Om maar meteen met de deur in huis te vallen; hoe doen we het juridisch als het om AI gaat?
Over het algemeen: matig. Natuurlijk zijn er mensen die zich erin verdiepen, dan gaat het redelijk.
Matig en als uitzondering redelijk? Dat klinkt niet heel positief…
De meeste mensen zijn vooral bezig met wat hun pakkans is. Ze zoeken de loopholes op, ze testen de grenzen. Maar er is ook iets anders aan de hand. Mensen houden zichzelf soms bewust dom. Ik hoor zo vaak, over welk juridisch onderwerp dan ook: maar het is wel ingewikkeld hè!
Dan denk ik: nee, het is niet ingewikkeld. De regel is heel eenvoudig. Maar om het te snappen, moet je nadenken. Er wat tijd insteken en soms zelfs geld. Daar hebben mensen geen zin in. We gaan met AI om zoals we met zoveel dingen in het leven omgaan: gemakzuchtig.
Dus zodra mensen ergens moeite voor moeten doen of niet exact te horen krijgen wat ze willen horen, oei, dan is het ingewikkeld. Dit heeft niks te maken met onkunde, het is onwil.
Is de gemakzucht dan bijna ‘gevaarlijker’ dan AI zelf?
Ik vind van wel. Want zonder die gemakzucht zou je bezig zijn met ‘hoe kan ik AI wel of niet goed inzetten’. Want dan heb je dat hele probleem niet. Je zorgt ervoor dat je de balans bewaakt tussen wanneer levert het genoeg op, zónder dat het te veel kost op andere gebieden. Dát is verantwoord bezig zijn met AI.
Wat zijn de juridische gevaren van AI, wat moet ik als gebruiker van AI na vandaag nóóit meer vergeten?
De gevaren zijn groter dan mensen denken. Persoonsgegevens komen verkeerd terecht, waardoor er profielen van mensen worden opgebouwd. We worden beter getrackt en daarmee beter gemanipuleerd. Een verkeerde beslissing of foutieve inschatting is zo gemaakt. Mensen denken ook dat ze persoonsgegevens anonimiseren door ‘even een naam eruit te halen’. Maar een kenteken kan óók een persoonsgegeven zijn. Als jij namelijk weet van wie dat kenteken is, dan is dat voor jou een persoonsgegeven.
En vergeet bedrijfsgevoelige informatie niet. Stel je brainstormt met AI over een nieuw product. Wanneer jouw concurrent dezelfde tool gebruikt die centraal gekoppeld staat, dan kunnen jouw ideeën daar terugkomen. Dat wil je natuurlijk niet. Dus: stop geen persoonsgegevens in een AI-tool. Stop geen bedrijfsgevoelige informatie erin. En kijk kritisch welke tool je gebruikt, waar die informatie naartoe gaat en waar deze wordt opgeslagen.
Heb je een voorbeeld van waar het echt fout ging?
Jazeker, meerdere zelfs. Het eerste wat me te binnenschiet zijn advocaten die hun pleidooi onderbouwen met rechtszaken uit ChatGPT die helemaal niet bestaan. Dan mag je blij zijn dat er rechters zijn die dat wél checken. Best lullig voor je cliënt, want als je beter je werk had gedaan, had je misschien alsnog kunnen winnen.
Het bekendste voorbeeld is de gemeente Eindhoven. Medewerkers gingen via privéaccounts met ChatGPT aan de slag, omdat ze officieel niet met AI mochten werken. Hele dossiers met persoonsgegevens belandden zó in ChatGPT. Dat werd ontdekt via een toevallige steekproef van de Autoriteit Persoonsgegevens.
Het hele land was in rep en roer. Dit kon écht niet. Maar als het erop aankomt en mensen zelf iets moeten doen? Oefff, lastig, lastig die regelgeving…
Stel: ik maak als medewerker een fout met AI, wie is er dan aansprakelijk?
Wat er ook gebeurt, de organisatie is naar buiten toe altijd aansprakelijk. Zelfs als een medewerker met bedrijfsgevoelige gegevens in zijn privé-account heeft zitten rommelen. Een medewerker is in Nederland supergoed beschermd. Je bent niet zo snel direct aansprakelijk. Je mag iemand ook niet opeens op staande voet ontslaan vanwege zoiets. Maar het komt wél in je dossier terecht, arbeidsrechtelijk heeft het dus zeker gevolgen.
Binnen het bedrijf zelf is het belangrijk om te bepalen of de medewerker met een door de directie goedgekeurde tool heeft gewerkt. Als jij voor je werk privacygevoelige gegevens moet verwerken met een bepaalde tool, dan kun je ervan uitgaan dat dit geen probleem oplevert. Anders had de tool nooit goedgekeurd mogen worden.
Wat je echter vaak ziet gebeuren is dat organisaties het werken met bijvoorbeeld een ChatGPT helemaal verbieden. ‘Want ze kunnen de veiligheidsrisico’s niet overzien’. Door het algehele verbod stimuleer je medewerkers júist om op eigen houtje met AI aan de slag te gaan. Daarom: verbieden werkt niet. Vertel liever wat er wel en wat er niet mag en leg vooral uit waaróm het niet mag.
Wat als een organisatie nog helemaal geen AI-beleid heeft, waar start je dan?
Als je nog helemaal geen beleid hebt, begin dan met deze drie stappen:
- Stap één is: praat met je medewerkers, met de mensen die er daadwerkelijk mee werken. Vraag wat ze nodig hebben en waar ze tegenaan lopen. Als iets echt niet kan, leg dan uit waarom. Bied ook een alternatief, zo krijg je mensen mee.
- Bepaal vervolgens welke informatie er wel en niet in mag. Wat willen we en waarom? Wat mag ermee en wat mag er niet mee? En als laatste: wie mag dat en hoe mag dat?
- Dan de laatste stap: zorg dat het geen papieren werkelijkheid wordt. Dus niet zo'n onlinetraining die mensen even afvinken. Kijk wie welke kennis al heeft en wat ze nog moeten bijleren. En zorg voor maatwerk. Een secretaresse heeft andere kennis nodig dan een developer.
Resumé: zijn organisaties überhaupt wel klaar om AI verantwoord te gebruiken?
Nee. En dat komt vooral door een gebrek aan inzet. Organisaties willen bezig zijn met wat AI voor hen kan doen, níet met hoe ze het verantwoord inzetten. Want dat kost moeite en we houden niet van moeite doen.
Ook hebben we terrein te winnen op het gebied van digitale soevereiniteit. Voor tools als ChatGPT, Claude en Gemini zijn we allemaal afhankelijk van Amerika. Dat zag je toen Fable 5 ineens verboden werd voor gebruikers buiten de VS. Kies liever voor een Europese tool als Mistral.
‘Ja maar die werkt minder goed’, zeggen mensen dan. Dat is een kip-ei-verhaal. Mistral heeft jouw geld nodig om door te kunnen ontwikkelen. Het komt altijd neer op de vraag: ga je voor persoonlijk gewin en succes op korte termijn? Of maak je een ethische, volwassen keuze en ga je voor succes waar uiteindelijk iedereen baat bij heeft? Dat is aan jou.
Verantwoord met AI aan de slag? Begin met beleid.
In AI met beleid laat jurist Charlotte Meindersma zien dat verantwoord AI-gebruik niet begint bij ingewikkelde wetgeving, maar bij duidelijke keuzes. Met praktische voorbeelden en concrete handvatten helpt ze organisaties AI veilig, juridisch verantwoord én effectief in te zetten. Bestel AI met beleid bij Managementboek en leg een stevig fundament voor verantwoord AI-gebruik in jouw organisatie.