Veilig en verantwoord met AI en klantdata

Je wilt snel een mailing personaliseren, dus je kopieert je klantenlijst met namen, e-mailadressen en aankoopgeschiedenis en plakt die zo in een gratis AI-tool met de vraag: schrijf voor iedereen een persoonlijk bericht. Handig gevonden, en meteen fout. Op het moment dat je persoonsgegevens in een gratis of consumentenversie plakt, geef je die data uit handen aan een partij die je invoer mag gebruiken om haar model te trainen, en dat mag onder de AVG niet zomaar. Het goede nieuws: je hoeft AI niet te mijden om dit goed te doen. Je moet alleen weten welke tool je waarvoor gebruikt, wat je er wel en niet in zet, en welke afspraken je maakt. Bij Netwerk de Kempen, het ondernemersnetwerk in de Kempen, komt dit steeds vaker langs aan de ontbijttafel, want bijna iedereen is inmiddels iets met AI aan het proberen. Dit artikel legt uit hoe je dat verantwoord doet, zonder de AVG te overtreden en zonder het vertrouwen van je klanten te schaden.

We lopen langs de kern: waarom klantdata en AI een privacykwestie is, wat je nooit in een gratis tool zet, hoe een zakelijke versie het veiliger maakt, en hoe je met minder data hetzelfde resultaat haalt. We sluiten af met de afspraken die je in je bedrijf maakt en een korte checklist waarmee je morgen begint.

Waarom dit een AVG-kwestie is

De AVG geldt zodra je persoonsgegevens verwerkt. Dat is een lage drempel: een naam, een e-mailadres, een telefoonnummer of een klantnummer valt er al onder. Zodra zulke gegevens door een AI-tool gaan, is dat een verwerking, en dan gelden dezelfde regels als voor de rest van je administratie. Veel ondernemers denken bij AI aan techniek en niet aan privacy, en juist daar ontstaat het risico. De tool voelt als een slimme assistent, maar het is een externe partij die je gegevens ontvangt en verwerkt.

Het verschil met je gewone software is dat je bij een AI-tool vaak niet weet waar je invoer heen gaat en wat ermee gebeurt. Bij je boekhoudpakket heb je een contract en weet je dat je data op een server binnen de EU staat. Bij een gratis chatdienst die je in je browser opent, is dat lang niet altijd geregeld. Je bent zelf verantwoordelijk voor de persoonsgegevens die je verwerkt, ook als een ander de techniek levert. Dat is precies waarom de keuze van de tool en de manier waarop je hem gebruikt zo bepalend zijn.

Er speelt naast de wet nog iets belangrijkers: vertrouwen. Klanten geven je hun gegevens omdat ze ervan uitgaan dat je er zorgvuldig mee omgaat. Als bekend wordt dat hun data ergens in een openbaar AI-model is beland, ben je meer kwijt dan een boete. Je bent hun vertrouwen kwijt, en in een netwerk waar mensen elkaar aanbevelen weegt dat zwaar.

Wat je niet in een gratis AI-tool zet

Gratis en consumentenversies van AI-tools kunnen je invoer gebruiken om hun model verder te trainen. Dat betekent dat wat jij intypt onderdeel kan worden van het systeem en in een latere vorm ergens weer kan opduiken. Voor het brainstormen over een blogtitel is dat geen enkel probleem. Voor persoonsgegevens en vertrouwelijke bedrijfsdata is het dat wel. De vuistregel is simpel: alles wat je niet op een openbaar prikbord zou hangen, hoort niet in een gratis AI-tool.

Concreet houd je deze gegevens eruit:

• Klantgegevens. Namen, adressen, e-mailadressen, telefoonnummers, klant- en offertenummers, hele klantenlijsten of exports uit je CRM.
• Gevoelige gegevens. Gezondheid, financiële situatie, BSN, kopieën van legitimatie. Deze categorie is extra beschermd en hoort echt nergens in een open tool.
• Vertrouwelijke bedrijfsdata. Contracten, prijsafspraken, cijfers, plannen die niet naar buiten mogen, en gegevens van je personeel.
• Inloggegevens en sleutels. Wachtwoorden of toegangscodes plak je nooit in een chatvenster, in geen enkele versie.

Wil je toch een tekst personaliseren of een voorbeeld laten schrijven, doe dat dan met een neutraal voorbeeld. Laat de tool een sjabloon maken met een tijdelijke aanduiding zoals “[naam klant]” en vul de echte gegevens daarna zelf in, in je eigen systeem. Zo krijg je het gemak zonder de data uit handen te geven. Deze werkwijze past goed bij de bredere manier waarop je content maakt met AI: gebruik het model voor de vorm, houd de inhoud met echte gegevens bij jezelf.

Veilig werken met een zakelijke versie

Voor werk waarbij je toch met echte gegevens moet, bestaan zakelijke en betaalde versies van de bekende AI-diensten. Die zijn op twee punten fundamenteel anders geregeld, en juist die twee punten maken het verschil tussen verantwoord en riskant.

Het eerste is de verwerkersovereenkomst. Onder de AVG heb je die nodig zodra een externe partij persoonsgegevens voor jou verwerkt. De zakelijke varianten bieden zo’n overeenkomst standaard aan, waarin staat wat de aanbieder wel en niet met je data mag, hoe lang die bewaard wordt en hoe hij beveiligd is. Zonder verwerkersovereenkomst mag je een externe partij eigenlijk geen persoonsgegevens laten verwerken. Met de gratis versie krijg je die overeenkomst meestal niet, met de zakelijke versie wel.

Het tweede is dat training op jouw invoer bij zakelijke versies vaak standaard is uitgeschakeld. Wat jij invoert wordt dan niet gebruikt om het model te verbeteren en verdwijnt niet in het openbare systeem. Dat is precies het risico dat bij de gratis versie wél speelt. Controleer dit altijd expliciet in de instellingen of de voorwaarden, want de precieze regeling verschilt per aanbieder en per abonnement.

Let bij de keuze van een zakelijke tool op een paar dingen: is er een verwerkersovereenkomst beschikbaar, staat training op je invoer uit, waar worden de gegevens opgeslagen (bij voorkeur binnen de EU), en hoe lang bewaart de aanbieder je invoer. Wie serieus met AI aan de slag gaat, zet dit net zo netjes op als de rest van de manier waarop AI werkt voor ondernemers. Het is geen extra hobbel, het is gewoon de zakelijke variant goed inrichten.

Minder data, minder risico

De veiligste gegevens zijn de gegevens die je niet deelt. Los van welke tool je kiest, kun je het risico flink verkleinen door bewust met je data om te gaan. Drie principes uit de AVG helpen daarbij, en ze zijn ook zonder juridische kennis goed te volgen.

• Anonimiseren waar het kan. Haal namen en herleidbare gegevens eruit voor je iets aan een AI-tool geeft. Wil je een klantvraag laten samenvatten, vervang dan de naam door “een klant” en laat het adres weg. Vaak heeft het model die details helemaal niet nodig om je te helpen.
• Dataminimalisatie. Verwerk niet meer gegevens dan nodig voor wat je wilt bereiken. Als een korte omschrijving volstaat, plak dan niet het hele dossier. Elke regel data die je niet deelt, is een regel die niet mis kan gaan.
• Transparant zijn. Wees richting je klanten open over het feit dat je AI gebruikt en waarvoor. Dat hoort in je privacyverklaring thuis en het voorkomt verrassingen. Klanten vinden het gebruik van AI zelden een probleem, zolang ze niet het gevoel hebben dat het achter hun rug gebeurt.

Bij grootschalige verwerking van gevoelige gegevens komt er nog een stap bij. Dan kan een DPIA verplicht zijn, een data protection impact assessment uit artikel 35 van de AVG. Dat is een verplichte risicoanalyse voordat je begint. Voor de meeste kleine bedrijven met een paar honderd klanten speelt dit niet, maar zodra je op grote schaal gevoelige gegevens door een AI-systeem laat lopen, is het verstandig om te laten toetsen of een DPIA nodig is. In de meeste alledaagse gevallen kom je een heel eind met anonimiseren en minimaliseren.

Afspraken met je team

De grootste lekken ontstaan niet in de techniek maar bij de mensen die met de tools werken. Eén medewerker die snel even een klantenlijst in een gratis tool plakt, en het is gebeurd. Daarom horen bij verantwoord AI-gebruik een paar heldere afspraken die iedereen kent, ook de stagiair en de kracht die er af en toe bij springt.

Spreek af welke tool je bedrijf gebruikt en welke niet, zodat mensen niet zelf een willekeurige gratis dienst opzoeken. Leg vast wat er wel en niet in mag: nooit klantgegevens, gevoelige data of inloggegevens in een tool zonder verwerkersovereenkomst. Maak duidelijk wie je aanspreekt bij twijfel, want een korte vraag vooraf is altijd beter dan een lek achteraf. En zet die afspraken op papier, al is het maar een half A4, zodat een nieuwe medewerker het meteen weet.

Dit sluit aan op de bredere beweging naar digitalisering in het mkb: nieuwe hulpmiddelen leveren pas iets op als het hele team ze op dezelfde, veilige manier gebruikt. Hetzelfde geldt als je verder gaat en bijvoorbeeld een chatbot voor je bedrijf inzet die met klantvragen werkt. Ook daar bepaal je vooraf welke gegevens de bot verwerkt, waar die belanden en of dat met de AVG in lijn is.

Wat er nog aankomt

Naast de AVG komt er specifieke regelgeving voor AI aan: de EU AI Act. Dat is de eerste brede Europese wet die eisen stelt aan het gebruik van kunstmatige intelligentie, en belangrijke verplichtingen daaruit gaan vanaf 2026 gelden. De wet deelt AI-toepassingen in naar risico en stelt zwaardere eisen aan systemen die meer impact op mensen hebben.

Voor de meeste ondernemers die AI gebruiken om teksten te schrijven of processen te versnellen, verandert er op korte termijn weinig ingrijpends. Wel is het goed om te weten dat het speelveld strenger wordt en dat transparantie een grotere rol krijgt. Wie nu al zorgvuldig werkt, met de juiste tool, een verwerkersovereenkomst en zo min mogelijk data, zit straks goed. Je hoeft niet vooruit te lopen op elke regel, maar het loont om de ontwikkeling te volgen in plaats van je erdoor te laten verrassen.

Je eerste stap

Verantwoord met AI en klantdata omgaan hoeft niet ingewikkeld te zijn. Loop deze checklist langs en je hebt de basis op orde:

• Scheid je tools. Gratis versie voor neutraal werk zonder persoonsgegevens, zakelijke versie voor alles met echte data.
• Regel de overeenkomst. Gebruik voor persoonsgegevens alleen een tool met een verwerkersovereenkomst en met training op je invoer uitgeschakeld.
• Deel minder. Anonimiseer waar het kan en geef nooit meer gegevens dan de taak vraagt.
• Wees open. Vermeld in je privacyverklaring dat en waarvoor je AI gebruikt.
• Maak afspraken. Leg voor je team vast wat wel en niet in een AI-tool mag.

Waar je precies de grens legt, merk je het snelst als je erover praat met andere ondernemers die dezelfde afweging maken. De één heeft net een zakelijke versie ingericht, de ander liep tegen een lastige klantvraag aan, en je leert er in tien minuten meer van dan van een middag zoeken. Dat gebeurt bij ons om de week aan de ontbijttafel. Kom een keer proeven bij een netwerk van ondernemers uit de Kempen, je eerste twee ontbijten zijn gratis.