De gemeente Zaanstad experimenteert met kunstmatige intelligentie om de productiviteit van medewerkers te verhogen. Met behulp van Microsoft Copilot 365 wil de gemeente administratieve lasten verminderen, zodat ambtenaren meer tijd overhouden voor inhoudelijk werk en betere dienstverlening aan inwoners. Maar dat experiment roept ook vragen op, vooral op het gebied van privacy en informatiebeveiliging.

Minder administratie, meer inhoudelijk werk
Copilot is geïntegreerd in bekende toepassingen zoals Word, Excel, Outlook en Teams. De AI kan helpen bij het samenvatten van documenten, het opstellen van e-mails en het analyseren van informatie. Volgens de gemeente moet dit leiden tot minder tijd kwijt zijn aan administratieve taken. De inzet van AI past binnen een bredere trend: organisaties zoeken manieren om efficiënter te werken met behulp van slimme software.

Privacyrisico’s blijven aandachtspunt
Tegelijkertijd zijn er duidelijke zorgen. Zo besloot de gemeente Amsterdam eerder juist géén proef met Copilot te starten vanwege privacyrisico’s. Ook organisaties zoals SURF en de VNG waarschuwen voor risico’s. Volgens hen gaat het onder meer om:
– Onjuiste of onnauwkeurige (persoons)gegevens
– Onduidelijkheid over hoe lang gegevens worden bewaard
– Beperkte transparantie over dataverwerking

Hoewel SURF het gebruik inmiddels niet meer volledig afraadt, adviseert de organisatie nog steeds om terughoudend te zijn.

Hoe zit het met de AVG?
Volgens de gemeente Zaanstad zijn privacy en informatiebeveiliging geborgd via een zogeheten DPIA (Data Protection Impact Assessment). Dat is een verplichte analyse om risico’s rond persoonsgegevens in kaart te brengen.De Autoriteit Persoonsgegevens benadrukt echter dat voorzichtigheid geboden blijft. AI-chatbots kunnen nuttig zijn, maar brengen ook risico’s met zich mee — zeker wanneer gevoelige informatie wordt verwerkt.

Een belangrijk uitgangspunt is dat data binnen een afgeschermde omgeving blijft en niet wordt gebruikt om AI-modellen verder te trainen. Volgens Zaanstad is dat hier het geval.

Toegang tot e-mails en documenten
Een belangrijk aandachtspunt is dat Copilot toegang heeft tot alle Microsoft 365-gegevens waar een medewerker bij kan, zoals:
– e-mails
– documenten
– Teams-berichten

Hoewel medewerkers geen gevoelige gegevens mogen invoeren in prompts, kan de AI deze informatie indirect wél verwerken via bestaande bestanden. Daarom wil de gemeente bepaalde SharePoint-omgevingen uitsluiten van indexering om risico’s te beperken.

‘Oversharing’ en beperkte controle
De informatiebeveiligingsdienst (IBD) van de VNG wijst op een ander risico: oversharing — het onbedoeld delen van te veel gegevens. Dat kan gebeuren wanneer:
– toegangsrechten niet goed zijn ingesteld
– documenten onvoldoende zijn afgeschermd
– medewerkers zich niet bewust zijn van risico’s

Daarnaast stelt de IBD dat organisaties niet altijd volledig inzicht hebben in hoe gegevens door Microsoft worden verwerkt. Dat maakt het moeilijk om volledig aan de AVG te voldoen.

Deze versturen we 3-4x per jaar.