Een klein bedrijf heeft geen IT-afdeling of compliance-team. Toch heeft het een paar schriftelijke regels nodig voor AI-tools. Deze checklist past op één pagina beleidsdocument. Pas hem aan je beroep, je cliënten en de regels die voor jou gelden aan.

Een klembord met een checklist met vakjes, waarvan er enkele zijn aangevinkt, naast een marineblauwe map.

Voordat iemand een AI-tool gebruikt

  • Kies de tools. Leg vast welke AI-tools het bedrijf toestaat. Alle andere tools zijn niet toegestaan voor werk met cliëntgegevens.
  • Kies de abonnementen. Persoonlijke en zakelijke accounts werken verschillend. Bepaal welke acceptabel zijn. Zie wat de gegevensinstellingen betekenen.
  • Stel de instellingen in. Schakel training uit waar die optie bestaat en zorg dat dit voor iedereen hetzelfde is.
  • Zoek ingebouwde AI-functies. E-mail, tekstverwerkers en vergadertools bevatten tegenwoordig AI-functies. Bepaal of die ingeschakeld zijn.
  • Informeer cliënten. Leg in de opdrachtbrief of voorwaarden uit hoe je AI-tools gebruikt. Vraag toestemming waar je regels die voor bepaalde toepassingen vereisen.
  • Wijs een verantwoordelijke aan. Eén persoon beantwoordt vragen en houdt het beleid actueel.

Voor elke taak

  • Is cliëntinformatie voor deze taak überhaupt nodig? Voor sjablonen, uitleg en structuur is die vaak niet nodig.
  • Stuur de passage, niet het bestand. Neem alleen mee wat de taak nodig heeft.
  • Vervang alle identificerende gegevens. Personen, bedrijven, adressen, telefoonnummers, e-mailadressen, rekeningnummers, identificatienummers en geboortedata. Gebruik voor dezelfde persoon steeds dezelfde plaatsaanduiding. De checklist van wat je moet verwijderen geeft aan waar je op moet letten.
  • Controleer de bestandsnaam en eventuele verborgen inhoud: opmerkingen, bijgehouden wijzigingen, verborgen werkbladen en documenteigenschappen.
  • Controleer afbeeldingen en scans. Tekst in afbeeldingen is ook tekst. Zie persoonsgegevens in scans en schermafbeeldingen.
  • Lees de veilige versie. Laat er bij een zaak met een hoog risico ook iemand anders naar kijken.
  • Eén cliënt per gesprek. Combineer nooit cliënten in één chat.
  • Plak de sleutel niet waarmee plaatsaanduidingen aan echte namen worden gekoppeld.

Nadat het antwoord terugkomt

  • Zet de namen terug op je eigen computer. Zie de heen-en-terugwerkwijze.
  • Controleer de inhoud. De AI kan fouten maken: verzonnen verwijzingen, onjuiste cijfers, een feit dat aan de verkeerde persoon wordt toegeschreven. Een professional leest het resultaat en neemt er verantwoordelijkheid voor.
  • Gebruik geen duim omhoog of omlaag bij een chat waarin cliëntwerk aan bod kwam.
  • Bewaar het werkproduct in het cliëntdossier, niet in de geschiedenis van de AI-tool.
  • Verwijder de chat zodra je die niet meer nodig hebt, als de tool dat toestaat.
  • Verwijder de sleutel wanneer de zaak is afgerond, samen met eventuele werkkopieën.

Waar kleine bedrijven meestal de fout ingaan

  • Medewerkers gebruiken een persoonlijk AI-account omdat het al op hun telefoon staat.
  • Een goedbedoelde bijlage: de hele pdf wordt toegevoegd, terwijl één alinea genoeg was.
  • Het AI-antwoord wordt zonder te lezen in een e-mail aan een cliënt geplakt.
  • De sleutel staat in een gedeelde map die met een cloudassistent wordt gesynchroniseerd.
  • Niemand denkt eraan het werk te verwijderen wanneer de zaak is afgerond.

Bij de meeste van deze dingen gaat het om gewoonten, niet om technologie. Verhelp ze met de routine hierboven en één herinnering aan het begin van elke zaak.

Houd een eenvoudige registratie bij

Een korte registratie volstaat: datum, zaak, tool, wat er in algemene termen is verstuurd (niet de inhoud) en wie het heeft gecontroleerd. Als een cliënt of toezichthouder vraagt hoe je AI gebruikt, kun je de registratie raadplegen. ClientSafe houdt zelf een activiteitenlogboek bij van wanneer documenten zijn geanonimiseerd en hoeveel gegevens van elk type zijn vervangen, zonder de persoonsgegevens zelf op te slaan. Je kunt het exporteren als CSV-rapport.

Als er iets misgaat

  1. Noteer precies wat er is verstuurd, wanneer, naar welke tool en vanaf welk account.
  2. Verwijder het gesprek en controleer de gegevensinstellingen van het account.
  3. Breng de verantwoordelijke van het bedrijf dezelfde dag nog op de hoogte.
  4. Controleer of je regels of contracten voorschrijven dat je de cliënt of een toezichthouder moet inlichten, en binnen welke termijn. Sommige regels schrijven dit voor met een deadline.
  5. Pas de routine aan zodat het niet opnieuw gebeurt.

Wacht niet tot je zeker weet dat het ernstig is. Termijnen kunnen ingaan zodra je van het probleem op de hoogte bent.

Een alinea als uitgangspunt voor je beleid

Client work and AI tools. We use only the tools on the approved list, on business
          accounts with training turned off. Before anything goes into an AI tool, identifying
          details are replaced with placeholders and the result is read by the person doing the
          work. The key that links placeholders to names stays on the firm's computers and is
          never pasted into a chat. One client per conversation. A professional checks every
          answer before it is used. Problems are reported to the owner the same day.

Plak dit in het personeelshandboek, verander wat niet past en voeg je eigen regels voor toestemming en bewaartermijnen toe.

Medewerkers en gewoonten

  • Tien minuten tijdens een teamoverleg is beter dan een document dat niemand leest. Laat één echt voorbeeld zien, voor en na.
  • Maak de veilige werkwijze de makkelijke werkwijze. Als medewerkers twintig minuten lang handmatig gegevens moeten vervangen, slaan ze die stap over.
  • Neem het beleid twee keer per jaar door. Tools en voorwaarden veranderen.

Veelgestelde vragen

Is dit een complianceprogramma?

Nee. Het is een reeks gewoonten. Je beroepsregels, contracten en de wet bepalen wat er van je wordt verlangd.

Hebben we dit allemaal nodig voor een bedrijf met twee medewerkers?

De lijst „Voor elke taak” is ongeacht de omvang belangrijk. De rest kan in een alinea in een gedeelde notitie.

Kunnen we AI niet gewoon verbieden?

Dat kan, maar medewerkers gebruiken misschien toch persoonlijke accounts. Een duidelijke, werkbare routine wordt waarschijnlijk beter nageleefd dan een verbod.

ClientSafe helpt bij de stappen „vervangen” en „terugzetten”. Het vervangt de identificerende gegevens op je pc door consistente plaatsaanduidingen en laat zien wat het heeft gevonden, zodat je dit kunt controleren. Daarna zet het de namen terug in het antwoord.

Algemene informatie, geen juridisch advies. Pas dit aan de regels aan die voor jou gelden.