Mag je klantgegevens in ChatGPT zetten?

Wat zegt de Autoriteit Persoonsgegevens?

De Autoriteit Persoonsgegevens (AP) waarschuwt dat het gebruik van AI-chatbots kan leiden tot datalekken. De AP kreeg meldingen van organisaties waar medewerkers persoonsgegevens in een chatbot hadden gezet, zoals medische gegevens van patiënten bij een huisartsenpraktijk en een bestand met klantadressen bij een telecombedrijf.

Volgens de AP slaan de meeste aanbieders de ingevoerde gegevens op, vaak zonder dat de gebruiker dat beseft. De AP adviseert organisaties om duidelijke afspraken te maken over of en hoe medewerkers chatbots mogen gebruiken, en om waar mogelijk met de aanbieder af te spreken dat ingevoerde gegevens niet worden opgeslagen. Is het toch misgegaan, dan moet je het datalek in veel gevallen melden bij de AP en bij de mensen om wie het gaat.

Waarom is een gratis of persoonlijk account het risico?

Bij een persoonlijk account heeft je bedrijf geen afspraken met de aanbieder over wat er met de gegevens gebeurt. Jij bent als bedrijf wel verantwoordelijk voor de persoonsgegevens van je klanten. Plakt een medewerker een klantmail in zo'n chatbot, dan deel je die gegevens met een partij waar je niets mee hebt afgesproken.

Wat heb je nodig om AI wel met klantgegevens te gebruiken?

Drie dingen. Ten eerste een verwerkersovereenkomst met de aanbieder van de AI-dienst: daarin staat dat de aanbieder de gegevens alleen volgens jouw instructies verwerkt. Ten tweede duidelijkheid over waar de gegevens worden verwerkt. Gaan ze naar een land buiten de EU, zoals de Verenigde Staten, dan moet daar een geldige grondslag voor zijn. Ten derde afspraken binnen je team over welke gegevens wel en niet in een AI-tool mogen.

Hoe zit het met AI-diensten uit de Verenigde Staten?

Voor doorgifte naar de VS bestaat het EU-VS Data Privacy Framework. Een Amerikaanse aanbieder die daarvoor gecertificeerd is, staat op de officiële lijst, en die kun je zelf controleren. De status van dat raamwerk is de afgelopen jaren vaker ter discussie gesteld, dus check bij je leverancier hoe de doorgifte geregeld is en wat er gebeurt als het raamwerk wegvalt.

Een eenvoudigere route is een AI-dienst die in de EU draait. Wij werken daarom met een Europees model met hosting in de EU.

Hoe gebruik je AI veilig met klantgegevens?

Stuur alleen wat nodig is: voor het samenvatten van een klacht hoeft het telefoonnummer van de klant niet mee. Kies een AI-dienst met een verwerkersovereenkomst en verwerking in de EU. Leg in je bedrijf vast welke tools wel en niet mogen. En bouw AI waar het kan in je eigen systeem in, zodat medewerkers geen klantgegevens meer hoeven te kopiëren naar een losse chatbot.

Mag een chatbot je klanten te woord staan?

Dat mag, maar de AP en de Autoriteit Consument & Markt (ACM) vinden dat een chatbot in de klantenservice menselijk contact niet volledig mag vervangen. Ze wijzen er ook op dat een chatbot vertrouwelijke gegevens kan bevatten die kwaadwillenden er met slimme vragen uit kunnen halen. Zet een klantgerichte chatbot dus niet zomaar live met toegang tot al je klantgegevens.