Een werkgever mag controleren of medewerkers AI gebruiken, maar niet zomaar. De AVG stelt eisen aan doel, evenredigheid en openheid, en de OR praat mee.
Snel antwoord
Ja, een werkgever mag controleren of medewerkers AI-tools gebruiken, maar de AVG stelt voorwaarden. De controle moet een duidelijk en gerechtvaardigd doel hebben, niet verder gaan dan nodig en vooraf duidelijk zijn voor medewerkers. Heimelijk chats meelezen of toetsaanslagen vastleggen is bijna nooit toegestaan. Bij systematische monitoring is meestal een DPIA nodig en heeft de ondernemingsraad instemmingsrecht. Werknemers houden hun rechten: inzage in hun gegevens, bezwaar en het recht om niet te worden onderworpen aan een uitsluitend geautomatiseerd besluit met grote gevolgen.
01
Controle mag, maar alleen met een gerechtvaardigd doel en niet verder dan nodig
02
Transparantie vooraf is verplicht: heimelijke monitoring is bijna altijd onrechtmatig
03
Bij systematische monitoring is meestal een DPIA nodig en heeft de OR instemmingsrecht
04
De werkgever blijft verwerkingsverantwoordelijke voor wat er met AI-tools gebeurt
05
Werknemers houden recht op inzage, op bezwaar en op menselijke tussenkomst bij ingrijpende besluiten
Je gebruikt ChatGPT, Copilot of Gemini voor je werk en vraagt je af of je werkgever dat kan zien. Aan de andere kant van de tafel klinkt dezelfde vraag, andersom: wie gebruikt wat, en met welke gegevens? Dat is een logische vraag, want de organisatie blijft aansprakelijk voor wat er met persoonsgegevens gebeurt. Maar controle op het werk is aan regels gebonden. De AVG bepaalt niet of je AI-gebruik mag controleren, maar wel hoe. Wat je werkgever in de praktijk kan zien, lees je in ons artikel over wat werkgevers in ChatGPT en andere AI-tools kunnen zien.
Een werkgever mag controleren of medewerkers AI-tools gebruiken. De AVG verbiedt dat niet. Wat de AVG wel doet, is drie eisen stellen aan elke vorm van controle:
Een gerechtvaardigd doel. Controle "voor de zekerheid" is geen doel. Voorkomen dat klant- of patiëntgegevens in een onbeveiligde tool belanden, is dat wel.
Proportionaliteit en noodzaak. De controle mag niet verder gaan dan nodig is voor dat doel. Is er een minder ingrijpend middel, dan heeft dat voorrang.
Transparantie vooraf. Medewerkers moeten weten dat er gecontroleerd wordt, waarop en waarom. Dat hoort thuis in een AI-beleid of personeelsreglement, niet in de kleine lettertjes achteraf.
Heimelijk chats meelezen, schermopnames maken of toetsaanslagen registreren zonder dat iemand het weet, is bijna altijd onrechtmatig. Alleen bij een concrete verdenking van een ernstige misstand, en als er geen lichter alternatief is, kan heimelijke controle bij hoge uitzondering verdedigbaar zijn.
De aanleiding is meestal niet wantrouwen, maar aansprakelijkheid. De Autoriteit Persoonsgegevens waarschuwt dat er steeds meer datalekken ontstaan doordat medewerkers persoonsgegevens in AI-chatbots plakken. Als dat gebeurt, ligt de verantwoordelijkheid bij de organisatie, niet bij de individuele medewerker. Je kunt als werkgever dus niet achteraf zeggen dat iemand iets op eigen houtje deed.
Hier speelt ook de AVG bij AI-tools voor medewerkers mee: een organisatie moet weten welke tools in gebruik zijn, of de leverancier een verwerkersovereenkomst heeft, en of medewerkers weten wat ze wel en niet mogen delen. Een vorm van zicht op het gebruik is daarvoor soms noodzakelijk. Maar zicht is iets anders dan meelezen.
Bijhouden welke AI-tools zakelijk zijn goedgekeurd en wie een licentie heeft.
Op geaggregeerd niveau zien hoe vaak goedgekeurde tools worden gebruikt.
Signaleren wanneer gevoelige gegevens in een prompt dreigen te belanden, zonder de volledige chat te bewaren.
Blokkeren of waarschuwen bij niet-goedgekeurde tools, als dat vooraf is gecommuniceerd.
Mag doorgaans niet:
Standaard de inhoud van persoonlijke chats meelezen.
Toetsaanslagen of schermen continu opnemen "om te zien wat mensen doen".
Controle inzetten als verkapte beoordeling van iemands functioneren.
Gegevens langer bewaren dan nodig is voor het controledoel.
De grens zit bij de hoeveelheid en de herleidbaarheid van de gegevens die je verzamelt. Hoe meer je over een individu vastlegt, hoe zwaarder de rechtvaardiging moet zijn.
De eerste twee punten die doorgaans wel mogen (bijhouden welke tools zijn goedgekeurd en geaggregeerd gebruik zien), zijn precies waarvoor de catalogus en het AI-register van BeeSensible zijn gebouwd: elke tool beoordeeld op risico, gebruik geteld per tool in plaats van per persoon, en elke tool op "Nog geen besluit" tot de organisatie er zelf een neemt.
AI-register
ToegestaanIn beoordelingNiet toegestaanAlle tools
Zoek op tool, leverancier, domein of oude naam…
1.012 tools
🇨🇳
DeepSeek
Kritiek · 90/100
Niet toegestaan
🇺🇸
Otter.aiNieuw
Hoog · 68/100
Nog geen besluit
🇺🇸
Grok
Hoog · 67/100
Niet toegestaan
🇺🇸
ChatGPT
Hoog · 62/100
Toegestaan
🇺🇸
Perplexity
Middel · 55/100
Nog geen besluit
🇺🇸
HeyGen
Middel · 53/100
Nog geen besluit
Elke tool, beoordeeld op risico
Meer dan 1.000 AI-tools, elk met een risiconiveau van Laag tot Kritiek. Niets is vooraf goedgekeurd of geblokkeerd: dat gebeurt pas als iemand een besluit neemt.
Wat veel werkgevers over het hoofd zien: het invoeren of wijzigen van een systeem dat gericht is op het controleren of monitoren van medewerkers valt onder het instemmingsrecht van de ondernemingsraad (Wet op de ondernemingsraden, artikel 27). Een tool die AI-gebruik monitort, hoort daar al snel bij. Zonder instemming van de OR kan de invoering ongeldig zijn.
Zodra de regels voor systemen met een hoog risico gelden (na de Digital Omnibus vanaf 2 december 2027), komt er onder de AI-verordening ook een aparte plicht bij: zet een werkgever een AI-systeem met een hoog risico op het werk in, dan moeten werknemersvertegenwoordigers en de betrokken werknemers daar vooraf over worden geïnformeerd.
Bij systematische monitoring van medewerkers is een Data Protection Impact Assessment (DPIA) doorgaans verplicht. Dat is een privacyonderzoek vooraf waarin de organisatie de risico's voor medewerkers in kaart brengt en afweegt of de controle proportioneel is. De uitkomst kan zijn dat een lichtere maatregel volstaat. Een DPIA is dus geen formaliteit, maar het moment waarop je toetst of de controle die je wilt, eigenlijk wel mag.
Ook als er rechtmatig wordt gecontroleerd, houd je je rechten onder de AVG:
Recht op inzage. Je mag weten welke gegevens over jou worden verwerkt en waarvoor.
Recht op rectificatie. Je kunt onjuiste gegevens laten corrigeren.
Recht van bezwaar. Tegen bepaalde verwerkingen kun je bezwaar maken.
Recht op menselijke tussenkomst. Op grond van artikel 22 AVG mag een besluit met grote gevolgen voor jou, zoals een beoordeling of een sanctie, niet uitsluitend door een algoritme worden genomen.
Controle achteraf lost het kernprobleem niet op. Op het moment dat een werkgever ziet dat er klantgegevens in een chatbot zijn geplakt, is dat al gebeurd. En streng blokkeren werkt vaak averechts: mensen wijken uit naar hun telefoon, waarmee shadow AI ontstaat.
Het werkt beter om het risico zichtbaar te maken op het moment dat het ontstaat: in het tekstveld, voordat iemand verzendt. BeeSensible markeert gevoelige gegevens terwijl je typt in AI-tools in de browser, zodat je ze kunt maskeren of verwijderen voordat je op Enter drukt. Voor de werkgever betekent dat zicht op risico's zonder de inhoud van persoonlijke chats te hoeven meelezen. Dat is de balans die de AVG vraagt: het doel halen met het minst ingrijpende middel.
Zoek op wat je AI-beleid over controle zegt, voordat je je afvraagt wat je werkgever ziet. Staat er niets, dan is dat de vraag voor je OR of privacyfunctionaris: welke controle komt er, waarop en waarom?
Mag mijn werkgever zien welke AI-tools ik gebruik?
Een werkgever mag controleren of en welke AI-tools worden gebruikt, mits daar een gerechtvaardigd doel voor is, de controle proportioneel is en medewerkers vooraf zijn geïnformeerd. Een algemene vermelding in een AI-beleid of personeelsreglement hoort daarbij. Of je werkgever ook kan lezen wat je typt, is een andere vraag. Die beantwoorden we per tool in het artikel over de vraag of je werkgever kan zien wat je in ChatGPT doet.
Mag een werkgever heimelijk mijn AI-chats meelezen?
Vrijwel nooit. Heimelijke monitoring is alleen bij hoge uitzondering toegestaan, bijvoorbeeld bij een concrete verdenking van een ernstige misstand en als er geen minder ingrijpend middel is. Standaard meelezen zonder dat medewerkers het weten is onrechtmatig onder de AVG.
Heeft de ondernemingsraad iets te zeggen over AI-monitoring?
Ja. Voor het invoeren of wijzigen van een systeem dat gericht is op controle of monitoring van medewerkers heeft de ondernemingsraad instemmingsrecht op grond van de Wet op de ondernemingsraden. Zonder die instemming kan invoering ongeldig zijn.
Wie is verantwoordelijk als ik per ongeluk gegevens lek via een AI-tool?
De organisatie blijft verwerkingsverantwoordelijke onder de AVG, ook als een medewerker op eigen initiatief een AI-tool gebruikte. Daarom is een combinatie van beleid, uitleg en preventie aan de voorkant belangrijker dan controle achteraf.
Mag AI mijn functioneren beoordelen?
AI mag ondersteunen, maar je hebt op grond van artikel 22 AVG recht om niet onderworpen te worden aan een uitsluitend geautomatiseerd besluit met rechtsgevolgen of vergelijkbare grote gevolgen. Bij een beoordeling met gevolgen voor je werk moet een mens betrokken zijn.
Ik geef je graag een rondleiding van twintig minuten. Laat je gegevens achter, dan zoek ik een moment dat jou uitkomt. Bellen of mailen mag natuurlijk ook.
