AI op het werk: wat mag je, wat moet je werkgever regelen?

AI op het werk is voor veel mensen al gewoon: een mail herschrijven, een lang document samenvatten, een formule in Excel laten uitleggen. Vaak gebeurt dat met een eigen gratis account, zonder dat iemand er iets over heeft gezegd. Dat is begrijpelijk, maar het laat een belangrijke vraag open: wat mag je eigenlijk, en wie is verantwoordelijk als het misgaat?

Het korte antwoord is dat je werkgever de regels bepaalt en jij je eraan houdt. Maar veel werkgevers hebben nog niets geregeld, en dan moet je zelf inschatten wat verstandig is. Dit artikel helpt daarbij, vanuit het perspectief van de werknemer. Ben je zelf werkgever of ondernemer, lees dan AI voor bedrijven.

Mag je AI gebruiken op je werk?

Er is geen wet die werknemers verbiedt AI te gebruiken. Wat je mag, hangt af van twee dingen: wat je werkgever toestaat en welke gegevens je erin zet.

Heeft je organisatie een AI-beleid, dan is dat leidend. Daarin staat idealiter welke diensten zijn goedgekeurd, via welk account, en welke gegevens er niet in mogen. Het kan dat je werkgever alleen de zakelijke versie van één dienst toestaat en je privéaccount uitdrukkelijk uitsluit. Dat is dan geen overdreven voorzichtigheid, maar een keuze die te maken heeft met afspraken over gegevens.

Is er geen beleid, dan zit je in een grijs gebied. De veilige lijn is dan: gebruik AI alleen voor taken waar geen persoonsgegevens, klantinformatie of vertrouwelijke bedrijfsinformatie in zitten, en vraag je leidinggevende om het te regelen. Een simpele mail met "ik gebruik AI voor conceptteksten, is dat akkoord?" beschermt jou meer dan je denkt.

Wat moet je werkgever regelen?

Een werkgever heeft twee duidelijke taken als het om AI gaat.

Regels over gegevens. De Autoriteit Persoonsgegevens verwacht dat organisaties duidelijke regels maken over welke gegevens in een chatbot mogen. Zonder die regels weet een medewerker niet waar de grens ligt, en dat is precies hoe datalekken ontstaan.

AI-geletterdheid. Sinds 2 februari 2025 geldt artikel 4 van de AI Act, en sinds 27 juli 2026 is dat een inspanningsverplichting: werkgevers moeten maatregelen nemen die AI-geletterdheid ondersteunen, passend bij je rol en de context waarin je werkt. Een verplichte cursus of certificaat is er niet. Een receptionist heeft andere kennis nodig dan een HR-adviseur. Wil je zelf alvast een basis leggen, dan staan de gratis opties in AI cursus online.

Daarnaast hoort je werkgever te bepalen welke diensten en abonnementen je gebruikt voor werk met gevoelige gegevens, en die abonnementen ook te regelen. Dat is geen taak voor jou met je eigen creditcard.

Wat gebeurt er als je persoonsgegevens in een chatbot plakt?

Dit is het punt waar het in de praktijk misgaat. De Autoriteit Persoonsgegevens heeft meldingen van datalekken ontvangen van medewerkers die persoonsgegevens in AI-chatbots plakten. Een van de voorbeelden: een medewerker van een huisartsenpraktijk die medische gegevens van patiënten invoerde.

Doet een medewerker dat tegen de regels van de organisatie in, dan telt het als datalek. Melden bij de AP is dan meestal verplicht, en vaak moeten ook de mensen om wie het gaat worden ingelicht. In de zorg komt daar het medisch beroepsgeheim bij: het is dan ook een schending van de WGBO. Wat er in de zorg wel kan, lees je in AI in de zorg.

Persoonsgegevens zijn breder dan je misschien denkt. Het gaat niet alleen om namen en adressen, maar ook om een e-mail van een klant met zijn handtekening eronder, een cv van een sollicitant, een verzuimnotitie over een collega of een klantnummer dat naar één persoon te herleiden is.

Zakelijk abonnement of je eigen account: wat is het verschil?

Het model kan hetzelfde zijn, de afspraken niet. Bij een zakelijk abonnement heeft je werkgever een contract met de aanbieder, inclusief afspraken over de verwerking van gegevens. Bij je privéaccount ben jij de klant en gelden de consumentenvoorwaarden.

Twee aandachtspunten bij de privékant. Bij Claude staat training op betaalde consumentenplannen standaard uit, maar dat maakt een privéaccount nog geen zakelijk abonnement: er zijn nog steeds geen afspraken tussen je werkgever en de aanbieder. En DeepSeek draait in China zonder adequaatheidsbesluit, en is daarmee ongeschikt voor persoonsgegevens of klantdata. Meer over de verschillen per dienst staat in AI en privacy in Nederland.

Welke taken kun je gerust met AI doen?

Het meeste nut haal je uit taken waarin geen gegevens van anderen zitten. Denk aan:

• Een conceptmail of brief herschrijven, zonder namen en klantgegevens.
• Een openbaar rapport of een eigen beleidsstuk samenvatten.
• Een Excel-formule laten schrijven of uitleggen.
• Een presentatie opzetten of een agenda voor een overleg maken.
• Een tekst controleren op spelling en toon, of vertalen als er niets vertrouwelijks in staat.
• Brainstormen over een aanpak, een titel of een vragenlijst.

Voor dit soort werk maakt het weinig uit welke dienst je gebruikt, zolang je werkgever het goedvindt. Het verschil zit in kwaliteit. In onze taaltest schrijft Claude het meest natuurlijke Nederlands, met een 5 op 5, tegen een 4 voor ChatGPT en Gemini.

Wil je voor dit soort taken meerdere modellen naast elkaar gebruiken, dan kan dat bij ons: één tekstabonnement met onder andere Claude Opus 5.5, GPT-6.1 Sol, Gemini 3.8 Flash en DeepSeek V4 Flash voor €12,95 per maand. Voor klantgegevens is dat eerlijk gezegd niet de oplossing: daar gaat een zakelijk abonnement met goede afspraken via je werkgever boven elke prijs.

Welke vuistregels houden je uit de problemen?

Zes regels die in vrijwel elke organisatie werken:

1. Geen namen, geen nummers. Vervang namen door rollen ("de klant", "collega A") en laat klantnummers, BSN's en adressen weg.
2. Niets vertrouwelijks in een privéaccount. Contracten, offertes van klanten en interne cijfers horen in een zakelijke omgeving of nergens.
3. Controleer alles wat naar buiten gaat. AI kan feiten verzinnen die overtuigend klinken. Jij bent verantwoordelijk voor wat er met je naam eronder verstuurd wordt.
4. Laat AI geen besluiten over mensen nemen. Beoordelen van sollicitanten of collega's met AI valt vanaf 2 december 2027 onder de hoog-risicoregels van de AI Act, en de AVG stelt nu al grenzen aan geautomatiseerde besluitvorming. Meer daarover in AI voor HR.
5. Wees open over je gebruik. Vertel je leidinggevende waarvoor je AI inzet. Dat voorkomt verrassingen en helpt je werkgever om goed beleid te maken.
6. Twijfel is nee. Weet je niet zeker of iets erin mag, dan niet.

Wat als je werkgever nog niets heeft geregeld?

Dan ben je niet de enige. Veel organisaties zijn er nog mee bezig. Je kunt het zelf in beweging zetten door je leidinggevende te vragen welke diensten zijn toegestaan en of er een zakelijk abonnement komt. Verwijs gerust naar de verplichting tot AI-geletterdheid: die geldt voor elke werkgever die AI laat gebruiken.

Ben je zzp'er en werk je voor opdrachtgevers, dan ben je je eigen werkgever en moet je dit zelf regelen. De keuzes en kosten daarvoor staan in AI voor zzp'ers en kleine bedrijven.

Conclusie