Begin bij het doel en de minimale informatie
Beschrijf wat de AI-toepassing moet helpen doen. Voor het verbeteren van een algemene tekst zijn andere gegevens nodig dan voor het analyseren van een klantdossier. Vraag welke informatie echt nodig is voor die taak. Kun je de werkwijze eerst onderzoeken met een fictief voorbeeld of openbare informatie?
Minder gegevens gebruiken kan de afweging eenvoudiger maken, maar vervangt geen beoordeling van vertrouwelijkheid en bevoegdheid. Alleen een naam verwijderen maakt een document niet automatisch anoniem. Een combinatie van bedragen, functies, locaties of gebeurtenissen kan nog steeds iets over een persoon of organisatie onthullen. De EDPB legt uit waarom pseudonimisering en anonimiseren niet hetzelfde zijn [E2].
Controleer de concrete omgeving
Schrijf op welke dienst, welk account en welk abonnement worden gebruikt. Een persoonlijk account, een zakelijk account en een API-aansluiting kunnen andere voorwaarden hebben. Een API is een manier waarop software gegevens uitwisselt; het woord zegt op zichzelf niets over waar informatie blijft.
Een zakelijke AI-tool kan aanvullende modellen, zoekdiensten of koppelingen gebruiken. Controleer daarom niet alleen de naam op de startpagina, maar ook de onderdelen die voor de bedoelde taak worden ingeschakeld. De afspraken van één onderdeel zijn geen bewijs voor alle andere onderdelen.
Gegevensgebruik bestaat uit verschillende vragen
De documentatie voor zakelijk Microsoft Copilot beschrijft het bewaren van prompts en antwoorden, naast voorwaarden rond modeltraining [M2]. Geen modeltraining betekent dus niet automatisch geen opslag. Controleer ook of zoeken op internet, een aanvullende AI-assistent of een koppeling andere diensten inschakelt. Dit is geen beoordeling van jouw account.
Controleer ook logging: welke informatie wordt bewaard om gebruik of fouten te onderzoeken? Wie kan die informatie zien? Wat kan de beheerder verwijderen of exporteren? Dit artikel kan niet vaststellen hoe jouw account is ingericht. Ontbrekende antwoorden moeten vóór gebruik met de betreffende gegevens worden uitgezocht.
Op een smal scherm kun je de tabel zijwaarts verschuiven. Met een toetsenbord: focus de tabel en gebruik de pijltjestoetsen.
| Onderwerp | Wat je concreet laat bevestigen |
|---|---|
| Training | Welke gegevens worden waarvoor gebruikt volgens de voorwaarden van dit product en account? |
| Opslag en verwerking | Waar staan documenten, prompts en antwoorden; waar worden ze verwerkt; gelden er uitzonderingen? |
| Toegang en derden | Welke medewerkers, leveranciers, gekoppelde diensten en modelaanbieders kunnen gegevens verwerken? |
| Logging en bewaren | Wat wordt bewaard voor gebruik of fouten, welke termijn geldt en wie kan verwijderen? |
| Export en beëindiging | Wat kun je meenemen, wat wordt verwijderd en welke uitzonderingen blijven bestaan? |
Drie fictieve situaties
Openbare producttekst: een medewerker wil een openbare beschrijving korter maken. Controleer of de informatie werkelijk openbaar is, of je haar mag gebruiken en of het concept correct blijft. Voeg niet ongemerkt interne opmerkingen of klantgegevens uit een ander document toe.
Intern omzetoverzicht: een manager wil ontwikkelingen laten samenvatten. Beoordeel wie de cijfers mag inzien, welke details noodzakelijk zijn en welke omgeving voor deze informatie is toegestaan. Een overzicht zonder namen kan nog steeds concurrentiegevoelig zijn. Een bestaand rapport of een geaggregeerd fictief voorbeeld kan eerst voldoende zijn om de aanpak te toetsen.
Klant- of personeelsdossier: hierin kunnen gevoelige of herleidbare gegevens staan. De medewerker kan niet alleen op basis van een zakelijke licentie besluiten dat invoer passend is. Laat de betrokken verantwoordelijke en zo nodig privacy- of beveiligingsdeskundige doel, bevoegdheid en inrichting beoordelen. Dit voorbeeld geeft geen algemene toestemming voor gebruik.
Wat bedoelen leveranciers met binnen of buiten je organisatie?
Geen modeltraining betekent dat gegevens volgens de betreffende voorwaarden niet voor het trainen van modellen worden gebruikt. Het betekent niet automatisch dat niets wordt opgeslagen. Regionale verwerking gaat over locaties; ook binnen die regio kunnen andere organisaties betrokken zijn.
Een eigen cloudomgeving is een omgeving die voor je organisatie wordt ingericht bij een cloudaanbieder. Volledig lokaal draaien is iets anders. Ook bij lokale verwerking blijven toegangsrechten, beheer, logging, updates en menselijke fouten van belang. Behandel deze vier eigenschappen niet als uitwisselbare veiligheidsbeloftes.
Lees voorwaarden voor de gebruikte situatie
De DPA van Lleverage onderscheidt betaalde abonnementen van de testomgeving. De beschreven EU-only-optie voor betaalde plannen vraagt een schriftelijk verzoek en kan functies beperken [L1]. Controleer de werkelijk geldende overeenkomst en ingestelde opties. Deze voorwaarden bewijzen niet dat gegevens binnen je bedrijf blijven of dat dezelfde afspraken voor een test gelden.
Een DPA is een afspraak over verwerking, geen bewijs dat alle instellingen in jouw omgeving correct staan. Controleer welke overeenkomst daadwerkelijk geldt, welke aanvullende leveranciers betrokken zijn en hoe wijzigingen worden gemeld. Een leveranciersvermelding in dit artikel bewijst geen partnership of door Boermans Digital uitgevoerde inrichting.
Wanneer eerst overleggen?
Stop de voorgenomen invoer als herkomst, rechten of voorwaarden onduidelijk zijn. Bespreek eerst welke informatie nodig is, wie gebruik mag toestaan en welke omgeving past. Dat kan betekenen: minder informatie gebruiken, een goedgekeurde bestaande toepassing kiezen of de taak voorlopig zonder AI uitvoeren.
De Europese Commissie beschrijft welke informatie organisaties aan betrokkenen moeten geven over hun verwerking [E1]. Dit artikel is geen juridische beoordeling van jouw toepassing. Vragen over rechtsgrond, contractuele geheimhouding of bijzondere gegevens vragen een beoordeling van de concrete situatie, geen algemeen vinkje.
Maak een korte notitie voor de afweging
Leg vast: doel van de taak, benodigde informatie, gekozen dienst/account, gecontroleerde voorwaarden, open vragen en de verantwoordelijke voor het besluit. Noteer de datum waarop voorwaarden zijn bekeken. Nieuwe modellen of koppelingen kunnen de afweging veranderen.
Deel bij een eerste adviesvraag alleen een beschrijving van de situatie. Stuur geen klantdossiers, personeelsgegevens, wachtwoorden of vertrouwelijke systeemdocumentatie mee. Spreek aanvullend onderzoek afzonderlijk af; een oriënterend gesprek is geen volledige privacy- of beveiligingsaudit.
Veelgestelde vragen
- Is geen modeltraining hetzelfde als geen opslag?
- Nee. Training, opslag en logging zijn verschillende vormen van gegevensgebruik. Controleer de afspraken voor elk onderdeel.
- Blijft alles intern bij een zakelijke AI-tool?
- Dat kun je niet algemeen zeggen. Leverancier, account, inrichting en aanvullende diensten bepalen welke verwerking plaatsvindt.
- Mag ik een document gebruiken als ik de namen verwijder?
- Niet automatisch. Ook zonder namen kan informatie vertrouwelijk of herleidbaar zijn. Laat de concrete situatie beoordelen.
Bronnen en voorwaarden
Officiële documentatie gecontroleerd op 12 oktober 2026. Mogelijkheden en voorwaarden hangen af van product, account, abonnement en inrichting. Er is geen klantaccount of overeenkomst getest.
Bespreek je vraag
Alle oriënterende gesprekken zijn kosteloos en vrijblijvend. Het eerste gesprek duurt ongeveer 30 minuten. Verder werk volgt na afzonderlijke afspraken over aanpak en kosten. Een aanvraag is nog geen bevestigde afspraak.
Bespreek je vraag