Laat je mensen veilig met AI werken. Ook met vertrouwelijke klantdata

Op een gratis of persoonlijk account niet. Je invoer kan gebruikt worden om modellen te verbeteren, je hebt geen zicht op wie er meekijkt en er is niets vastgelegd over waar je gegevens terechtkomen. In een beheerde werkomgeving ligt dat anders: daar is per aanbieder contractueel geregeld dat er niet op je data wordt getraind, staat de opslag in Nederland en zie je als beheerder wie wat doet. Het verschil zit niet in het model, maar in de omgeving eromheen.

Ja, mits je vier dingen kunt aantonen: waar de gegevens staan, wie erbij kan, of er op getraind wordt en hoe lang ze bewaard blijven. De AVG verbiedt AI niet, hij verbiedt onduidelijkheid. Met een verwerkersovereenkomst, opslag in Nederland, verwerking binnen de EU en logging van het gebruik is dat te regelen. Waar het echt gevoelig wordt, filteren we namen, e-mailadressen en rekeningnummers eruit voordat de vraag een model bereikt.

De opslag staat op Nederlandse servers bij BIT in Ede, de verwerking gebeurt binnen de EU. Draaien in je eigen Azure- of Google Cloud-omgeving of op eigen hardware kan ook. Toegang regel je centraal: medewerkers loggen in met hun bestaande Microsoft- of Google-account, met rollen en rechten per gebruiker. Alles wordt gelogd, met instelbare bewaartermijnen, zodat je bij een audit kunt laten zien wie wat wanneer deed.

Nee. Dat is met elke modelaanbieder vastgelegd in een verwerkersovereenkomst: je invoer traint geen modellen en gaat niet naar derden. Technisch werkt het zo dat het model je vraag verwerkt, het antwoord teruggeeft en daarna niets bewaart. Wat je organisatie zelf opbouwt aan assistenten, prompts en kennis blijft jullie eigendom en blijft binnen jullie eigen omgeving staan.

AIStudio is ISO 27001 en NEN 7510 gecertificeerd en DORA-getoetst. ISO 27001 gaat over informatiebeveiliging in het algemeen, NEN 7510 over de omgang met gezondheidsgegevens en DORA over digitale weerbaarheid in de financiële sector. De certificaten, verklaringen en onderliggende documenten zitten in het beveiligingsdossier, dat je hier kunt aanvragen. Daarmee beantwoord je een inkoop- of compliancevraag zonder eerst bij ons te hoeven aankloppen.

De EU AI Act verplicht organisaties om te weten welke AI ze inzetten, waarvoor en met welk risico. Voor gewoon kantoorwerk blijft het bij transparantie-eisen en de plicht om je mensen wegwijs te maken in AI. Voor toepassingen die als hoog risico gelden, zoals beslissingen over mensen, komen er zwaardere eisen bij. In beide gevallen begint het met overzicht: welke tools draaien er, wie gebruikt ze en waarvoor. Dat overzicht krijg je niet uit losse abonnementen.

Door één omgeving aan te bieden die beter werkt dan de tools die mensen zelf al gebruiken. Shadow AI ontstaat zelden uit onwil: iemand zoekt een oplossing en pakt wat voorhanden is. Een verbod verplaatst dat alleen naar de privételefoon. Geef je in plaats daarvan één werkomgeving met de modellen die ze willen, ingericht op hun eigen werk, dan verdwijnt de reden om uit te wijken. En omdat het gebruik zichtbaar is, zie je meteen waar de vraag zit.

Ja, mits twee dingen vaststaan: de gegevens gaan de deur niet uit en er wordt niet op getraind. Allebei liggen ze contractueel vast. Daar komt bij dat de mens beslist. AI levert het concept, jouw medewerker beoordeelt en tekent. Bij gevoelig werk is die controle het uitgangspunt en niet iets wat je apart aanzet. En om het achteraf te kunnen verantwoorden staan logging, rollen en bewaartermijnen standaard aan.

Dan schakel je over op een ander model, zonder je inrichting te verliezen. Je assistenten, prompts en kennisbank staan op een neutrale laag boven het model, dus een wissel is een instelling aan onze kant en geen migratieproject. Beschikbaarheid is ook een beveiligingsvraag: DORA rekent het wegvallen van een leverancier mee als risico. Hoe dat werkt lees je op de pagina over onafhankelijke AI.