Kort antwoord: kleine bedrijven hebben meestal geen IT-afdeling, gebruiken vaker gratis of privé-accounts, en hun mensen doen van alles tegelijk. Daardoor belandt klantinformatie sneller in een AI-tool zonder afspraken. De AVG geldt daarbij gewoon, ongeacht de grootte van je bedrijf.
Grote organisaties hebben een CISO, een privacy-officer, een inkoopafdeling en een stapel beleid. Dat maakt ze niet automatisch veiliger, maar er kijkt in elk geval iemand mee. In een bedrijf van acht mensen kijkt niemand mee. Iedereen regelt het zelf.
Vijf redenen waarom het risico groter is
Niemand kiest de tools
In een groot bedrijf bepaalt IT welke tools er zijn. In een klein bedrijf kiest iedereen zelf. De een gebruikt ChatGPT, de ander Gemini, een derde een gratis app voor transcriptie. Niemand weet wat de ander gebruikt.
Gratis en privé is de standaard
Een zakelijke licentie voelt als een kostenpost die kan wachten. Dus werkt iedereen met een gratis of privé-account. Bij die accounts mag de aanbieder je gesprekken vaak gebruiken voor training, en heeft je bedrijf geen enkele afspraak met de aanbieder. Lees wat gratis ChatGPT met je invoer doet.
Iedereen doet alles
In een klein team doet de office manager ook de boekhouding, de verkoper ook de klantenservice, de eigenaar ook HR. Iedereen komt dus met allerlei soorten gevoelige informatie in aanraking, en kan die allemaal in een AI-tool zetten.
De klant zit dichtbij
Kleine bedrijven werken vaak met een paar grote klanten. Eén incident met de gegevens van zo'n klant raakt direct je omzet en je reputatie.
Er is geen tijd voor beleid
Een AI-beleid schrijven staat altijd onderaan de lijst. Dus bestaat het niet, en bepaalt iedereen zelf waar de grens ligt.
Wat de AVG van je vraagt, ook als je klein bent
De AVG maakt geen uitzondering voor kleine bedrijven als het gaat om het verwerken van persoonsgegevens. Als je persoonsgegevens laat verwerken door een andere partij, zoals een cloudtool, heb je volgens artikel 28 van de AVG een verwerkersovereenkomst nodig. Met een gratis privé-account van een AI-tool heb je die meestal niet.
Wat je simpel regelt
Je hebt geen dik beleid nodig. Begin hiermee:
Kies één AI-tool voor het hele team. Bij voorkeur een zakelijke versie waar je afspraken mee hebt. Lees hoe je een AI-tool kiest die veilig genoeg is.
Spreek één grens af. Klantgegevens, persoonsgegevens, contracten en financiële cijfers gaan nooit in een AI-tool, tenzij jullie daar een tool met afspraken voor hebben.
Schrijf het op één A4. Welke tool, welke data nooit, en wie je belt bij twijfel.
Zorg dat iedereen het snapt. Een korte training voor het hele team, zodat het niet bij een papiertje blijft.
Kijk er elk kwartaal even naar. Nieuwe tools, nieuwe mensen, nieuwe vragen.
Voor een team van een handvol mensen is dat een middag werk. De AIGA-teamtraining is online en in eigen tempo, dus ook voor kleine teams goed in te plannen.
Veelgestelde vragen
Geldt de AVG ook voor kleine bedrijven die AI gebruiken?
Ja. De AVG geldt voor iedere organisatie die persoonsgegevens verwerkt, ongeacht de grootte. Dat geldt ook als die gegevens in een AI-tool belanden.
Is gratis ChatGPT gebruiken verboden voor bedrijven?
Nee. Maar zet er geen persoonsgegevens of vertrouwelijke bedrijfsinformatie in, want je hebt geen afspraken met de aanbieder en je invoer kan voor training worden gebruikt.
Wat is het eerste dat ik moet regelen?
Eén duidelijke afspraak over welke gegevens nooit in een AI-tool gaan, en één tool voor het hele team.
Heb ik een AI-beleid nodig als ik maar vijf medewerkers heb?
Geen dik document, wel een paar heldere afspraken op papier. Lees ons stappenplan voor een AI-beleid voor een eenvoudige opzet.
Bronnen
Ferry Hoes
Ferry Hoes is veelgevraagd spreker en trainer op het gebied van AI-geletterdheid. Hij staat meermaals per maand op het podium voor organisaties zoals a.s.r., VodafoneZiggo en verschillende ministeries. In 2020 won hij de Anti-Discriminatie AI-Hackathon van de Nederlandse overheid.