Gebruikt je team AI zonder contract? Wat de Zweedse regering je laat zien

Een ministerie dat de stekker eruit trekt

Sinds vandaag kunnen medewerkers van de Zweedse regering op hun werkcomputer niet meer bij de websites van ChatGPT en Claude. Het gaat om het Regeringskansliet, het apparaat dat de premier en de ministers ondersteunt. Microsoft Copilot mag wel blijven, na een veiligheidsbeoordeling en met strakker gezette instellingen.

Dat klinkt als nieuws voor overheden. Toch is de reden die ze geven precies de situatie waarin veel MKB-bedrijven nu zitten: mensen gebruiken AI-diensten waar het bedrijf geen afspraken mee heeft gemaakt.

Wat er precies gebeurde

De Zweedse publieke omroep (Sveriges Radio, het programma Ekot) bracht het nieuws op 23 oktober. De digitaliseringsdirecteur van het Regeringskansliet schreef aan het personeel dat het gebruik van AI-diensten zonder formeel contract gevolgen kan hebben voor de informatiebeveiliging. Er waren ook meerdere gevallen van gebruik dat volgens de organisatie niet in orde was.

Een paar dingen vallen op:

• Het is geen verbod op de AI-modellen zelf. Wat dichtgaat, is de publieke website: de plek waar iedereen met een eigen account kan inloggen.
• Een deel van het personeel houdt toegang tot dezelfde soort modellen via een zakelijk platform waar wel een contract achter zit.
• Andere Zweedse overheidsdiensten doen hetzelfde. Ekot vond vergelijkbare blokkades bij de Belastingdienst en bij de dienst die de gesloten jeugdinstellingen beheert.

Het verschil zit dus in de route waarlangs je bij de AI komt. Hetzelfde model is via de ene route toegestaan en via de andere geblokkeerd.

Het verschil tussen een persoonlijk en een zakelijk account

Als een medewerker zelf een account aanmaakt bij ChatGPT of Claude, gelden de voorwaarden voor consumenten. Dat geldt voor een gratis account en net zo goed voor een betaald persoonlijk abonnement. Het contract is dan tussen die medewerker en de aanbieder. Jouw bedrijf staat er buiten.

Dat heeft drie gevolgen die je pas merkt als het misgaat:

1. Geen verwerkersovereenkomst. Zet iemand klantgegevens in zo'n chat, dan verwerk je persoonsgegevens bij een partij waarmee je daar niets over hebt afgesproken. Onder de AVG ben jij daar verantwoordelijk voor, ook als je er niets van wist.
2. Training staat op een instelling die de medewerker zelf beheert. Bij consumentenaccounts kan wat je invoert gebruikt worden om modellen te verbeteren, tenzij iemand dat uitzet. Bij de zakelijke abonnementen van de grote aanbieders is dat standaard uitgesloten.
3. Je kunt er niet bij. Gaat iemand uit dienst, dan neemt hij zijn gespreksgeschiedenis mee. Jij kunt dat account niet blokkeren, uitloggen of doorzoeken.

Met een zakelijk account (zoals ChatGPT Business of Enterprise, Claude Team of Enterprise, of Copilot binnen je Microsoft 365) draai je dat om. Het bedrijf is de klant, jij beheert wie erin zit en er ligt een overeenkomst onder die je kunt laten zien als een klant ernaar vraagt.

Waarom dit ook voor een bedrijf van tien man telt

Je hoeft geen ministerie te zijn om hier last van te krijgen. Denk aan een administratiekantoor waar iemand een jaarrekening in een chat plakt om de toelichting te laten herschrijven. Of een installatiebedrijf waar de planner een lijst met klantadressen laat sorteren. Allemaal handig en allemaal verwerking van gegevens buiten je afspraken om.

Daar komt bij dat klanten en opdrachtgevers ernaar kunnen vragen. In een vragenlijst over informatiebeveiliging van een grotere opdrachtgever staat zomaar een vraag over AI-gebruik. "Dat doen mensen zelf" is dan geen sterk antwoord. Een gedeelde AI-omgeving met een contract eronder wel.

En er is een praktisch voordeel. Een zakelijk account geeft je overzicht over wat het kost en wie het gebruikt. We schreven eerder hoe je grip krijgt op AI-gebruik in je team zonder dat het een controle-operatie wordt.

Wat de Zweden goed deden (en wat je beter kunt doen)

Twee dingen zijn het overnemen waard. Ze hebben eerst een alternatief goedgekeurd en daarna de rest dichtgezet. En ze hebben het goedgekeurde alternatief strakker ingesteld, met een beoordeling vooraf.

Wat je in een klein bedrijf beter kunt doen: begin met de vraag. De blokkade komt pas als het niet anders kan. Een medewerker die zijn favoriete tool kwijtraakt zonder te snappen waarom, pakt zijn telefoon. Dan ben je verder van huis dan eerst.

Zo regel je het in een middag

1. Vraag rond welke AI-tools mensen gebruiken en met welk account. Geen verhoor, gewoon een lijstje: tool, persoonlijk of zakelijk, waarvoor.
2. Kies een of twee tools die het meeste werk dekken en neem daarvan een zakelijk abonnement. Werk je al in Microsoft 365 of Google Workspace, kijk dan eerst wat daar al in zit.
3. Controleer of er een verwerkersovereenkomst bij zit en sla die op. Bij de zakelijke abonnementen van de grote aanbieders is die standaard beschikbaar.
4. Spreek af wat er nooit in een AI-tool gaat, ook niet in de zakelijke. Hoe je die grens trekt, lees je in wat je wel en niet met AI deelt.
5. Laat mensen hun werk overzetten naar het zakelijke account en vraag ze daarna hun persoonlijke account niet meer voor werk te gebruiken.

Werk je met klantgegevens, lees dan ook even wat de AVG zegt over AI en klantdata. Die regels gelden los van welke tool je kiest.

Blokkeren is het laatste redmiddel

Het Zweedse besluit maakt het nieuws omdat het een blokkade is. Het interessantere deel staat ervoor: ze wisten welke tools er gebruikt werden, ze hadden een goedgekeurd alternatief en ze konden uitleggen waarom. Dat is wat een klein bedrijf ook nodig heeft.

De meeste ondernemers die we spreken willen dat hun team AI gebruikt. Ze willen alleen weten waar hun gegevens heen gaan. Met een zakelijk account en een paar duidelijke afspraken heb je allebei.

Benieuwd wat dit voor jouw bedrijf betekent? We kijken het graag samen met je door.