Privacy Zeker slaat alarm over AI op de werkvloer: ‘Wacht niet tot klantgegevens al zijn gedeeld’

Privacy Zeker waarschuwt voor de gevolgen van zakelijk AI-gebruik zonder duidelijke afspraken. Met de introductie van steeds persoonlijkere AI-assistenten wordt volgens de AVG-dienstverlener de vraag urgenter welke klant- en personeelsgegevens medewerkers laten verwerken.

De introductie van iOS 27 op 14 september vormt de aanleiding voor de waarschuwing. Apple presenteert een vernieuwde Siri AI die persoonlijke informatie uit onder meer e-mails en notities kan vinden en handelingen in apps kan uitvoeren. De beschikbaarheid verschilt per functie, toestel, taal en regio.

Privacy Zeker, de grootste AVG-dienstverlener voor het mkb in Nederland, maakt zich zorgen over organisaties die zulke ontwikkelingen omarmen zonder het gebruik van persoonsgegevens vooraf te beoordelen. De waarschuwing van Privacy Zeker komt op een moment dat het zakelijke AI-gebruik sterk groeit. Volgens voorlopige CBS-cijfers gebruikte in 2025 45 procent van de bedrijven met 50 tot 250 werkzame personen AI. In 2023 was dat nog 20 procent. Bij bedrijven met 10 tot 50 werkzame personen steeg het aandeel van 11 naar 27 procent.

“Als je pas wakker wordt wanneer een klant vraagt waar zijn gegevens zijn gebleven, ben je te laat om die eerste verstrekking te voorkomen. Ondernemers moeten weten welke persoonsgegevens medewerkers met AI delen. Wachten tot het misgaat is geen beleid.”

— Kor de Boer CCO Privacy Zeker

Vertrouwelijke informatie in dagelijkse AI-opdrachten

De risico’s zitten volgens Privacy Zeker in alledaagse werkzaamheden: een klantmail laten samenvatten, een personeelsverslag laten uitwerken of een document uploaden om sneller een antwoord te vinden.

Of dat verantwoord kan, hangt af van de informatie, de gebruikte toepassing, de instellingen en de afspraken met de aanbieder. AI-gebruik leidt niet automatisch tot een datalek. Zonder inzicht in die voorwaarden kunnen organisaties echter onvoldoende beoordelen wat er met persoonsgegevens gebeurt.

Daarbij gaat het ook om privételefoons waarop medewerkers zakelijke e-mail, documenten en contacten gebruiken.

Ondernemer moet kunnen uitleggen wat er gebeurt

Wanneer persoonsgegevens ongeoorloofd worden gedeeld, moet een organisatie kunnen achterhalen welke informatie betrokken is en welke maatregelen nodig zijn. Afhankelijk van de omstandigheden kan ook een meldplicht gelden.

Volgens Privacy Zeker begint die voorbereiding vóórdat een incident plaatsvindt. Organisaties moeten weten welke AI-toepassingen medewerkers gebruiken, welke gegevens daarin mogen worden verwerkt en wie het gebruik beoordeelt.

De dienstverlener roept ondernemers daarom op hun interne afspraken over AI en persoonsgegevens te controleren en medewerkers duidelijke instructies te geven.