Een hypotheekadviseur heeft om vijf uur nog drie gespreksverslagen uit te werken. Ze plakt haar aantekeningen van het intakegesprek in ChatGPT en vraagt om een net verslag voor het dossier. In die aantekeningen staan de naam van de klant, haar geboortedatum, het gezinsinkomen, twee IBAN's en de opmerking dat haar partner sinds vorig jaar arbeidsongeschikt is.
De taak was goed: van losse aantekeningen een leesbaar verslag maken is precies waar zo'n tool goed in is. De gegevens hadden er niet in gehoeven. Dat is het antwoord in één zin: de taak mag meestal wel in een AI-tool die je kantoor daarvoor heeft toegestaan, de klant hoort er niet herkenbaar in. Wat er dan precies uit moet, hangt af van wat je de tool vraagt.
Waarom telt dit in de financiële dienstverlening zwaarder?
Omdat de tekst die je op een gewone dag onder handen hebt bijna altijd over een klant gaat, en omdat die klant je heeft verteld wat hij aan weinig anderen vertelt. Een inkomen, een schuld, een rekeningnummer, de reden waarom een hypotheek toch niet rondkomt. Bij een arbeidsongeschiktheids- of schadedossier komt daar medische informatie bij. Die openheid is de basis van het vak, en het is precies wat er in een prompt op het spel staat.
De Autoriteit Persoonsgegevens ontving meerdere datalekmeldingen waarbij medewerkers persoonsgegevens in een AI-chatbot hadden gezet, en adviseert organisaties duidelijke afspraken te maken over of het mag en met welke gegevens. Voor een kantoor onder toezicht van de AFM komt daar de vraag bij of het zorgvuldig met klantgegevens omgaat, want dat hoort bij een beheerste bedrijfsvoering. Wat dat voor een kantoor betekent, staat in AI bij financiële dienstverleners.
Dit gaat niet over jou als risico. Je gebruikt de tool omdat het verslag er sneller en beter van wordt. De vraag is alleen wat er mee de tool in gaat.
Welk ChatGPT gebruik je eigenlijk?
Er is niet één ChatGPT. Een gratis of persoonlijk account draait onder consumentenvoorwaarden: de invoer kan worden gebruikt om het model te verbeteren, tenzij je dat zelf uitzet, en je kantoor heeft er geen verwerkersovereenkomst mee. OpenAI schrijft op zijn pagina over zakelijk gebruik dat de zakelijke omgevingen invoer standaard niet voor training gebruiken. Dat is een ander product met andere afspraken, ook al ziet het scherm er hetzelfde uit. Het verschil staat uitgebreider in gratis versus zakelijk AI-account.
Een gespreksverslag met een IBAN in een persoonlijk account is daarmee een datalek, ook als je het gesprek daarna meteen wist. Welke variant je mag gebruiken, is een besluit van je kantoor. Veel kantoren hebben Copilot toegestaan en over ChatGPT nog niets besloten. "Nog geen besluit" betekent niet dat het mag; het betekent dat niemand er nog naar heeft gekeken. Zolang dat zo is, hoort er in elk geval geen tekst met klantgegevens in.
Bij kantoren die met BeeSensible werken, verschijnt het besluit in de browser op het moment dat je een AI-tool opent: toegestaan, beperkt toegestaan met een voorwaarde, nog geen besluit, of niet toegestaan met het alternatief erbij. Het houdt je niet tegen; het laat zien wat er is besloten.
