Je team gebruikt AI al, alleen weet je waarschijnlijk niet welke. In het onderzoek van Alert Online zegt 49 procent van de werknemers weleens een privé AI-account voor het werk te gebruiken, en 35 procent gebruikt AI-tools zonder toestemming van de werkgever (Bron: Alert Online). Wat dat betekent lees je in ons stuk over privé AI-accounts. Deze gids gaat over de stap daarvoor: uitzoeken wat er bij jou draait, zodat je spelregels maakt voor de tools die je team echt gebruikt.
Waarom je eerst moet weten wat er draait
De Autoriteit Persoonsgegevens kreeg al in 2024 meldingen van datalekken doordat medewerkers persoonsgegevens in een chatbot plakten, onder meer bij een huisartsenpraktijk en een telecombedrijf. “Als de informatie ingevoerd is, dan heb je er geen controle meer over als bedrijf,” zei programmamanager Karin Bruinenberg van de AP tegen de NOS (Bron: NOS).
Hoe dat er in de praktijk uitziet, liet de gemeente Eindhoven zien. Een steekproef over één maand, van 23 september tot 23 oktober 2025, bracht aan het licht dat medewerkers Jeugdwet-documenten, interne verslagen en cv’s naar openbare AI-websites hadden geüpload. Hoe groot het lek precies was, weet de gemeente niet (Bron: Omroep Brabant). Dat de gemeente het ontdekte, kwam doordat iemand ging kijken.
Er is ook een wettelijke reden. Sinds 2 februari 2025 moet elk bedrijf dat AI inzet volgens artikel 4 van de AI Act zorgen voor voldoende AI-geletterdheid bij de mensen die ermee werken (Bron: EUR-Lex). Die training wordt een stuk zinniger als je weet over welke tools het gaat. Wat de plicht precies inhoudt, staat in onze gids over AI-geletterdheid.
Stap 1: vraag het, zonder schuldvraag
De snelste bron is je team zelf. Stuur een korte, anonieme vragenlijst met vier vragen:
- Welke AI-tools gebruik je voor je werk, ook af en toe?
- Waarvoor gebruik je ze?
- Met welk account: privé, gratis, betaald, of een account van de zaak?
- Wat voor informatie gaat erin: openbare tekst, interne stukken, of gegevens van klanten of collega’s?
Zeg er vooraf bij dat niemand op zijn kop krijgt. Wie bang is voor straf, vult “niets” in, en dan weet je nog steeds niets. Je wilt juist horen dat de boekhouder facturen laat samenvatten in een gratis chatbot, want dat is het gesprek dat je moet voeren.
Beginner-tip: maak er een vast moment van, niet alleen een eenmalige actie. Een rondvraag elk kwartaal laat zien welke nieuwe tools erbij komen, en houdt het onderwerp bespreekbaar.
Stap 2: kijk welke apps toegang hebben tot je accounts
Veel AI-tools vragen bij het inloggen toegang tot je mail, agenda of bestanden. Die koppelingen zie je terug in je beheeromgeving.
Werk je met Microsoft 365, ga dan in het Microsoft Entra-beheercentrum naar Entra ID, Enterprise apps, All applications. Kies een app en open onder Permissions het tabblad User consent: daar zie je welke rechten individuele medewerkers aan die app hebben gegeven. Je hebt daarvoor minimaal de rol Cloud Application Administrator nodig (Bron: Microsoft Learn).
Werk je met Google Workspace, ga dan in de Admin-console naar Beveiliging, Toegangs- en gegevensbeheer, API-beheer en kies Manage App Access. Onder Accessed apps zie je per app hoeveel gebruikers hem gebruiken en tot welke diensten hij toegang vraagt, zoals Gmail, Agenda of Drive. Vanuit dat overzicht kun je een app ook op Trusted, Limited of Blocked zetten (Bron: Google).
Let vooral op notuleer-apps, schrijfhulpen en “assistenten” die toegang hebben tot alle mail of de hele Drive. Die zien meer dan je denkt.
Stap 3: vergeet de browser en de bonnetjes niet
Een deel van de AI zit in browserextensies die mails of webpagina’s samenvatten. Beheer je de Chrome-browsers van je team centraal, dan staat in de Admin-console onder Apparaten, Chrome, Rapporten het overzicht Apps & extensions usage, met per extensie het aantal installaties en de gevraagde rechten (Bron: Google). Zonder centraal beheer is de rondvraag uit stap 1 je beste bron.
Zoek daarnaast in je boekhouding en declaraties naar abonnementen op AI-diensten. Een betaald abonnement op de bedrijfscreditcard is vaak het teken van een medewerker die er dagelijks mee werkt, en dus van een tool die je beter officieel kunt regelen.
Gevorderden: kijk naar tools en koppelingen, niet naar wat medewerkers typen. Meelezen met individuele werknemers is onder de AVG aan strenge voorwaarden gebonden. Heb je een ondernemingsraad, dan heeft die bovendien instemmingsrecht bij systemen waarmee je personeel kunt volgen (artikel 27 van de Wet op de ondernemingsraden). Overleg daarom vooraf als je verder wilt gaan dan het overzicht van apps.
Stap 4: maak één lijst en kies
Zet alles wat je vond in één tabel: tool, waarvoor, welk account en wat voor gegevens. Geef elke regel een kleur. Groen is een tool die je goedkeurt, liefst met een zakelijk account waarbij je invoer niet voor training wordt gebruikt. Oranje is een tool die mag, maar niet met klant- of personeelsgegevens. Rood is een tool die stopt, met een alternatief dat hetzelfde werk doet.
Dat alternatief is de kern. De AP raadt aan om vast te leggen welke gegevens wel en niet in een chatbot mogen, en om met een contract af te spreken dat invoer niet voor training wordt opgeslagen (Bron: NOS). Hoe je die afspraken op één A4 zet, staat in Je team gebruikt AI al. Leg deze 3 afspraken vast. Kies je voor Claude als zakelijke tool, dan helpt Claude inrichten voor je bedrijf je op weg. En voor de training die daarbij hoort: AI-geletterdheid regelen zonder dure cursus.
Kom je bij het inventariseren een tool tegen waar al klant- of personeelsgegevens in zijn gezet, behandel dat dan als een mogelijk datalek. Moet je het melden, dan geldt een termijn van 72 uur nadat je het ontdekt.