Datalekken door AI

Wat is een AI-datalek?

Bij een AI-datalek komen persoonsgegevens of vertrouwelijke informatie in een AI-tool terecht, of komen ze er weer uit, zonder dat de organisatie daarmee heeft ingestemd: een geplakte klantmail, een geüpload bestand, een assistent met toegang tot een mailbox of schijf. Vanaf dat moment worden de gegevens bewaard of verwerkt buiten je zicht.

Het verschil met een klassiek datalek. Een klassiek datalek begint meestal bij een aanvaller of een vergissing: een hack, een verloren laptop, een mail naar de verkeerde ontvanger. Een AI-datalek begint meestal bij iemand die gewoon zijn werk doet, en de ontvanger is een dienst die de organisatie nooit heeft beoordeeld. Juridisch kan het op hetzelfde neerkomen. Komen persoonsgegevens bij een partij die ze niet hoort te hebben, dan is het onder de AVG een datalek.

Het verschil met shadow AI. Shadow AI is AI-gebruik waarover de organisatie nog geen besluit heeft genomen. Veel datalekken door AI ontstaan daar, maar het is niet hetzelfde. Een goedgekeurde Copilot kan een te breed gedeeld bestand opdiepen, en een niet-goedgekeurde tool waarin geen persoonsgegevens of vertrouwelijke informatie belanden, lekt niets.

Nog één onderscheid, omdat zoekresultaten ze door elkaar halen. In machine learning betekent "data leakage" dat informatie uit de testdata in de trainingsdata belandt, waardoor een model in tests beter lijkt dan het is. Dat is een fout in het model, geen privacyprobleem, en daar gaat deze pagina niet over.

Hoe gegevens in AI-tools terechtkomen

Er zijn zes routes waarlangs gegevens in een AI-tool belanden. Alleen bij de eerste zet iemand ze er zelf in. De andere lopen via instellingen, rechten en functies waar niemand meer naar kijkt, en die gelden voor elke chat en elke gebruiker tegelijk.

Voorbeelden: echte AI-datalekken

Deze gevallen zijn allemaal vastgelegd door de betrokken organisatie, een toezichthouder of een gerenommeerd nieuwsmedium. De bron staat er steeds bij.

Eind 2025 zei de AP tegen het FD dat er dat jaar al tientallen meldingen waren binnengekomen van incidenten waarbij gevoelige informatie via publieke AI-tools werd gedeeld (Binnenlands Bestuur, 30 december 2025). Meldingen aan de AP zijn niet openbaar, dus de gevallen hierboven zijn alleen de gevallen die naar buiten kwamen.

Is het een datalek? Gevolgen en meldplicht

De AP trekt een duidelijke grens. Gebruiken medewerkers een chatbot op eigen initiatief en tegen de afspraken met de werkgever in, en voeren ze daarbij persoonsgegevens in, dan is dat een datalek. Hoort het gebruik van de chatbot bij het beleid van de organisatie, dan is het geen datalek, maar vaak ook niet wettelijk toegestaan. Organisaties moeten allebei voorkomen. Gaat het toch mis, dan is een melding aan de AP en aan de slachtoffers "in veel gevallen verplicht" (AP, 6 augustus 2024).

De regels zelf staan in artikel 33 en 34 van de AVG:

• Meld het datalek binnen 72 uur bij de AP nadat je het hebt ontdekt, tenzij het waarschijnlijk geen risico oplevert voor de mensen om wie het gaat (artikel 33). Heb je nog niet alle feiten, dan mag je ze later aanvullen.
• Informeer de betrokkenen zonder onnodige vertraging als het risico voor hen waarschijnlijk hoog is, bijvoorbeeld bij medische gegevens of gegevens van kinderen (artikel 34).
• Leg elk datalek vast in je interne datalekregister, ook de lekken die je niet meldt, met de feiten, de gevolgen en de maatregelen die je hebt genomen (AP).

Of een bepaald lek gemeld moet worden, hangt af van het soort gegevens, de hoeveelheid, hoe makkelijk mensen te herkennen zijn en wie de gegevens kreeg. De AP legt die afweging uit op Datalek: wel of niet melden en raadt aan om bij twijfel te melden. Wie een meldplichtig datalek niet meldt, kan een boete krijgen.

Bij AI-tools is de omvang het lastigst vast te stellen. Vaak zie je niet wat er is ingevoerd, hoe lang de aanbieder het bewaart en wie het kon lezen. Eindhoven kon niet vaststellen hoeveel bestanden er weg waren, en vroeg OpenAI om ze te verwijderen. In juni 2026 liet de gemeente aan Nieuwsuur weten dat OpenAI dat nog niet had bevestigd (NOS via Omroep Brabant). Leg die onzekerheid vast in de melding en het register, en wacht niet op zekerheid die misschien nooit komt: de 72 uur lopen vanaf het moment dat je van het lek weet.

Ben je de FG of privacy officer die deze afweging moet maken, kijk dan ook naar AI-gebruik en persoonsgegevens in beeld voor de FG.

Hoe weet je of er al gegevens zijn gelekt?

Meestal meldt niemand het. Iemand plakte maanden geleden een klantdossier in een chatbot en is het allang vergeten. Je kunt op vier plekken zoeken.

• Netwerkverkeer. Proxy-, DNS- of firewalllogs laten zien welke AI-diensten vanaf werkapparaten worden bezocht, en hoe vaak. Eindhoven ontdekte zijn lek via onderzoek naar extern dataverkeer en een steekproef.
• Zakelijke accounts die je beheert. Interacties met Copilot zijn te doorzoeken met Microsoft Purview, Gemini-chats op Workspace-accounts met Google Vault, en ChatGPT Enterprise heeft een Compliance API. Wat een beheerder kan zien, verschilt per tool en abonnement; kan een beheerder AI-chats lezen? zet het op een rij.
• Gedeelde links, extensies en koppelingen. Zoek naar chats die via een openbare link zijn gedeeld, browserextensies met toegang tot alle websites en assistenten die aan mail of schijven gekoppeld zijn. Die blijven gegevens doorgeven, ook als niemand nog weet wie ze heeft ingesteld.
• Mensen. Privéaccounts vallen buiten je bereik: je ziet niet wat een collega in zijn eigen ChatGPT heeft getypt. Vraag het, en maak het veilig om eerlijk te antwoorden.

Je vindt niet alles terug. Aanbieders wissen gegevens na hun bewaartermijn, en een oud gesprek bestaat misschien nergens meer waar jij bij kunt. Schrijf op wat je hebt gecontroleerd en wat niet. Blijkt het een datalek, dan hoort dat verslag in het register.

Hoe voorkom je datalekken bij gebruik van AI?

Een verbod verplaatst het probleem naar telefoons en privéaccounts, waar je helemaal niets meer ziet (waarom AI blokkeren shadow AI oplevert). Wat wel werkt, is een reeks gewone maatregelen, elk gericht op een van de routes hierboven.

1. Breng in kaart welke AI-tools er gebruikt worden, ook privéaccounts, browserextensies en AI-functies in tools die je al hebt.
2. Neem per tool een besluit: toegestaan, beperkt toegestaan of niet toegestaan, en leg in een AI-register vast waarom.
3. Bied een zakelijk account aan voor het werk dat mensen al met AI doen. Bij zakelijke abonnementen traint de aanbieder standaard niet op je gegevens en krijg je een verwerkersovereenkomst (gratis of zakelijk account).
4. Schrijf op wat nooit in een prompt mag: klant- en patiëntgegevens, BSN's, inloggegevens en alles wat onder het beroepsgeheim valt. Eén pagina is genoeg (voorbeeld van een AI-beleid).
5. Geef voorrang aan de teams die het meest met echte gegevens werken: support, HR, financiën en juridische zaken hebben elke dag gegevens van klanten en medewerkers onder handen.
6. Ruim deelrechten op voordat je Copilot aanzet, of een andere assistent die in je bestanden zoekt (Copilot en SharePoint).
7. Geef agents en MCP-koppelingen een eigen account, met alleen de rechten die de taak nodig heeft en tokens die verlopen (waarom een agent rechten nodig heeft).
8. Haal persoonsgegevens uit de tekst of maskeer ze voordat ze in een prompt gaan, bijvoorbeeld door een naam te vervangen door [NAAM1]. De gids voor promptredactie laat drie manieren zien.
9. Spreek af wat er gebeurt als het misgaat: wie een lek beoordeelt, wie het binnen 72 uur meldt en waar het wordt vastgelegd. Zeg erbij dat een snelle melding meer waard is dan een perfecte.

BeeSensible helpt bij de eerste stap en bij het maskeren. Het laat zien welke AI-tools in de organisatie worden gebruikt, en gevoelige gegevens krijgen een markering terwijl je typt in een AI-tool, e-mail of chat, zodat je ze kunt maskeren of verwijderen voordat de tekst weggaat. De organisatie kan ook instellen dat er automatisch wordt gemaskeerd bij plakken of verzenden. De detectie draait in werkgeheugen en de gecontroleerde tekst wordt direct gewist. Zo werkt het.