Je gebruikt ChatGPT, Copilot of Gemini voor je werk en vraagt je af of je werkgever dat kan zien. Aan de andere kant van de tafel klinkt dezelfde vraag, andersom: wie gebruikt wat, en met welke gegevens? Dat is een logische vraag, want de organisatie blijft aansprakelijk voor wat er met persoonsgegevens gebeurt. Maar controle op de werkvloer is aan regels gebonden. De AVG bepaalt niet of je AI mag controleren, maar wel hoe.
Het korte antwoord: ja, maar binnen kaders
Een werkgever mag controleren of medewerkers AI-tools gebruiken. De AVG verbiedt dat niet. Wat de AVG wel doet, is drie eisen stellen aan elke vorm van controle:
- Een gerechtvaardigd doel. Controle "voor de zekerheid" is geen doel. Voorkomen dat klant- of patiëntgegevens in een onbeveiligde tool belanden, is dat wel.
- Proportionaliteit en noodzaak. De controle mag niet verder gaan dan nodig is voor dat doel. Is er een minder ingrijpend middel, dan heeft dat voorrang.
- Transparantie vooraf. Medewerkers moeten weten dat er gecontroleerd wordt, waarop en waarom. Dat hoort thuis in een AI-beleid of personeelsreglement, niet in de kleine lettertjes achteraf.
Heimelijk meekijken in chats, schermopnames of toetsaanslagen registreren zonder dat iemand het weet: dat is bijna altijd onrechtmatig. Alleen bij een concrete verdenking van een ernstige misstand, en als er geen lichter alternatief is, kan heimelijke controle bij hoge uitzondering verdedigbaar zijn.
Waarom een werkgever überhaupt wil controleren
De aanleiding is meestal niet wantrouwen, maar aansprakelijkheid. De Autoriteit Persoonsgegevens waarschuwt dat er steeds meer datalekken ontstaan doordat medewerkers persoonsgegevens in AI-chatbots plakken. Als dat gebeurt, ligt de verantwoordelijkheid bij de organisatie, niet bij de individuele medewerker. Je kunt als werkgever dus niet achteraf zeggen dat iemand iets op eigen houtje deed.
Daar komt de AVG voor medewerker-AI bij kijken: een organisatie moet weten welke tools in gebruik zijn, of de leverancier een verwerkersovereenkomst heeft, en of medewerkers weten wat ze wel en niet mogen delen. Een vorm van zicht op het gebruik is daarvoor soms noodzakelijk. Maar zicht is iets anders dan meelezen.
Wat mag wel, en wat niet
Mag doorgaans wel:
- Bijhouden welke AI-tools zakelijk zijn goedgekeurd en wie een licentie heeft.
- Op geaggregeerd niveau zien hoe vaak goedgekeurde tools worden gebruikt.
- Signaleren wanneer gevoelige gegevens in een prompt dreigen te belanden, zonder de volledige chat te bewaren.
- Blokkeren of waarschuwen bij niet-goedgekeurde tools, als dat vooraf is gecommuniceerd.
Mag doorgaans niet:
- Standaard de inhoud van persoonlijke chats meelezen.
- Toetsaanslagen of schermen continu opnemen "om te zien wat mensen doen".
- Controle inzetten als verkapte beoordeling van iemands functioneren.
- Gegevens langer bewaren dan nodig is voor het controledoel.
De grens zit bij de hoeveelheid en de herleidbaarheid van de gegevens die je verzamelt. Hoe meer je over een individu vastlegt, hoe zwaarder de rechtvaardiging moet zijn.
De eerste twee punten die "doorgaans wel" mogen, bijhouden welke tools zijn goedgekeurd en geaggregeerd gebruik zien, zijn precies waar de Shadow AI-catalogus van BeeSensible voor is gebouwd: elke tool beoordeeld op risico, gebruik geteld per tool in plaats van per persoon, en elke tool start op "nog geen besluit" totdat de organisatie er zelf een neemt.
