ChatGPTEen hypotheekadviseur plakt na een intakegesprek het verslag in ChatGPT en vraagt om een samenvatting voor het dossier. In dat verslag staan de naam van de klant, haar BSN, het gezinsinkomen en twee rekeningnummers. Diezelfde middag vraagt een schadebehandelaar drie deuren verderop aan een chatbot om een nette afwijsbrief, met de medische details uit de claim er nog in. Beide antwoorden staan er in seconden. De gegevens zijn dan al het kantoor uit.
Klanten delen hun financiële situatie omdat ze ervan uitgaan dat die binnen het kantoor blijft. Dat vertrouwen is de kern van het vak, en het is precies wat er in zo'n prompt op het spel staat. Daar hoort de vraag bij die elk kantoor onder toezicht vroeg of laat krijgt: kun je laten zien dat je dit onder controle hebt?
Weinig sectoren stapelen zoveel gevoelige gegevens
Een gemiddeld adviesdossier bevat meer gevoelige gegevens dan de administratie van menig ander bedrijf bij elkaar. BSN's en legitimatiebewijzen. Rekeningnummers en transactieoverzichten. Inkomens- en belastinggegevens, hypotheek- en taxatie-informatie, polis- en pensioengegevens. Bij schadebehandeling komt daar medische informatie bij, bij Wwft-dossiers de UBO's van zakelijke klanten, bij accountancy de loonstroken en jaarrekeningen.
AI maakt het werk met die dossiers sneller. Een samenvatting van een klantgesprek, een eerste opzet voor een advies, een nette reactie op een klacht: het staat er in seconden. Dezelfde snelheid maakt het werk kwetsbaarder, want wat in een prompt staat, is het kantoor al uit voordat iemand erover nadacht.
Hoe vaak dat gebeurt, is inmiddels onderzocht. Uit een wereldwijd onderzoek van KPMG en de University of Melbourne onder 48.000 werkenden in 47 landen (Trust, Attitudes and Use of AI, 2025) blijkt dat 58 procent AI bewust voor het werk gebruikt, dat 48 procent weleens gevoelige bedrijfsgegevens in publieke AI-tools zet en dat 57 procent het AI-gebruik verborgen houdt voor de werkgever. Vertaal dat naar een kantoor met tien medewerkers: bijna de helft heeft weleens gevoelige gegevens in een publieke tool gezet, en meer dan de helft vertelt je er niets over.
Niemand bedoelt het, het gebeurt in de haast
Het probleem zit zelden in kwade wil. Het zit in een adviseur die tussen twee afspraken door snel een verslag wil uitwerken en de herleidbare gegevens niet eerst weghaalt. Gebeurt dat in een gratis AI-tool zonder verwerkersovereenkomst, dan is het een datalek. Ook als het per ongeluk ging. Wat zo'n overeenkomst regelt en waarom de gratis varianten er zelden een hebben, staat in ons artikel over verwerkersovereenkomsten en AI-tools.
De reflex is dan een verbod. Dat voelt veilig, maar verplaatst het gebruik naar privélaptops en telefoons, waar geen enkel zicht meer is. Zo ontstaat shadow AI, juist op de plek waar de gegevens het gevoeligst zijn. Training helpt, alleen: mensen weten het wel, en vergeten het op drukke momenten. Wat overblijft is een beleid op papier, zonder zicht op de tools die in gebruik zijn en zonder bewijs voor een audit.
Er is hulp nodig op het moment zelf, in het tekstveld, terwijl er getypt wordt. En er is zicht nodig op wat er op kantoor eigenlijk draait. Je hebt ze allebei nodig.
Eerst zicht: welke AI draait er op kantoor
Voordat je iets aan gedrag kunt doen, moet je weten wat er gebruikt wordt. Naast ChatGPT duiken op een advieskantoor al snel AI-notulisten, transcriptietools en slimme boekhoudkoppelingen op die niemand ooit heeft goedgekeurd.
Het BeeSensible-dashboard toont welke AI-tools in gebruik zijn en hoe vaak, beoordeeld tegen een catalogus van 865 tools, elk met een risicoscore. Jij besluit per tool wat is toegestaan. BeeSensible besluit nooit voor je, en toont nooit wie een tool gebruikt. Opent iemand een tool die niet is goedgekeurd, dan verschijnt een vriendelijke melding die naar het goedgekeurde alternatief wijst. Nooit blokkerend, doorgaan kan altijd.
