Dit artikel geeft algemene informatie en is geen juridisch advies.
Gevoeliger dan u denkt
Een personeelsdossier bevat salaris, beoordelingen, verzuim, een burgerservicenummer en soms informatie over gezondheid of privéomstandigheden. Dat is gevoeliger dan de meeste klantgegevens.
Toch gaan bedrijven er vaak losser mee om. Klantgegevens staan in een CRM met inlog. Personeelsgegevens zwerven door mailboxen, spreadsheets en gedeelde mappen. En sinds kort ook door AI-tools.
Waar het misgaat
Personeelsgegevens belanden zelden met kwade bedoelingen in een AI-tool. Meestal wil iemand gewoon sneller werken.
- Een leidinggevende plakt een functioneringsverslag in een gratis chatbot om het netter te formuleren.
- Iemand vraagt een AI-tool om een brief over langdurig verzuim, met naam en omstandigheden erbij.
- Een AI-assistent wordt gekoppeld aan de gedeelde schijf. Daar staat ook de personeelsmap. Een collega stelt een onschuldige vraag en krijgt een salaris te zien.
In alle drie de gevallen verlaten gegevens de plek waar ze horen, zonder dat iemand dat zo heeft besloten.
Wat de privacywet van u vraagt
De AVG verbiedt het gebruik van AI niet. Wel gelden de gewone regels, ook hier:
- Een duidelijk doel. U gebruikt gegevens alleen waarvoor u ze heeft verzameld.
- Niet meer dan nodig. Heeft de tool de naam niet nodig, dan gaat de naam er niet in.
- Passende beveiliging. Dat geldt ook voor de diensten die u inschakelt.
- Afspraken met de leverancier. Verwerkt een leverancier persoonsgegevens voor u, dan hoort daar een verwerkersovereenkomst bij.
Voor gegevens over gezondheid gelden strengere regels dan voor gewone persoonsgegevens. Verzuim is daarom een onderwerp om extra voorzichtig mee te zijn.
Vijf afspraken voor uw bedrijf
- Bepaal welke AI-tools zijn toegestaan. Kies zakelijke versies waarbij u afspraken heeft over wat er met uw gegevens gebeurt. Geen privéaccounts voor werk.
- Spreek af wat er nooit in gaat. Burgerservicenummers, gegevens over gezondheid en verzuim, beoordelingen en salarissen op naam.
- Maak anoniem waar het kan. Schrijf ‘een medewerker’ in plaats van een naam. Het resultaat is bijna altijd even bruikbaar.
- Regel de toegang voordat u koppelt. Een AI-assistent ziet wat het gekoppelde account mag zien. Ruim eerst de rechten op uw gedeelde mappen op.
- Houd een mens aan het roer. Laat beslissingen over mensen, zoals aannemen, beoordelen of ontslaan, nooit over aan AI.
Dat laatste punt is meer dan een goed gebruik. AI-systemen voor werving, selectie en beoordeling van personeel staan in de Europese AI-verordening op de lijst van toepassingen met een hoog risico. Daarvoor gaan zware eisen gelden.
Waar AI wel veilig kan helpen
Er blijft genoeg over waar AI nuttig is zonder dat er personeelsgegevens aan te pas komen:
| Toepassing | Welke gegevens zijn nodig |
|---|---|
| Algemene vragen beantwoorden over verlof, declaraties en huisregels | Uw personeelshandboek, geen persoonsgegevens |
| Een vacaturetekst of functieomschrijving opstellen | Functie-eisen en informatie over uw bedrijf |
| Beleid of een cao-wijziging samenvatten | Het document zelf |
| Een inwerkprogramma uitschrijven | Uw werkwijze en planning |
Begin bij de afspraken, niet bij de tool
Wie eerst een tool kiest en daarna pas nadenkt over gegevens, loopt achter de feiten aan. Andersom werkt beter: leg vast wat wel en niet mag, en kies daar een passende tool bij.
Wilt u AI inzetten zonder risico's te nemen met gegevens van uw mensen? Lees meer over AVG, NIS2 en de AI-regels of bekijk onze AI Solutions.
Werkafspraken vastleggen en bronnen raadplegen
Download het bewerkbare sjabloon voor AI-werkafspraken. Vul het aan voor uw eigen processen en laat onduidelijke verwerkingen beoordelen voordat u ze start.
De Autoriteit Persoonsgegevens publiceert praktische uitleg over generatieve AI en de AVG. Lees ook de AP-uitleg over risico’s op de werkvloer en onze gids over AI-geletterdheid.
Wat betekent dit voor uw organisatie?
We denken graag met u mee over uw situatie en een passende volgende stap.
Bespreek uw vraag