Een hypotheekadviseur heeft om vijf uur nog drie gespreksverslagen uit te werken. Ze plakt haar aantekeningen van het intakegesprek in ChatGPT en vraagt om een net verslag voor het dossier. In die aantekeningen staan de naam van de klant, haar geboortedatum, het gezinsinkomen, twee IBAN's en de opmerking dat haar partner sinds vorig jaar arbeidsongeschikt is.
Aan de taak lag het niet: van losse aantekeningen een leesbaar verslag maken is precies waar zo'n tool goed in is. De gegevens hadden er niet in gehoeven. Dat is het antwoord in één zin: de taak mag meestal wel in een AI-tool die je kantoor daarvoor heeft toegestaan, maar de klant hoort er niet herkenbaar in te staan. Wat er dan precies uit moet, hangt af van wat je de tool vraagt.
Waarom telt dit in de financiële dienstverlening zwaarder?
Omdat de tekst die je op een gewone dag onder handen hebt bijna altijd over een klant gaat, en omdat die klant je heeft verteld wat hij aan weinig anderen vertelt. Een inkomen, een schuld, een rekeningnummer, de reden waarom een hypotheek toch niet rondkomt. Bij een arbeidsongeschiktheids- of schadedossier komt daar medische informatie bij. Die openheid is de basis van het vak, en juist die staat in een prompt op het spel.
De Autoriteit Persoonsgegevens ontving meerdere datalekmeldingen waarbij medewerkers persoonsgegevens in een AI-chatbot hadden gezet, en adviseert organisaties duidelijke afspraken te maken over de vraag of het mag, en met welke gegevens. Voor een kantoor onder toezicht van de AFM komt daar de vraag bij of het zorgvuldig met klantgegevens omgaat, want dat hoort bij een beheerste bedrijfsvoering. Wat dat voor een kantoor betekent, staat in ons artikel over AI bij financiële dienstverleners.
Het punt is niet dat jij het risico bent. Je gebruikt de tool omdat het verslag er sneller en beter van wordt. De vraag is alleen wat er mee de tool in gaat.
Welk ChatGPT gebruik je eigenlijk?
Er is niet één ChatGPT. Een gratis of persoonlijk account draait onder consumentenvoorwaarden: de invoer kan worden gebruikt om het model te verbeteren, tenzij je dat zelf uitzet, en je kantoor heeft er geen verwerkersovereenkomst mee. OpenAI schrijft op zijn pagina over zakelijk gebruik dat de zakelijke omgevingen invoer standaard niet voor training gebruiken. Dat is een ander product met andere afspraken, ook al ziet het scherm er hetzelfde uit. Het verschil staat uitgebreider in gratis versus zakelijk AI-account. Of ChatGPT überhaupt veilig is voor werk met klantgegevens, lees je in ons artikel over de privacyrisico's van ChatGPT.
Een gespreksverslag met een IBAN in een persoonlijk account is daarmee een datalek, ook als je het gesprek daarna meteen wist. Welke variant je mag gebruiken, is een besluit van je kantoor. Veel kantoren hebben Copilot toegestaan en over ChatGPT nog niets besloten. "Nog geen besluit" betekent niet dat het mag; het betekent dat niemand er nog naar heeft gekeken. Zolang dat zo is, hoort er in elk geval geen tekst met klantgegevens in.
Bij kantoren die met BeeSensible werken, verschijnt het besluit in de browser op het moment dat je een AI-tool opent: toegestaan, beperkt toegestaan met een voorwaarde, nog geen besluit of niet toegestaan, met het alternatief erbij. Meestal kun je daarna gewoon verder; alleen bij een tool die niet is toegestaan kan je kantoor hebben ingesteld dat je niet verder kunt.
