AI-spelregels voor kmo's: één A4 dat datalekken voorkomt

Vraag het eens in uw teamoverleg: wie gebruikt er weleens een AI-chatbot voor het werk? Reken op meer handen dan u verwachtte — en op meer gratis en privé-accounts dan u lief is. Dat is geen onwil. Het is het gevolg van een gat: er zijn geen afspraken, dus iedereen maakt zijn eigen.

Waarom dit urgent is

Privacytoezichthouders waarschuwen expliciet: wie persoonsgegevens van klanten of collega’s invoert in een AI-chatbot die die gegevens bewaart of gebruikt, veroorzaakt een datalek dat gemeld moet worden — in België bij de Gegevensbeschermingsautoriteit, binnen 72 uur. Technologiefederatie Agoria bracht die waarschuwing ook bij Belgische bedrijven onder de aandacht. Gratis chatbots gebruiken ingevoerde tekst vaak om modellen te trainen; een klantenbestand, een personeelsdossier of een offerte met prijzen is dan niet meer van u.

Sinds 2 februari 2025 vraagt de Europese AI-verordening bovendien van elke werkgever die AI inzet dat medewerkers voldoende AI-geletterd zijn. Geen examen, wel een aantoonbare inspanning. Spelregels op papier zijn daar de eerste stap van.

Wat er op het A4 staat

Een goed AI-beleid voor een kmo past op één pagina. Het startpunt dat VLAIO kmo’s aanreikt — begin klein, maar begin met afspraken — geeft de kapstok; dit is de invulling die in de praktijk werkt:

• Toegestane tools. Alleen zakelijke accounts die het bedrijf beheert, met een verwerkersovereenkomst en zonder training op uw gegevens. Privé- en gratis accounts zijn voor het werk niet toegestaan — en daar hoort een alternatief bij dat wél mag.
• Gegevens die er nooit in gaan. Persoonsgegevens van klanten en medewerkers, wachtwoorden, bankgegevens, bedrijfsgeheimen en alles wat onder een geheimhoudingsplicht valt. Twijfel? Dan niet.
• Menselijke controle. Alles wat naar een klant, een boekhouding of een portaal gaat, wordt door een mens gelezen en goedgekeurd. AI maakt het concept; u beslist.
• Herkenbaarheid. Waar AI met klanten communiceert (een chatassistent) of beelden maakt, is dat kenbaar. Sinds 2 augustus 2026 is dat ook een wettelijke eis.
• Meldpunt. Eén persoon bij wie je terechtkunt met twijfel of een fout — zonder afrekencultuur. Een gemelde vergissing is een les; een verzwegen vergissing wordt een datalek dat te laat is gemeld.

Zo voert u het in

1. Inventariseer in een kwartier per medewerker welke tools worden gebruikt en waarvoor. Niet om te straffen, maar om te weten waar u staat.
2. Schrijf het A4 en bespreek het in een teamoverleg van een half uur. Verwerk de vragen; vaak zitten daar de beste voorbeelden in.
3. Regel het alternatief: een zakelijke AI-omgeving waarin het team wél veilig kan werken. Verbieden zonder alternatief werkt niet.
4. Laat iedereen bevestigen dat de spelregels bekend zijn, en neem ze op in het onthaalpakket voor nieuwe collega’s.
5. Herhaal jaarlijks — en bij elke nieuwe AI-toepassing.

De spelregels zijn het eerste onderdeel van wat wij het AI-fundament noemen: spelregels, een zakelijke omgeving en een teamsessie van twee uur. Het is het minste dat u nodig heeft om AI met een gerust hart te gebruiken — en het meeste dat u nodig heeft om nooit meer wakker te liggen van een verkeerd geplakt klantenbestand.

Bronnen: Autoriteit Persoonsgegevens (NL), “Let op: gebruik van AI-chatbot kan leiden tot datalekken”; Agoria, bericht over datalekrisico’s bij AI-chatbots op de werkvloer; VLAIO, “Hoe start je met artificiële intelligentie als kmo?”; Europese Commissie, vragen en antwoorden over AI-geletterdheid (artikel 4 AI-verordening).