Het gebruik van AI-modellen als ChatGPT, Gemini en Claude dringt steeds verder door in ons dagelijks leven, óók op de werkvloer. Regels voor het gebruik zijn er vaak nog niet, waardoor organisaties nauwelijks zicht hebben op de informatie die werknemers in de modellen stoppen. Deskundigen waarschuwen voor de risico’s die dat met zich meebrengt.

Werknemers in allerlei sectoren hebben inmiddels ontdekt hoe generatieve AI – zoals deze modellen worden genoemd – hun werk efficiënter kan maken. Een arts kan het gebruiken om snel een verwijsbrief op te stellen, een advocaat om een dossier samen te vatten, een journalist om een interview uit te werken. Maar deze handelingen zijn niet zonder risico. Persoonsgegevens, bedrijfsgeheimen of vertrouwelijke dossiers kunnen zo ongemerkt in openbare AI-systemen terechtkomen.

AI-gebruik door werknemers dat buiten het zicht gebeurt van de organisatie waarvoor ze werken, wordt ‘Shadow AI’ genoemd. “De grootste risico’s zitten in medewerkers die willen werken met AI, maar niet goed weten hoe ze dat veilig moeten doen”, zegt Jan van der Put. Hij is ethisch hacker en directeur van een cybersecuritybedrijf dat veel werkt voor de Rijksoverheid.

Volgens hem gaat het vooral mis bij organisaties die nog geen duidelijke afspraken hebben gemaakt over AI-gebruik. “Dan gaan werknemers zelf aan de gang met bijvoorbeeld ChatGPT en gooien ze daar data in waar mogelijk persoons- of bedrijfsgegevens in zitten, zonder dat ze zich dat realiseren. Of zich bewust zijn van de privacy-instellingen van het AI-model.”

Gemeente Eindhoven en Amazon

Een voorbeeld waarbij dit misging, is bij de gemeente Eindhoven(opent in nieuw venster). Vorig jaar bleek uit een steekproef dat medewerkers van de gemeente in een maand tijd meer dan duizend documenten met persoonsgegevens naar externe AI-tools hadden geüpload.

“Denk aan BSN-nummers, aan Wmo-gegevens, gegevens over verslavingsgevoeligheid of financieel gevoelige data”, zegt Remco van der Schoot, AI-onderzoeker aan de Hogeschool Utrecht. “Daardoor ontstond een datalek.”

De gemeente heeft dit gemeld bij de Autoriteit Persoonsgegevens en al het gebruik van openbare AI-modellen voor werknemers geblokkeerd. 

Deze versturen we 3-4x per jaar.