AP waarschuwt voor gratis AI-chatbots na tientallen meldingen datalekken

De Autoriteit Persoonsgegevens heeft in 2025 tientallen datalekmeldingen ontvangen die zijn veroorzaakt door het gebruik van AI-chatbots binnen bedrijven. De toezichthouder stelt dat het aantal meldingen dit jaar is toegenomen en waarschuwt bedrijven voor het gebruik van gratis varianten van chatbots.

De toezichthouder deelt geen concrete cijfers met Het Financieele Dagblad, maar bevestigt wel zowel dit jaar als vorig jaar tientallen meldingen van datalekken te hebben ontvangen. Het aantal ligt dit jaar hoger dan vorig jaar. Vermoedelijk gaat het voornamelijk om werknemers die de gratis variant van een chatbot gebruiken, terwijl de werkgever een contract heeft voor een betaalde dienst. Bij die betaalde diensten zijn er namelijk afspraken gemaakt over hoe er met de gegevens moet worden omgegaan, afspraken die niet gelden bij de gratis versies.

Het FD vroeg de AP naar de cijfers naar aanleiding van een recent incident bij de gemeente Eindhoven. Medewerkers van de gemeente voerden eerder dit jaar duizenden bestanden met persoonsgegevens in bij chatbots zoals ChatGPT. Onder meer Jeugdwet-documenten, reflectieverslagen en cv's van sollicitanten werden naar deze AI-diensten gestuurd. Inmiddels hebben medewerkers geen toegang meer tot openbare AI-websites.

Reacties (108)

[Olympus user]

AI is toch geen datalek, dat is hun voedsel en bestaansrecht.
Hopelijk gaat die hype snel voorbij en worden de hardware prijzen weer een stuk lager.

[himlims_]

het is een data lek wanneer jij bedrijfsdocumenten over de muur flikkert - een dom lek dat wel

[Blokker_1999]

En je wil niet weten hoe vaak het gebeurt, en de excuses die mensen dan aanbrengen zijn om te lachen. We hebben als bedrijf policies, je kan met reden niet zomaar overal aan. Je moet moeite doen om die informatie te verplaatsen naar een persoonlijk apparaat om van daaruit je query te kunnen stellen naar de AI. En dan ben je verbaasd als je er op aangesproken wordt? Ondanks de waarschuwingen en bewustwordingscampagnes?

[R4gnax]

En je wil niet weten hoe vaak het gebeurt, en de excuses die mensen dan aanbrengen zijn om te lachen.

De reactie van de gemeente Eindhoven bij monde van haar burgemeester, was er ook zo eentje.
Stevig downplayen wat er gebeurd was, met waardeloos holle beloftes zoals: "we zullen OpenAI vragen om de gegevens weer weg te halen." Alsmede dat we het allemaal wat genuanceerder moesten zien, want het was goed bedoeld en deze tools besparen ook veel tijd en moeite, en dus geld.

Het was niet alleen genant om te lezen, maar ronduit pijnlijk.
Als je op zo'n manier reageert op zo'n voorval, ben je simpelweg compleet 100% toondoof.

[Reactie gewijzigd door R4gnax op 30 december 2025 12:39]

[drdelta]

De grap is natuurlijk ook dat het kinderlijk eenvoudig is om zelf gevoelige informatie te delen, en vervolgens schier onmogelijk om deze informatie weer (zelf) te verwijderen.

[DonChaot]

maar ik zou er niet van verbaasd staan dat als je vraagstelling maar goed genoeg is je deze info wel weer boven water kan halen.

[Skit3000]

Schijnbaar is het minder moeite om die hindernissen te omzeilen zodat men AI kan gebruiken, dan om het werk te doen zonder hulp van AI. Klinkt mij alsof het misschien beter is om als bedrijf het (veilig!) gebruik van AI te faciliteren.

[Sicos]

Heeft niks met moeite te maken, mensen zijn van nature lui. Liever iets makkelijk doen dan er veel tijd en moeite insteken.

... en ja veel mensen denken dat AI al hun problemen snel gaat oplossen.

[Skit3000]

Dan nog zou ik ze vooral helpen te zorgen dat ze hun werk makkelijker kunnen doen.

[Orangelights23]

AI is toch geen datalek…

Wat bedoel je hiermee? Mensen die PII invoeren bij dergelijke systemen zorgen voor datalekken. Heel anders is het niet.

[PolarBear]

Mensen die PII invoeren bij dergelijke systemen zorgen voor datalekken.

Het gemak waarbij mensen data delen die helemaal niet relevant is. Niet alleen aan AI chatbots maar naar allerhande online tools en ook andere derde (adviseurs, consultants, externe partijen etc).

Ik probeer altijd zo min mogelijk data te delen, of dat nu bij een AI chatbot is, een aankoop in een webwinkel of advies bij een derde (accountant oid). Het is makkelijk om alles maar over de schutting te gooien maar als je eenmaal data over de schutting hebt gegooid ben je totaal de controle kwijt.

[ALittleTooLate]

Het gemak waarbij mensen data delen die helemaal niet relevant is.

Yup, altijd al zo geweest. Bij veel bedrijven kom je binnen en krijg je meteen toegang tot een hele bak potentieel gevoelige informatie. En als je erover begint zien ze het zelf allemaal heel anders.

[Quintiemero]

Plus, in legio contracten staat dat dienstverleners klantdata mag gebruilen om hun producten te verbeteren, maar met AI is het opeens spannend…

[Olympus user]

Wat ik bij een andere reactie ook al schreef, die mogelijkheid had er niet mogen zijn.

[ZinloosGeweldig]

Als mijn boot een gat in de bodem heeft dat er niet had mogen zijn, is die dan lek of niet?

[Olympus user]

Het lek is er, maar er moet toch altijd alles aangedaan worden om te voorkomen.
Maar AI is leuk speelgoed en de gebruikers gaan er helemaal op los.

Ik neem toch aan dat je geen aangesloten boormachine in de boot had liggen terwijl de kinderen ongecontroleerd beneden aan het spelen waren ;-)

[pagani]

Alle data die je in een AI stopt is vervolgens "beschikbaar" als "antwoord". Niet een op een natuurlijk, maar de modellen leren van jouw input, ook als dat lijsten met persoonsgegevens zijn.

[gorgi_19]

Dat is afhankelijk of je aangeeft dat AI het mag gebruiken of niet. En dit is weer beperkt tot meestal de betaalde varianten.
In de gratis varianten zie je vaak terug dat AI de prompts en input mag gebruiken voor productverbeteringen, en dan verwerken ze dus PII (En kan die ook terugkomen in het model, en deze informatie als antwoord aan andere gebruikers geven)

[demianmonteverd]

Ik denk dat de meeste gebruikers van AI op het werk niet eerst controleren wat het privacy beleid is bij hun organisatie, zeker niet voor zaken die ze prive al gebruiken. Dit is helaas een groot probleem voor ons, want in het geval van een gemeente of de overheid gaat het om *onze* gegevens.

[Scriptkid]

Het probleem is dat men te lang wacht.

Als er geen beleid is wat strak gehandhaafd wordt en duidelijk laat zien hoe het wel moet, tja dan gaat iedereen zo maar wat doen.

[demianmonteverd]

Eens. Een ander issue is dat sommige organisaties niet de kennis hebben om dit beleid goed te ontwikkelen, maar uiteraard wel behouden zijn aan de regels natuurlijk. Dit zorgt er voor dat ze onnodig fouten kunnen maken en ook dat mensen daarom 'voelen' dat 'het' gewoon mag, zoals jij hier exact aangeeft.

Het is misschien super ongebruikelijk, maar een poging om dit op te lossen zou kunnen zijn als een ministerie (of desnoods de APG) hier een keer een brief/bericht voor deelt met alle bestuurders in de KvK. Dat is wellicht lastig vanuit de APG te regelen (ironie), maar dan kan dat desnoods gedaan worden via de belastingdienst. Dit zal wel niet gebeuren, dus volgend jaar zullen er weer meer incidenten zijn.

Het gaat hier om een nieuwe technologie, een met kanttekeningen op het gebied van het gebruik en dan gaan er gewoon onnodig veel zaken mis zonder de sturing zoals jij dat goed aangeeft hier. Dat kan niet de bedoeling zijn, en dan mag ook niet zo zijn, dat o.a. het MKB dan maar moet blijven aanmodderen op dit onderwerp omdat we ze niet kunnen/willen helpen.

[david-v]

Bij onze organisatie is de gratis AI variant geblokkeerd en is er een betaalde variant beschikbaar gesteld. Voordat je toegang krijgt tot deze betaalde variant moet je een AI leer module volgen waar je uitleg krijgt over het gebruik en welke data je wel en niet zou moeten opgeven in een prompt. Het is niet waterdicht maar het maakt je als werknemer wel bewuster over privacy gevoelige data.

[demianmonteverd]

Dat is een goede start ja! Er zijn ook organisaties (ok, in de VS) die je verplichten om de training nog elk kwartaal te herhalen zelfs.

[david-v]

Hier is dat net zo, tenminste bij onze organisatie. Eens in de zoveel tijd moet je weer een security module volgen waar dit soort zaken maar ook clean desk policy en noem maar op wordt herhaald en waar nodig geupdate. Net zoals die mails die we elk kwartaal krijgen waar als je op klikt direct een pagina te zien krijgt dat je er niet op had moeten klikken want er klopte van alles niet en de uitleg wat er allemaal mis mee was.

[demianmonteverd]

Ah ja, die zijn geweldig en daarna verplicht een cursus voordat je weer kunt inloggen. Dat zou eigenlijk verplicht moeten zijn als je werkt met gevoelige gegevens.

[SirBlade]

Reken er dan maar op dat een groot deel van de werknemers expres op die link gaan klikken. Ze worden toch wel betaald en totdat de cursus is geweest kunnen/hoeven ze niets meer doen."Jongens, de extra-vakantie mail is er weer!"

[Scriptkid]

Zeg maar gerust elke maand minimaal 4uur training. Althans bij ons.

[demianmonteverd]

Netjes, goed te horen dat er organisaties in NL zijn die er wel mee aan de slag zijn gegaan.

[Quintiemero]

Nja, meeste organisaties hebben hun privacybeleod niet in orde hoor.

[Olympus user]

Het is niet alleen leren, het is ook een "antwoord" geven op basis van de vergaarde informatie, en die informatie hoeft niet correct te zijn, als die maar veel voorkomt.

[R_Zwart]

Net als bij mensen, alleen hebben wij als het goed is voelsprieten om te kunnen beoordelen wat je wel niet kunt gebruiken in een antwoord (zelfs zonder door de werkgever opgelegde regels).

[AnonymousGerbil]

Uit het artikel:

Vermoedelijk gaat het voornamelijk om werknemers die de gratis variant van een chatbot gebruiken, terwijl de werkgever een contract heeft voor een betaalde dienst. Bij die betaalde diensten zijn er namelijk afspraken gemaakt over hoe er met de gegevens moet worden omgegaan

Oftewel, wel degelijk een data-lek omdat het juist de bedoeling was een nepintelligentie te gebruiken waarbij de gegevens niet op straat gegooid werden.

[Olympus user]

In principe hadden ze dat helemaal nooit moeten kunnen gebruiken als werknemer zijnde.

[Finraziel]

Poeh, ik ben blij dat ik niet voor jou werk want het klinkt alsof jij gewoon alles blokkeert en alleen een paar goedgekeurde websites misschien toegankelijk gemaakt zou hebben. Dat werkt gewoon niet altijd goed op die manier, soms moet je je personeel ook gewoon kunnen vertrouwen. Bovendien, wat stopt iemand om vervolgens dan maar op zijn telefoon even iets aan een llm te vragen? Eventueel even met een foto van het probleem op het scherm van je werk computer... Prive telefoons ook maar verbieden bij alle werkgevers overal?

[Scriptkid]

Als jij je privé telefoon gaat gebruiken met camera voor het bijpassen van corporate beleid en beveiliging binnen ons bedrijf heb je morgen een rechtzaak aan je broek. Dat is nl fraude pleging

[Zorg]

En hoevaak heeft jullie bedrijf dat al gedaan? Laat me raden.... circa 0 keer in het afgelopen jaar? En hoevaak denk je dat jullie werknemers toch op onbetaalde LLMs vertrouwelijke informatie hebben gezet? Ga er maar vanuit dat het meer dan 0 keer is gebeurd.

Kortom je kan prima hard gaan blazen en stoeven maar de realiteit is toch wel anders. Ben ook wel benieuwd naar de rechtspraak in zo'n case (als het überhaupt al zover komt....) denk dat een rechter namelijk niet zo'n tough guy attitude heeft.

Probleem zit bij management (zeer lage interesse) en training/bewustwording van de medewerkers. En dat blijft vaak steken tot dooddoende online trainingen (=lekker goedkoop en management heeft haar verantwoordelijkheid gedaan, check the box) ipv daadwerkelijke investeringen in trainingen en gebruik. IT afdelingen die hoog van de torens blazen maar de realiteit is dat shadow IT groot is door IT die een nee mag niet attitude heeft, klopt technisch allemaal wel maar de business heeft er geen echte boodschap aan en IT wordt gezien als kost ipv opportuniteit

[demianmonteverd]

Dit heeft niet met IT te maken toch? Hoger management geeft immers de opdrachten aan haar IT organisatie. Als bij ons de directie vraagt om lokaal LLM's op te zetten, dan doen veel medewerkers dat toch echt met een grote glimlach op hun gezicht. En als dat niet het geval is, dan is dat meestal omdat ze overwerkt worden of is er een ander probleem.

[Scriptkid]

Juist training en bewust wording is bij ons meer dan 12 uur per maand verplicht en tekenen met naam.

Ik weet zeker dat er bijna geen gebruik wordt gemaakt van 3rd party AI bij ons, dat worst echt zwaar gemonitorred en hard ingegrepen als het gedetecteerd wordt dat weet iedereen.

Daarnaast zijn het allemaal skilled office workers ondanks de enorme size van het bedrijf.

Maar ja copuilot is dan ook direct beschikbaar gemaakt voor iedereen en MIP is verwijst met encrypty voor alle documenten die pii data of klant data bevatten.

[Zorg]

Chapeau!

Dat kom ik helaas zelden tegen dat bedrijven 12h per maand aan training spenderen! Bij de gemiddelde multinational is het toch een pak beperkter helaas.

[Finraziel]

Ik zeg niet dat ik dat doe... Ik ben juist altijd de persoon binnen ons bedrijf die waarschuwt voor de gevaren van allerlei 'handige' tooltjes en heb ook een tijd technisch onderzoek en intern verder melden van gegevenslekken uitgevoerd... Maar ik geef aan dat dit een risico is dat mensen dat kunnen doen en je het dus niet volledig af kunt dekken met het blokkeren van een website. Wat je moet doen is je mensen informeren en opleiden.

[bwerg]

"Gaat in tegen corporate beleid" is nou net het hele punt: je kan voorkomen dat mensen uberhaupt telefoons mee naar binnen nemen, of je kan je werknemers instrueren wat ze wel en niet mogen doen, waar ze dan via het arbeidscontract ook wettelijk aan gebonden zijn. Is het "bij jullie bedrijf" technisch onmogelijk om de telefoon zo te gebruiken, of instrueer je je werknemers en vertrouw je dat ze dat niet doen? Het kan, hoor, metaaldetectors bij de ingang, en bij echt kritische situaties wordt het misschien gedaan, maar >99,9% van de bedrijven gaat toch voor die laatste optie.

Ik kan op het werk ook alle deuren openzetten met een deurstopper ertussen en naar huis gaan, dat mag ook niet. Moet het dan maar technisch onmogelijk zijn voor mij om deuren open te maken? Succes met een bedrijf runnen zo. Ja, natuurlijk regel je als bedrijf datgene wat makkelijk te doen is en het werk niet in de weg zit, maar gewoon bij alles wat een werknemer niet mag gaan roepen "dat had technisch onmogelijk moeten zijn", nou, nee. Het dekt nooit alles af en is ook nooit volledig haalbaar.

[Reactie gewijzigd door bwerg op 30 december 2025 16:24]

[bwerg]

Geen probleem, dan nemen we de data gewoon op een USB-stick mee naar huis.

Eens, overal een technische oplossing voor verwachten is een kortzichtige manier van denken. Als je werknemers gare dingen doen waarvan duidelijk is dat dat niet de gewenste werkwijze is dan zijn technische oplossingen dweilen met de kraan open.

[Olympus user]

Als je werknemers gare dingen gaan doen zoals je omschrijft is er iets mis met je bedrijf en of werknemers en heb je een groot probleem.

[bwerg]

Wat is je punt? Ja, bij de gemelde datalekken is er ook een groot probleem.

Gewoon bij alles wat een werknemer niet mag doen roepen "dan had dat technisch maar niet mogelijk moeten zijn" toont een totaal gebrek aan relaliteitszin. De werknemer had deze data ook rond kunnen mailen in plaats van in een AI gooien. Had hij dan ook geen mail mogen sturen?

Stap 1 is dat je werknemers op de hoogte zijn van wat wel en niet mag. Niet technisch dingen dichtzetten.

[Reactie gewijzigd door bwerg op 30 december 2025 16:31]

[Olympus user]

Ik ben bewustzijn helemaal met je eens, maar toch gebeurt het veel te vaak dat bijvoorbeeld CC wordt gebruikt ipv BCC, dit zou je technisch af kunnen dekken danwel een "sein" geven... hoho wat doe je ?

Andere dan bedrijfs gebonden software blokkeren. Stickjes om thuis wat te doen alleen geregistreerd en geacordeerd door (hoger) management. Uitgaande poorten extra monitoren op data bestanden enz.

[Olympus user]

Natuurlijk moet je je personeel kunnen vertrouwen, maar ook je systemen inrichten en bewustmaking en verantwoordelijkheid bevorderen. Als je personeel zo'n datalek veroorzaakt is er iets dus verre van in orde. Het zijn gegevens van burgers.

[Finraziel]

Tuurlijk, maar zoals je nu zelf zegt is het dan dus wel een datalek. Uiteraard zit er dan iets fout en het is ook niet dat het dus de schuld is van "AI" of zo, maar ze zien dat er via dat pad veel gelekt wordt omdat mensen zich niet bewust genoeg zijn van dat alles wat je invoert op een website van een derde partij in principe dus jouw controle verlaat en overal naar toe kan. Dus inderdaad, leid je mensen op en maak ze bewust van de gevaren, bied alternatieven of als je dat al hebt zorg dat deze mogelijkheden bekend zijn bij je medewerkers. Maar dat is heel iets anders dan dat al die websites om te beginnen nooit toegankelijk hadden mogen zijn.

Overigens is het niet per se alleen maar gegevens van burgers waar het om gaat, het kan bv ook informatie over jouw interne strategie of beveiliging zijn.

[Olympus user]

Ze moeten niet naar andere alternatieven voor een programma gaan als het bedrijf een contract met een programma of websites heeft.
Je werkt voor een werkgever en je maakt niet zelf uit wat je buiten de voorgeschreven tools gebruikt.

[Finraziel]

En dat werkt dus niet zo bij veel functies... Wat jij zegt is misschien zo voor een eerstelijns klantenservice medewerker, maar de wat 'hogere' functies daar wordt juist wat meer zelfstandigheid verwacht. Uiteraard is het fout om naar een gratis publieke llm te gaan, dat is het punt van dit artikel. Maar dat wil niet zeggen dat iedereen alleen maar volgens perfect afgekaderde processen in aangeleverde tools werkt.

[Olympus user]

Dan moet je je werkgever vragen om andere tools of een andere werkgever zoeken en niet cowboy gaan spelen met data van het bedrijf of mensen.

[Jeroen V]

AI op zich niet, maar het uploaden van bestanden met persoonsgegevens wel. Dit is ook te lezen in het artikel over het incident in Eindhoven.

[Olympus user]

Dan hadden ze moeten voorkomen dat het kon.
Kwestie van afdekken en niet achter de feiten aanlopen.

[MartijnHavinga]

En hoe wil jij dat gaan afdekken?

Hoe ga je aan een .txt bestand van 20mb zien of hier wel of niet persoonsgegevens in staan zonder het bestand te analyseren?

Bij het bedrijf waar ik werk moeten de werknemers die gebruik mogen maken van AI chatbots er zelf rekening mee houden dat ze geen persoonsgegevens of interne bedrijfsdata uploaden naar de chatbot. Dezelfde regel geld trouwens al veel langer voor het versturen van mails e.d.

[The Zep Man]

En hoe wil jij dat gaan afdekken?

100% afdekken kan nooit, maar op bedrijfsnetwerken en -apparatuur kan je wel met techniek praktische ontmoediging toepassen. Zo kan je gratis, ongeautoriseerde diensten waarvan overduidelijk is dat ze aantrekkelijk en gevaarlijk zijn simpelweg blokkeren.

Verder heb je menselijke bewustzijn en ontmoedigingsbeleid nodig. Training waarbij duidelijk is dat dit soort dingen niet door de beugel kunnen, en duidelijke en consistent toegepaste sancties wanneer het toch wordt gedaan.

[Reactie gewijzigd door The Zep Man op 30 december 2025 11:44]

[aikebah]

[...]


Zo kan je gratis, ongeautoriseerde diensten waarvan overduidelijk is dat ze aantrekkelijk en gevaarlijk zijn simpelweg blokkeren.

Dan gaan ze in no-time naar de volgende new kid on the LLM block... enige zinvolle manier om te blokkeren is whitelisten waar men wel vanaf het bedrijfsnetwerk naar toe mag (en dat wordt al snel een flinke administratieve klus om (nieuwe) aanvragen voor opening te beoordelen en goed/af te keuren)

[The Zep Man]

Dan gaan ze in no-time naar de volgende new kid on the LLM block...

Ergo

100% afdekken kan nooit

Dat iets niet 100% perfect werkt is op zich geen reden om het niet te doen. Laat perfect niet in de weg van goed staan. Verder zijn de technische maatregelen niet het enige dat ik voorstel.

enige zinvolle manier om te blokkeren is whitelisten waar men wel vanaf het bedrijfsnetwerk naar toe mag

Men maakt met een (privé)telefoon een foto van data getoond op het scherm van een zakelijke notebook en stuurt die foto door naar een LLM naar keuze voor verdere verwerking van de data. Als iemand zich echt wil misdragen, dan hou je die niet tegen. Daarom is het belangrijk in te zetten op het ontmoedigen van bewust ongewenst gedrag en het zoveel mogelijk voorkomen van legitieme fouten.

[Reactie gewijzigd door The Zep Man op 30 december 2025 16:18]

[Olympus user]

Inderdaad het aantal gebruikers van AI beperken en goede instructies trainen.

Analyseren van een bestand waarvan je niet weet of er persoonsgegevens instaan gooi je toch niet over de AI muur met alle mogelijke gevolgen.

[demianmonteverd]

Als je dat niet kunt doen/garanderen, dan moet je het bestand niet uploaden.

Maar ik snap je reactie natuurlijk. We willen allemaal dat de efficientie van werk toeneemt zonder bewerkelijk gedoe, maar helaas hoort dat bewerkelijke gebeuren er gewoon bij als je met zulke externe tools wilt kunnen werken in een omgeving met vertrouwelijke gegevens.

Men kan natuurlijk ook tools lokaal hosten in een eigen omgeving in plaats van een cloud bij een andere organisatie, dan kun je alles gewoon zonder bewerkingen gebruiken.

En verder, kun je natuurlijk tools maken om PII te verwijderen of te randomiseren. Maar eigen tools gehost in eigen omgeving is wellicht de beste oplossing voor (semi-)overheid.

[Scriptkid]

Dat is precies wat M365 dlp en MIP doen.

[Diavire]

Prijzen worden nooit meer "een stuk lager". Never, gaat niet meer gebeuren.

Misschien dat het iets onder het huidige punt stabiliseert, maar zoals het was is over en uit.

Je ziet het in de huizenmarkt, je ziet het in de boodschappen.

Prijzen gingen noodgedwongen omhoog, en "ze" zagen dat in plaats van de hand op de knip te houden dat iedereen juist ging uitgeven, om de volgende stijgingen voor te zijn. Ze weten nu dat een groot aantal mensen de hogere prijzen toch wel betalen, en daarmee is alles verpest. :)

[Olympus user]

Het is maar wat de klanten ervoor over hebben.
De voorbeelden die jij aanhaalt zijn vraag en aanbod, maar als de vraag daalt zakt ook de prijs.
Bij huizen heb ik ook bijna 20 jaar geleden een bubbel meegemaakt, zelf gelukkig ervoor verkocht en vertrokken uit Nederland.
Boodschappen wordt deels bepaald door wat de markt ervoor heeft en kan betalen. Ik woon in een ander EU land (lagere lonen) en zie dat zelfs voor geimporteerde produkten en medicijnen de prijzen (soms een stuk) lager liggen dan in Nederland.

[Diavire]

Die bubbel van 2008 wordt vaker aangehaald, maar als je naar de prijzen kijkt zijn die nauwelijks gedaald daarna, en toen doodleuk weer doorgestegen tot veel, veel hoger.

De issue is dat ze nu doorhebben wat we ervoor over hebben, en dat laten ze niet zomaar meer los. Vraag en aanbod is stuk en wordt niet snel meer gefixt vrees ik.

[Olympus user]

Ik vrees met je mee hoor. Helaas is economie allesbepalend en zelfs ons welzijn wordt daar aan af gemeten.
Door de jaren heen zijn woningen solide in prijs, zeker als je het alleen als woongelegenheid voor jezelf ziet, als je er eenmaal in woont en blijft wonen is een grote prijsstijging helemaal niet gunstig.
Woningen is er altijd een structureel te kort in, goed voor gemeentes voor de grondverkoop en investeerders. Als er morgen 2 miljoen nieuwe huizen op de markt komen duikt de prijs omlaag. Net als goud, aandelen en coins doseren ze dat.

[flurb]

Commerciele AI is één groot datalek.. zie bv de chatgpt jaaroverzichten, zoveel persoonlijke info, zonder filter gedeeld met commerciele tech.

[Olympus user]

Was ook sarcatisch bedoelt van mij.

[DigitalExorcist]

Dat dachten we van bitcoin ook.

Had ik in 2013 nou maar 100 bitcoin gekocht voor €5.... of Apple aandelen vlak voor de introductie van de iPod. Of Google aandelen in het begin. Etc.

[Reactie gewijzigd door DigitalExorcist op 2 januari 2026 12:11]

[Olympus user]

Had ik maar mijn oude VW bus en NSU scooter gehouden enz.

[DigitalExorcist]

Ja dat is van vlak voor mijn tijd

[Olympus user]

Nu voel ik mij nog ouder
Ik had die VW bus mooi om kunnen bouwen. Was een oranje met wit dak.

[Meg]

Kunnen ze (gratis) AI-chatbots bij bedrijven zoals bijvoorbeeld de overheid of bedrijven die met gevoelige informatie werken niet verbieden?

[telenut]

Ja, want verbieden werkt...

Blokkeren helpt al deels, betere alternatieven bieden ook. Maar opleiding en educatie is toch het belangrijkste.

[Jim de Wit]

Ho eens even, we hebben het hier over werknemers. Die worden betaald om een bepaalde dienst te leveren (arbeid). Hier kunnen ook voorwaarden aan worden gesteld, bijvoorbeeld: gebruik geen (gratis) chatbots. Als een werknemer dat vervolgens alsnog doet, is er -extreem gezegd- sprake van contractbreuk.

De werkvloer is nou juist de enige plek waar dingen verbieden wél werkt.

[RSH]

Of het nu om verkeersregels (snelheid en voorrang, anyone?), (overmatig) gebruik van verdovende en/of verboden middelen of regels op de werkvloer gaat: enkel verbieden (invoeren van beleid) zonder uitleg en controle (toezicht) werkt gewoonweg onvoldoende.

Een combinatie van beleid met uitleg en controle met duidelijke consequenties, met technische inrichting (zoveel mogelijk beperken van toegang tot oneigenlijk gebruik) en het in overleg zorgen voor goede opties werkt beter. Dan nog zullen er altijd lichtjes in een organisatie zijn die, bewust of onbewust, zullen proberen dit te omzeilen en hier soms ook dan nog in zullen slagen.

* RSH kijkt naar zijn ervaringen als leidinggevende in handels- en productiebedrijven en, de afgelopen jaren, als consultant privacy en IB in overheidsland 🤒

[Reactie gewijzigd door RSH op 30 december 2025 13:29]

[telenut]

Dat is zeker niet overal zo... in veel bedrijven zorgen die werknemers voor de inkomsten van het bedrijf. Als jij als IT die mensen gaat tegenwerken moet jij het gaan uitleggen aan het management... Want die willen inkomsten en tevreden werknemers die niet weglopen naar een ander bedrijf.
En dan mogen het nog geen ambtenaren zijn ook, want die kan je niet zomaar ontslaan...

[R_Zwart]

Je kunt pas iets blokkeren als je weet wat het is. Je kunt niet zomaar alle externe zaken blokkeren want dan kan je niet meer werken. Mensen opleiden is het belangrijkste. AI is wat dat betreft niet anders dan andere dingen in de wereld. Snoep ligt in de supermarkt in niet afgesloten schappen maar kinderen hebben geleerd dat ze dat niet zomaar mogen pakken. Is in principe hetzelfde.

[R4gnax]

Je kunt niet zomaar alle externe zaken blokkeren.

Kan met gemak. Standaard alle externe toegang tot websites blokkeren en alleen white-listen wat er expliciet toegestaan is. Werknemers geen local admin rechten geven, zodat ze geen extra applicaties kunnen installeren. Bescherming aanzetten om geen executables te mogen draaien vanuit app data die niet goedgekeurd zijn.

En je bent al een heel eind. Werknemers krijgen de goedgekeurde applicaties op hun werkmachines, en that's it. En als ze zonodig social media etc. tijdens werktijd nodig hebben, dan prikken ze hun telefoon maar op het (gescheiden!) wifi netwerk.

Als je bij een overheid administratief werk verricht, heb je niet zomaar om de dag ineens een extra softwarepakket of dienst nodig voor je gewone dagelijkse werk.

[Reactie gewijzigd door R4gnax op 30 december 2025 11:45]

[Sissors]

Dat kan ja, maar zoals @R_Zwart schreef, dan moet je niet verwachten dat die mensen nog productief zijn. Als je standaard elke website al blokkeert!

De oplossing voor die werknemer is dan overigens ook simpel: Foto maken met je smartphone, en ChatGPT die laten verwerken. En ja dan kan je gaan zeggen dat die werknemer op staande voet ontslagen moet worden (waar een rechter ook wat van kan vinden), maar het is toch een stukje handiger om te zorgen dat je werknemers de tools hebben om hun werk te doen, ipv alles te blokkeren zodat ze steeds verder naar alternatieven gaan zoeken om hun werk te doen.

[Ronwiel]

Als je bedrijfspolicy is: geen ChatGPT gebruiken dan is dat eenvoudig te regelen op beheerde laptops voor de website teb blokkeren. Maar als je als organisatie de enterprise versie van ChatGPT afneemt wordt het ingewikkelder. Hoewel er wellicht een mogelijkheid is tot inloggen via eigen subdomein?

[Jim de Wit]

Die is er zeker, mijn werkgever heeft de chatbot ohtsloten via https://openai.<berijfsnaam>.com

[Scriptkid]

Het probleem is juist dat dat type bedrijven heel ver achter lopen met beleid.

Zonder beleid wat wel en niet mag kun je ook niks instellen van alle mooie technieken.

Maar nog belangrijker kun je ook niet vertellen hoe het wel moet. Ze hebben immers nog geen betaalde versie

[carpcatcher]

Wij kunnen alleen CoPilot gebruiken; OpenAI en Perplexity werken niet. Het probleem daarbij is dat de chatbot op sommige websites ook niet functioneert, wat bij bepaalde webshops essentieel is om überhaupt een ticket aan te kunnen maken.

[fRiEtJeSaTe]

Nog even los van wat mensen zelf prompten. Het gemak waarmee collega’s oAuth consents doen en daarmee hun gehele mailbox, Onedrive en Sharepoints delen met een AI tool, voor offline toegang. Want zo lekker makkelijks als de tool je mail kan inzien. Dag dit standaard kan / aan staat bij M365 vind ik nog veel kwalijker.

Ik denk echt dat dit een onderbelicht risico is en raad iedereen aan dit zo snel mogelijk dicht te zetten (emailadres en profiel lezen only), en bestaande consents in te trekken. Niet eenvoudig maar met Powershell kom je er wel. Gaat je niet geliefd maken binnen je organisatie maar het is wachten op de eerste AI tool die gehackt wordt en daarmee kwaadwillenden toegang geeft tot alle klantdata. Of dat de ‘gratis’ AI tool toch nog zo gratis bleek en je data doorverkoopt.

[Reactie gewijzigd door fRiEtJeSaTe op 30 december 2025 11:47]

[H.Boss]

Bij ons is dit dichtgezet, eerst moet systeembeheer de koppeling goedkeuren. Dus dit zou standaard bij iedere organisatie moeten zijn als je OneDrive of je Outlook wilt koppelen aan een externe applicatie.

Maar goed daarbuiten kunnen mensen nog altijd vanalles in een AI chatbot uploaden. Zelf denk ik dat het begint bij het stukje AI-geletterdheid en je medewerkers goed inlichten over het gebruik en welke data je wel en niet mag gebruiken hiervoor.

[Meteen]

Het zou fijn zijn om te weten welk probleem die AI-bot voor de desbetreffende ambtenaar heeft opgelost.

[SprockerJock]

De usecase is mij ook onbekend....

[Unstable Element]

Bij een collega van mij was het dat hij iets in excel wilde doen (aantal van dit of dat tellen) en toen maar de hele excel met alle gegevens naar chatGPT had geüpload zodat deze kon zien hoe het bestand was opgebouwd.


Gelukkig geen persoonsgegevens maar wel bedrijfsgevoelige data

[Meteen]

En als het antwoord dan 278 is, hoe weet je dan dat dat goed is?

[Unstable Element]

Hij wilde data aggregeren uit verschillende sheets, om de juiste formules te genereren moest de AI weten hoe e.e.a. er uitzag in de sheets. Dus gewoon uploaden die hap.
Daar komt dan een formule uit en die plak je in je "Dashboard."

[Meteen]

Volgens mij doe je dat met een testdocument waarvan je weet wat de uitkomst moet zijn. En dan kopieer je die formule en pas je de celranges aan.

[Martinspire]

Niet heel raar. Ze moeten die dingen aan de man brengen en de meesten kiezen ervoor de diensten gratis te leveren in de hoop dat ze eraan verslaafd raken of in ieder geval genoeg waarde in zien om later voor te betalen. Maar ondertussen verliezen ze wel veel geld, dus wordt de informatie doorverkocht en verhandeld. Dit zagen we al van ver aankomen en het is dus ook raar dat hier verder geen regelgeving voor gemaakt is.

[RobbieT]

Dit zegt veel over de kennis van ambtenaren over IT gerelateerde zaken.

Dat ze blijkbaar niet kunnen bedenken dat wat je eenmaal in een AI hebt gestopt er nooit meer uit te krijgen is en gewoon deel van de dataset wordt waar het ding van leert.

Verbieden en blokkeren is leuk, dan loop je het risico dat die ambtenaren een omweg zoeken om er alsnog te komen.

Er zou meer aandacht moeten komen voor opleiding, zodat ze de risico’s snappen en weten waarom het niet kan en mag.

Iemand die na die opleiding in de fout gaat kan je dan gewoon per direct op straat zetten, dan is het opzet geworden.

[R_Zwart]

Beetje makkelijk om direct over ambtenaren te beginnen. Hoe zit het in het bedrijfsleven?

[R4gnax]

Beetje makkelijk om direct over ambtenaren te beginnen.

Makkelijk, maar wel de waarheid.
Zie het geval met de gemeente Eindhoven, waar het antwoord van haar burgemeester was dat ze OpenAI zouden verzoeken de doorgevoerde persoonsgegevens weer te verwijderen...

[RobbieT]

Het artikel gaat over ambtenaren.

Bij ons op het werk, een grote machinebouwer is er al lang eigen AI.

En een strikt verbod op het gebruik van andere AI.

Wat ook duidelijk gecommuniceerd is, net als waarom.

En ik denk dat bij de meeste grote bedrijven dat zo is. Je wil je IP niet aan een AI cadeau doen.

[Polderviking]

Vraag me dat van dat lukrake gebruik van tools als copilot ook wel eens af.
Handig voor je code maar wat als je een databestand opent in diezeflde editor?
Dat is een veel genuanceerdere handeling dan letterlijk een bestand aan ChatGPT voeren, die daardoor volgens mij overal onder de radar door vliegt.

En microsoft heeft er ook een handje van die features hard te pushen.

[Reactie gewijzigd door Polderviking op 30 december 2025 11:16]

[PaulHelper]

Volgens mij kun je dit op bedrijfs niveau best wel afdwingen of het überhaupt gebruikt kan worden (iets als For IT Admins (Business/Enterprise)

Microsoft 365 Admin Center:

Sign in to the Admin Center.

Go to Settings > Org settings > Integrated apps or Microsoft 365 Copilot.

Find the Copilot app and block it for specific users or the entire organization.).

Ook kun je kiezen of copilot toegang heeft tot het bestand of iets van je eigen systemen als je dat wil en onder welke privacy regels dat dan valt. De meeste bedrijven die ik ken gebruiken copiloot, omdat mensen tegenwoordig toch vaak wel een LLM gaan gebruiken bij bepaalde zaken. Als het dan tenminste volledig onder toezicht is van het bedrijf en je de regels kent van copilot is dat toch een stuk beter.

Hoorde laatst dat ze ook bij ASML bijvoorbeeld copilot gebruiken en die geïntegreerd met hun eigen systemen zodat je dus vragen kan stellen of kan discussiëren met interne documenten. (Nou gaan die langzaam naar LeChat/Mistral dacht ik, maar voor nu dus nog copilot.)

[Reactie gewijzigd door PaulHelper op 30 december 2025 11:23]

[Polderviking]

Hoorde laatst dat ze ook bij ASML bijvoorbeeld copilot gebruiken en die geïntegreerd met hun eigen systemen zodat je dus vragen kan stellen of kan discussiëren met interne documenten. (Nou gaan die langzaam naar LeChat/Mistral dacht ik, maar voor nu dus nog copilot.)

Ik snap dit wel, vanuit functioneel oogpunt, maar ik zie dus niet echt hoe dergelijke integraties op dat niveau nog functioneel anders zijn dan databestandjes aan diezelfde chatbot voeren.

[PaulHelper]

Als je ik snap wat je bedoelt dan is het antwoord zeer waarschijnlijk context. Ja je kunt 1, 2 misschien zelfs 10 bestanden uploaden afhankelijk van de bestanden en als je alleen maar een heel specifieke vraag hebt komt daar vast een redelijk antwoord uit.

Maar als ik niet eens weet in welke deel van de bestanden het antwoord zit of het is simpelweg groter dan de context aankan van zeg 128k token input (vrij klein ten opzichte van sommige andere LLMs). Dan is de infrastructuur die ze om die systeem context hebben een veel betere oplossing. Dan kun je ook high level dingen vragen waar de volledig systeem context die er in is gezet gebruikt kan worden voor een antwoord.

Voor globale informatie kan het natuurlijk het internet gebruiken om blanks in te vullen maar afhankelijk van een bedrijf kan dat een beetje tot erg veel verschillen vanwege alle geheime/proprietary info en methodes.

[Auredium]

Het is natuurlijk al langer een bekend probleem. Het is vooral een discipline en kennis issue. Mensen moeten weten wat er gebeurd met data die ze voeren aan AI voor het beantwoorden van vragen. Mensen moeten ook de discipline hebben gebruik te maken van andere opties om vragen te krijgen beantwoord dan AI als het gaat om gevoelige data.

Een aanvullend probleem is wat voor soort AI het is. Als jouw werk zegt dat je een bepaalde AI mag gebruiken dat moet jij ervan uit kunnen gaan dat jouw werk heeft onderzocht of wellicht controle heeft over de data die wordt ingevoerd op die AI.

Los daarvan legt dit ook natuurlijk een manier bloot om AI extra te vervuilen door AI gewoon in grote getallen te voeden met onjuiste informatie Iets wat AI zelf al doet door te scrapen maar wat we bijvoorbeeld ook zien bij Grok (de AI van Elon Musk) die stelselmatig is gebrainwashed door Elon om zo de 'juiste' informatie te geven op mogelijk politiek geladen vragen. Maar goed, dat is weer een stap dieper dan dit artikel.

[Reactie gewijzigd door Auredium op 30 december 2025 11:33]

[moonlander]

Dat kun je toch van alles wat gratis (en betaald is ook nog geen vrijbrief voor privacy) is vinden?

Een simpele pdf bewerken is al moeilijk tegenwoordig.. daar bestaan op het internet ook honderden tools voor, mensen uploaden snel een pdf, handtekening eronder en downloaden maar.. Ik zie het gewoon gebeuren bij mensen, en die hebben gewoon een goede opleiding gedaan etc. Ze weten gewoon niet wat er met al die data gebeurt achter de schermen en gaan uit van het goede van de mens... En hebben zoiets, ze gebruiken mijn data toch niet.

Bij die betaalde diensten zijn er namelijk afspraken gemaakt over hoe er met de gegevens moet worden omgegaan, afspraken die niet gelden bij de gratis versies.

Maar ook weer een kanttekening op dit bovenstaande verhaal.. Betaalde AI zegt ook helemaal niks wat betreft privacy! Als je er vanuit gaat dat alles wat betaald is beter dan gratis dan ben je net zo dom..

[Reactie gewijzigd door moonlander op 30 december 2025 11:50]

[Unknown Alien]

Even buiten het gezond verstand gebruiken, ligt de verantwoordelijkheid van wat voor data aanleveren voor een AI verzoek, toch echt ergens anders dan bij de eind gebruiker.

Ook bij mijn huidige opdrachtgever wordt er gebruik gemaakt van AI.

Ik zorg ervoor dat er genoeg awareness is voor het delen van gegevens. Wat ermee gebeurd als je persoonsgegevens\bankgegevens ed deelt. En ook wat de consequenties daarvan zijn.

Uiteraard heb ik vastgelegd dat ze GEEN persoons\bedrijfs\bank\klant gegevens ed mogen invullen.

Als je dit goed doet dan blijft het laatste over en dat is dat de eindgebruiker zijn gezonde verstand gebruikt. Hier bij deze opdrachtgever is het erg goed en bij twijfel nemen ze contact op met mij.

Goed opvoeden en awareness creëren. 100% human error ga je nooit kunnen verbannen