AI-tools kiezen voor je bedrijf: waar let je op?

Begin bij de gegevens die je in een AI-tool zet

Welke AI-tool past bij je bedrijf, hangt vooral af van wat je erin stopt. De Autoriteit Persoonsgegevens (AP) kreeg in 2024 meerdere meldingen van datalekken doordat medewerkers persoonsgegevens van klanten of patiënten in een AI-assistent hadden gezet. De AP schrijft dat de meeste bedrijven achter zulke tools alle ingevoerde gegevens opslaan.

Maak daarom eerst een korte lijst van de taken waarvoor je team de tool wil gebruiken. Zet bij elke taak of er persoonsgegevens of vertrouwelijke bedrijfsinformatie in zitten. Voor taken met persoonsgegevens zijn de vragen hieronder het belangrijkst.

Is de aanbieder van de AI-tool je verwerker?

De AVG maakt onderscheid tussen de verwerkingsverantwoordelijke en de verwerker. Schakel je een clouddienst in die persoonsgegevens voor jou verwerkt, dan ben jij de verwerkingsverantwoordelijke en de aanbieder de verwerker. Een verwerker gebruikt de gegevens alleen voor jouw opdracht. Gebruikt een aanbieder de gegevens ook voor eigen doelen, dan is hij volgens de AP voor die verwerking zelf verwerkingsverantwoordelijke.

Lees daarom in de voorwaarden wat de aanbieder met je invoer doet. Gebruikt hij die om zijn eigen AI te verbeteren? Kun je dat uitzetten? Je blijft volgens de AP altijd zelf verantwoordelijk voor de verwerking die je uitbesteedt.

Wat staat er in een verwerkersovereenkomst?

Werk je met een verwerker, dan eist de AVG een schriftelijke verwerkersovereenkomst (artikel 28, derde lid). Ontbreekt die, dan zijn volgens de AP beide partijen in overtreding. Volgens de pagina van de AP over de verwerkersovereenkomst leg je onder meer dit vast:

• De verwerker werkt alleen op jouw schriftelijke instructies en gebruikt de gegevens niet voor eigen doeleinden.
• Medewerkers van de verwerker hebben een geheimhoudingsplicht.
• De verwerker beveiligt de gegevens met passende technische en organisatorische maatregelen.
• Subverwerkers komen er alleen bij met jouw voorafgaande schriftelijke toestemming.
• De verwerker helpt je bij privacyverzoeken en bij het melden van datalekken.
• Na afloop verwijdert de verwerker de gegevens, of geeft hij ze aan je terug.
• De verwerker werkt mee aan audits.

Het initiatief voor de overeenkomst mag volgens de AP ook bij de verwerker liggen. Bij een AI-tool krijg je dus soms de tekst van de aanbieder. Je blijft volgens de AP verantwoordelijk, ook als de verwerker de tekst heeft opgesteld. Leg hun overeenkomst dus naast de lijst hierboven.

Spreek ook af hoe een datalek bij de aanbieder bij jou terechtkomt. De verwerker moet je zo snel mogelijk informeren. Jij moet bepaalde datalekken binnen 72 uur bij de AP melden.

Waar verwerkt de AI-tool je gegevens?

Persoonsgegevens doorgeven naar een land buiten de Europese Economische Ruimte (EER) mag volgens de AP alleen als dat land passende bescherming biedt. De AVG kent daarvoor deze routes:

• Een adequaatheidsbesluit van de Europese Commissie over dat land.
• Passende waarborgen, zoals een modelcontract of bindende bedrijfsvoorschriften.
• Specifieke uitzonderingen, die volgens de AP alleen in zeldzame gevallen gelden.

Met een adequaatheidsbesluit kunnen gegevens volgens de Europese Commissie zonder extra waarborgen naar dat land. Op de lijst van de AP staan onder meer het Verenigd Koninkrijk, Zwitserland en Japan. De Verenigde Staten staan erop voor organisaties die meedoen aan het Data Privacy Framework.

Vraag de aanbieder dus waar de gegevens worden opgeslagen en verwerkt. Zit dat buiten de EER, vraag dan op welke grond de doorgifte gebeurt.

De overheid kijkt hier ook naar. In het overheidsbrede standpunt over generatieve AI van 22 april 2025 noemt het kabinet duidelijke risicoanalyses en betrouwbare AI-modellen. Overheden worden aangemoedigd om in Europa ontwikkelde toepassingen en open-source oplossingen te gebruiken. Dat standpunt geldt voor de overheid. Als denkrichting is het voor een mkb-bedrijf ook bruikbaar.

Zakelijk account of persoonlijk account?

De AP ziet dat medewerkers AI-tools vaak op eigen initiatief gebruiken, tegen de afspraken met de werkgever in. Zetten ze daarbij persoonsgegevens in een tool, dan is dat een datalek. Met persoonlijke accounts heb je als werkgever geen zicht op wat er in de tool gaat.

Kijk daarom of een tool een versie voor organisaties heeft, en wat daarin anders is. Handige vragen:

• Kun je voor dit account een verwerkersovereenkomst sluiten?
• Kun je met de aanbieder afspreken dat ingevoerde gegevens niet worden opgeslagen? De AP noemt die mogelijkheid zelf.
• Van wie zijn de gesprekken en bestanden als een medewerker vertrekt?

Beheer: wie houdt het overzicht?

De AP adviseert om eerst te inventariseren welke AI-systemen je organisatie gebruikt en wie ermee werkt. Je AVG-verwerkingsregister kan daarbij het vertrekpunt zijn. Een tool met centraal beheer maakt dat overzicht makkelijker.

Vraag bij de aanbieder na of je gebruikers centraal toevoegt en verwijdert, en of je instellingen voor het hele team kunt vastzetten. Kun je een medewerker op zijn laatste werkdag direct de toegang ontnemen?

Kosten per gebruiker

Rekent een tool per gebruiker per maand, reken het dan voor je eigen team uit: prijs per gebruiker keer het aantal mensen, keer twaalf. Let op een minimum aantal gebruikers en op het verschil tussen maandelijks en jaarlijks betalen.

Begin met een kleine groep die de tool echt gaat gebruiken. Na een paar weken zie je wie hem gebruikt en voor welke taken. Dan beslis je of de rest van het team erbij komt.

Checklist voor het kiezen van een AI-tool

Onderwerp	Vraag
Gegevens	Welke gegevens gaan erin, en zitten daar persoonsgegevens bij?
Rol van de aanbieder	Gebruikt de aanbieder je invoer voor eigen doelen, en kun je dat uitzetten?
Verwerkersovereenkomst	Is er een overeenkomst die de punten uit artikel 28 AVG dekt?
Locatie	Waar worden de gegevens verwerkt, en op welke grond als dat buiten de EER is?
Account	Is er een zakelijke versie, en van wie zijn de gesprekken?
Beheer	Kun je gebruikers en instellingen centraal beheren?
Kosten	Wat kost het per gebruiker per jaar voor je hele team?

Dit artikel is geen juridisch advies. Verwerk je veel persoonsgegevens of gevoelige gegevens, laat een jurist of privacyspecialist meekijken.

Na de keuze: afspraken en training

Een goede tool helpt pas als je team weet wat wel en niet in de tool mag. Leg dat vast in een AI-beleid. Wat de AI Act vraagt over de kennis van je mensen, lees je in AI-geletterdheid en de AI Act.

SI-bureau geeft AI-training voor je team met de tools die je hebt gekozen. Trainer is Tarik Eraslan, oprichter van AI Agent B.V. in Amsterdam. Een 1-op-1 training van 3 uur kost vanaf €449 ex btw. Met een week digitale ondersteuning via WhatsApp erbij is dat €850 ex btw. Voor teams vanaf vier personen maakt SI-bureau een offerte. De training is op locatie in Amsterdam-Zuid of digitaal via Microsoft Teams. Contact loopt via WhatsApp.