taalmodel, wordt hij verwerkt en komt er een antwoord terug. Drie vragen zijn daarbij belangrijk. Waar gebeurt die verwerking: in Europa of elders? Wordt de data bewaard, en hoe lang? En wordt ze nog voor iets anders gebruikt, bijvoorbeeld om het model te trainen?

Bij chattools voor consumenten zijn de antwoorden niet altijd duidelijk, en medewerkers plakken soms vertrouwelijke informatie in gratis accounts. Gebruik je AI zakelijk, met de juiste overeenkomsten, dan kun je kiezen voor aanbieders en instellingen waarbij data in Europa verwerkt wordt, niet langer bewaard wordt dan nodig en niet gebruikt wordt voor training.

Vragen voor elke aanbieder

Waar wordt de data verwerkt en bewaard? Welke subverwerkers zijn betrokken, ook de aanbieder van het model? Wordt mijn data gebruikt om modellen te trainen of te verbeteren? Hoe lang wordt ze bewaard, en kan ik ze laten wissen? Wie bij jullie heeft er toegang toe? Is er een verwerkersovereenkomst volgens de GDPR?

Elke serieuze aanbieder beantwoordt die vragen schriftelijk. Blijven de antwoorden vaag, dan weet je genoeg.

Toegangsrechten binnen het bedrijf

Veiligheid gaat niet alleen over externe partijen. Een AI assistent die alles kan doorzoeken, toont een medewerker misschien informatie die niet voor hem bedoeld is. Een goed gebouwd systeem respecteert dezelfde toegangsrechten als je bestaande software: de assistent antwoordt alleen vanuit wat die persoon mag zien, en elke agent krijgt enkel de rechten die hij voor zijn taak nodig heeft.

Wat de EU AI Act vraagt

De EU AI Act deelt AI toepassingen in op basis van risico. De meeste zakelijke toepassingen, zoals mails lezen, antwoorden opstellen of deadlines opvolgen, vallen niet onder hoog risico. Toch gelden er een paar regels voor elk bedrijf dat AI gebruikt.

Sinds februari 2025 moeten bedrijven die AI gebruiken maatregelen nemen om de AI geletterdheid te ondersteunen van wie ermee werkt. Sinds de Digital Omnibus in juli 2026 in werking trad, staat in de tekst duidelijk dat het om het nemen van maatregelen gaat, niet om het garanderen van een bepaald niveau per persoon. Sinds 2 augustus 2026 gelden de meeste andere regels, waaronder transparantie: mensen moeten weten wanneer ze met een AI systeem te maken hebben. De verplichtingen voor systemen met een hoog risico, zoals AI bij aanwervingsbeslissingen, zijn verschoven naar 2 december 2027. De details lees je in ons aparte artikel over de AI Act voor kmo's.

Wat het systeem leert, is van jou

Nog een punt dat makkelijk over het hoofd gezien wordt: wanneer een systeem leert uit jouw correcties en goedkeuringen, heeft die kennis waarde. Zorg dat in je overeenkomst staat dat je data, en wat het systeem eruit leert, van jou is. Stap je ooit over naar een andere aanbieder, dan moet je dat kunnen meenemen.

Het risico van gratis tools

Het grootste datarisico met AI is vandaag in veel bedrijven geen gesofisticeerde aanval. Het is een collega die een klantencontract in een gratis chatbot plakt om snel een samenvatting te krijgen. Goed bedoeld, en het gebeurt elke dag. AI verbieden helpt zelden: mensen gebruiken het toch, alleen zie je het niet meer. Een veilig alternatief en duidelijke richtlijnen werken veel beter.

Een kort beleid helpt al: welke tools goedgekeurd zijn, welke data nooit buiten die tools gedeeld mag worden en bij wie je terechtkunt als je twijfelt.

Logging en traceerbaarheid

Als AI acties onderneemt, wil je achteraf weten wat ze deed en waarom. Een goed systeem logt elke suggestie en actie, samen met de gebruikte bronnen en de persoon die goedkeurde. Dat is nuttig voor de veiligheid, voor de kwaliteit en voor de AI Act, en het schept vertrouwen: loopt er iets mis, dan zie je precies wat er gebeurde en kun je het rechtzetten.

Welk model, en maakt dat uit?

Voor gegevensbescherming telt het model zelf minder dan de manier waarop je het gebruikt: via welke aanbieder, in welke regio en onder welke voorwaarden. Veel grote modellen kun je gebruiken met verwerking in Europa en zonder dat ze op jouw data trainen. De juiste opzet kiezen hoort bij het bouwen van het systeem, en een goede partner legt die keuze uit en zet ze zwart op wit.

Sommige bedrijven willen liever modellen die in hun eigen omgeving draaien. Ook dat kan, tegen een hogere kost en meestal met iets minder krachtige modellen. Voor de meeste kmo's is een Europese opzet met de juiste overeenkomsten de verstandige middenweg.

Een praktische start

Breng in kaart welke tools mensen nu al voor AI gebruiken, ook de gratis. Spreek eenvoudige richtlijnen af over wat wel en niet gedeeld mag worden. Kies aanbieders die de vragen hierboven helder beantwoorden. En bouw je AI in je processen in, doe dat dan in je eigen omgeving, met je eigen toegangsrechten. Zo hoef je geen data naar losse tools te kopiëren.