Bedrijfsgeheimen kunnen met een simpele aanwijzing openbaar worden gemaakt: GDPR en de beperkingen van gegevensbeveiliging bij het gebruik van AI op de werkvloer

Ingang

Het komt steeds vaker voor dat een HR-professional tientallen cv's uploadt naar een AI-applicatie en zegt: "Selecteer de vijf meest geschikte kandidaten", dat een verkoper een klantenlijst importeert om gepersonaliseerde e-mails te maken, of dat een medewerker van de boekhouding een salarisadministratie uploadt voor foutcontrole. Ook een advocaat die een dossier uploadt, een arts die een patiëntenverslag uploadt, of een softwareontwikkelaar die broncode uploadt naar een generatief AI-systeem, kan in slechts enkele minuten aanzienlijk veel tijd besparen.

De informatie die een medewerker in de AI invoert, is echter niet zomaar een "vraag" die op het scherm verschijnt. Deze informatie kan worden verzonden naar de servers van de dienstverlener, worden opgeslagen in systeemlogboeken, worden onderworpen aan beveiligingscontroles, worden overgedragen naar servers in andere landen of worden gebruikt in modelontwikkelingsprocessen, afhankelijk van de aard van de dienst. Het gebruik van kunstmatige intelligentie op de werkvloer is daarom niet alleen een kwestie van productiviteit; het is ook een kwestie van persoonsgegevensverwerking, gegevensbeveiliging, bescherming van bedrijfsgeheimen en de wettelijke verantwoordelijkheid van de werkgever. De Autoriteit Persoonsgegevens stelt eveneens dat productieve systemen met kunstmatige intelligentie intensief in contact komen met persoonsgegevens en dat het belangrijk is dat deze systemen op een transparante, controleerbare, veilige en mensgerichte manier worden gebruikt.

Juridisch kader voor het gebruik van kunstmatige intelligentie op de werkvloer in Turkije

In Turkije is er nog geen alomvattende wet aangenomen die kunstmatige intelligentiesystemen in alle aspecten reguleert. Uit documenten van de Turkse Grote Nationale Vergadering blijkt dat het wetsvoorstel inzake kunstmatige intelligentie, daterend uit 2024, zich nog in de commissiefase bevindt. De wettigheid van het gebruik van kunstmatige intelligentie op de werkvloer wordt daarom momenteel voornamelijk beoordeeld aan de hand van bestaande bepalingen inzake de bescherming van persoonsgegevens, arbeidsrecht, contractrecht, strafrecht, bedrijfsgeheimen en intellectueel eigendom.

De belangrijkste juridische grondslagen in deze context zijn als volgt:

• Wet nr. 6698 betreffende de bescherming van persoonsgegevens,
• De bepalingen van de Grondwet betreffende de privacy van het privéleven en de bescherming van persoonsgegevens,
• Artikelen 417 en 419 van het Turkse Wetboek van Verbintenissen nr. 6098, betreffende de bescherming van de persoonlijkheid van de werknemer en het gebruik van zijn persoonsgegevens,
• De bepalingen van de Arbeidswet nr. 4857 betreffende gelijke behandeling, arbeidsomstandigheden en ontslag,
• De bepalingen van het Turkse Wetboek van Strafrecht met betrekking tot het onrechtmatig vastleggen, verkrijgen en delen van persoonsgegevens,
• Handelsgeheimen, klantgeheimen, beroepsgeheimen en geheimhoudingsverplichtingen
• Arbeidsovereenkomst, informatiebeveiligingsbeleid en interne bedrijfsreglementen.

Artikel 417 van het Turkse Wetboek van Verbintenissen legt de werkgever de verplichting op om de persoonlijkheid van de werknemer te beschermen en een orde op de werkplek te creëren die voldoet aan de beginselen van eerlijkheid. Volgens artikel 419 van hetzelfde wetboek mag de werkgever de persoonsgegevens van de werknemer alleen gebruiken voor zover dit relevant is voor de geschiktheid van de werknemer voor de functie of noodzakelijk is voor de uitvoering van de arbeidsovereenkomst. Het gebruik van kunstmatige intelligentie op de werkplek staat de werkgever daarom niet toe om onbeperkt gegevens over werknemers te verzamelen of hun gedrag onbeperkt te analyseren.

Is het invoeren van informatie in kunstmatige intelligentie gelijk aan de verwerking van persoonsgegevens?

Het uploaden van klantnamen, telefoonnummers, e-mailadressen, functioneringsgesprekken, cv's, foto's, spraakopnames, gezondheidsinformatie, salarisgegevens, facturen of gerechtelijke documenten naar een systeem met kunstmatige intelligentie door een werknemer kan worden beschouwd als verwerking van persoonsgegevens.

Het begrip "verwerking" onder de Turkse wet op de bescherming van persoonsgegevens (KVKK) is vrij breed. Het uploaden, overdragen, registreren, classificeren, analyseren, samenvatten of vergelijken van gegevens met andere informatie kan allemaal als gegevensverwerking worden beschouwd. Het verweer dat het kunstmatige intelligentiesysteem slechts tijdelijk is gebruikt of dat de werknemer de informatie vanuit zijn eigen account heeft geüpload, ontslaat de werkgever niet automatisch van juridische aansprakelijkheid.

Als bijvoorbeeld iemand die op de verkoopafdeling werkt zijn klantenlijst uploadt naar zijn persoonlijke AI-account;

• Persoonsgegevens van klanten zijn overgedragen aan een externe dienstverlener
• De gegevens zijn verwijderd uit systemen die onder controle staan ​​van de werkgever
• Indien dit het geval is, is het doorgestuurd naar servers in het buitenland
• Het beleid van de werkgever met betrekking tot het bewaren en verwijderen van gegevens is niet langer afdwingbaar

Dat zou kunnen.

De benadering dat "de werknemer het zelf heeft gedaan, het bedrijf is niet verantwoordelijk" is daarom niet veilig. Werkgevers zijn verplicht hun werknemers training te geven, gebruiksregels vast te stellen, de toegang te beperken en de nodige controlemechanismen in te voeren.

Hoe worden de fundamentele principes van de Turkse wet op de bescherming van persoonsgegevens (KVKK) toegepast bij het gebruik van kunstmatige intelligentie?

Volgens artikel 4 van Wet nr. 6698, bij de verwerking van persoonsgegevens;

1. Naleving van de wet en de principes van eerlijkheid,
2. Nauwkeurig en actueel zijn wanneer nodig
3. Verwerking voor specifieke, expliciete en legitieme doeleinden
4. Relevant zijn voor het doel waarvoor ze worden ingezet, beperkt en proportioneel
5. Te bewaren gedurende de noodzakelijke periode

Het naleven van deze principes is verplicht. Deze principes zijn van toepassing op alle bedrijfsprocessen die gebruikmaken van kunstmatige intelligentie.

In plaats van bijvoorbeeld van de personeelsafdeling te eisen dat zij alle cv's van sollicitanten in het systeem uploadt voor beoordeling, zou zij identificatiegegevens, adresgegevens, foto's en contactgegevens die niet nodig zijn voor de beoordeling, moeten verwijderen. Want als het doel is om de professionele kwalificaties van de kandidaten te vergelijken, zou het verwerken van het volledige adres of identiteitsnummer van de persoon niet proportioneel zijn.

Ook bij het opstellen van een reactie op een klantklacht mogen de volledige naam, het telefoonnummer, het adres en het ordernummer van de klant niet in het systeem worden ingevoerd. Gebruik liever geanonimiseerde of algemene termen zoals 'Klant A', 'Bestelling van datum X' of 'productprijs'. De KVKK-richtlijn 'Generative Artificial Intelligence 2025' adviseert eveneens om direct of indirect identificerende gegevens zoals naam, achternaam, adres, telefoonnummer en identiteitsgegevens niet in systemen voor kunstmatige intelligentie in te voeren en om zoveel mogelijk geanonimiseerde en algemene beschrijvingen te gebruiken.

Lost expliciete toestemming elk probleem op?

Een veelgemaakte fout bij het gebruik van kunstmatige intelligentie op de werkvloer is de overtuiging dat het verkrijgen van algemene, expliciete toestemming van werknemers of klanten alle gegevensverwerkingsactiviteiten rechtmatig maakt.

Echter, expliciete toestemming;

• Het moet betrekking hebben op een specifiek onderwerp
• Het moet gebaseerd zijn op informatie
• Het moet verklaard worden door de vrije wil
• Het mag geen verplichte voorwaarde worden voor andere transacties.

Gezien de economische en hiërarchische relatie tussen werknemer en werkgever, moet nader worden onderzocht of de toestemming van de werknemer daadwerkelijk gebaseerd is op vrije wil. Een algemene en onbeperkte verklaring zoals "Al uw werkgegevens kunnen worden verwerkt door systemen met kunstmatige intelligentie" vormt geen geldige juridische garantie.

De werkgever moet eerst vaststellen of de gegevensverwerking is gebaseerd op een andere wettelijke grondslag die in de wet is vastgelegd. Grondslagen zoals het nakomen van een wettelijke verplichting, de uitvoering van een contract, het vaststellen of beschermen van een recht, of een gerechtvaardigd belang, mits dit geen afbreuk doet aan de fundamentele rechten, kunnen worden beoordeeld aan de hand van de specifieke omstandigheden van het geval. Ongeacht welke wettelijke grondslag wordt gebruikt, blijven de beginselen van relevantie voor het doel en proportionaliteit van kracht.

Risicovolle toepassingen van AI in het dagelijks bedrijfsleven

1. Cv's uploaden naar kunstmatige intelligentie

Wanneer een HR-medewerker cv's van kandidaten uploadt naar kunstmatige intelligentie, resulteert dit in de verwerking van een aanzienlijke hoeveelheid persoonsgegevens, waaronder identiteitsgegevens, contactgegevens, foto's, opleiding, werkervaring en referenties. Het risico neemt toe als het cv gevoelige informatie bevat, zoals een handicap, gezondheidstoestand of strafblad.

Het uitsluiten van kandidaten uitsluitend op basis van AI-scores kan ook leiden tot discriminatie en foutieve beslissingen. Eerdere vooroordelen in onderwijsdata kunnen ertoe leiden dat bepaalde leeftijds-, gender-, school- of regionale groepen systematisch lager scoren. De GDPR-richtlijn stelt dat AI-systemen foutieve en inconsistente resultaten kunnen produceren, vooroordelen in onderwijsdata kunnen reproduceren en dat de besluitvormingsprocessen van sommige systemen een 'black box'-karakter kunnen hebben.

2. Automatische opname en samenvatting van vergaderingen

Het opnemen van online vergaderingen met behulp van kunstmatige intelligentie leidt tot de verwerking van stemmen, beelden en gespreksinhoud van medewerkers. Deelnemers dienen vooraf te worden geïnformeerd over de opname en analyse.

Stemgegevens zijn niet in alle gevallen biometrische gegevens. Ze kunnen echter wel de kenmerken van biometrische gegevens verkrijgen als ze worden verwerkt met behulp van speciale technische methoden om iemands identiteit uniek te identificeren of te verifiëren. De verwerking van bijzondere categorieën persoonsgegevens kan ook aan de orde komen als er tijdens de vergadering informatie over gezondheid, vakbondsactiviteiten, strafrechtelijk onderzoek of privéleven wordt besproken.

3. Het laten analyseren van loon- en personeelslijsten

Salarisadministratiegegevens kunnen informatie bevatten over lonen, bankgegevens, bonussen, inhoudingen, verlof en sociale voorzieningen. Het uploaden van deze documenten naar een openbaar toegankelijk AI-systeem brengt een ernstig risico voor de gegevensbeveiliging met zich mee. Als foutdetectie vereist is, moeten de gegevens geanonimiseerd worden, mogen alleen gesloten systemen die door de instelling zijn goedgekeurd worden gebruikt en moeten de toegangsrechten tot het systeem beperkt worden.

4. Marketingteksten genereren op basis van klantlijsten

Als een medewerker een klantenlijst uploadt naar een AI-systeem en de opdracht geeft om "verkoopmails voor deze mensen te maken", kan dit ertoe leiden dat de gegevens voor een ander doel worden gebruikt dan waarvoor ze oorspronkelijk bedoeld waren. Het feit dat klantgegevens zijn verzameld om een ​​dienst te verlenen, betekent niet dat die gegevens zomaar voor elke vorm van AI-analyse en marketingactiviteit gebruikt mogen worden.

5. Het samenvatten van het patiëntendossier of -verslag

Dossiers, medische dossiers en consultatiedocumenten kunnen niet alleen persoonsgegevens bevatten, maar ook informatie die valt onder bedrijfsgeheimen en de vertrouwelijkheid tussen cliënt en patiënt. Het simpelweg verwijderen van namen is niet altijd voldoende. De datum van het incident, de werkplek, de functie, het type ziekte of informatie over onroerend goed kunnen indirecte identificatie van de persoon mogelijk maken.

6. De broncode uploaden naar de kunstmatige intelligentie

Softwarecode kan klantgegevens, databaseverbindingen, API-sleutels, wachtwoorden, beveiligingslekken en bedrijfsgeheimen bevatten. Als een medewerker deze informatie overdraagt ​​naar een extern systeem voor codeontwikkeling, kan dit leiden tot zowel een datalek als de openbaarmaking van bedrijfsgeheimen.

Het probleem van het overdragen van persoonsgegevens naar het buitenland

Veel aanbieders van AI-diensten zijn in het buitenland gevestigd en verwerken gegevens mogelijk op servers in andere landen. Als een medewerker een bestand uploadt naar een buitenlands AI-systeem, kan dit, afhankelijk van de algemene voorwaarden, leiden tot de overdracht van persoonsgegevens naar het buitenland.

Volgens artikel 9 van Wet nr. 6698 moet de overdracht van gegevens naar het buitenland gebaseerd zijn op een van de volgende gronden: een adequaatheidsbesluit, passende waarborgen of uitzonderlijke overdrachtsgronden die alleen in incidentele gevallen van toepassing zijn. Passende waarborgen omvatten standaardcontracten die door de Autoriteit zijn gepubliceerd en andere wettelijke overdrachtsmethoden. Met de wijzigingen van 2024 is de regeling voor gegevensoverdracht naar het buitenland herzien en zijn de nieuwe bepalingen op 1 juni 2024 in werking getreden.

Het enkele feit dat de werkgever betaalt voor de toepassing van kunstmatige intelligentie of de gebruiksvoorwaarden accepteert, betekent dus niet automatisch dat aan de voorwaarden voor het overdragen van gegevens naar het buitenland volgens de Wet bescherming persoonsgegevens (KVKK) is voldaan. Het bedrijf moet:

• in welke landen de gegevens worden verwerkt
• wie de onderaannemers zijn
• of de invoergegevens werden gebruikt bij de modeltraining,
• hoe lang de gegevens worden bewaard,
• hoe verwijderingsverzoeken worden afgehandeld,
• procedure voor het melden van een datalek

Het moet worden herzien.

Kan een werkgever het gebruik van kunstmatige intelligentie verbieden?

Binnen de grenzen van hun beheersbevoegdheden kunnen werkgevers regels vaststellen met betrekking tot het gebruik van informatiesystemen op de werkplek. Ze kunnen bepaalde toepassingen van kunstmatige intelligentie volledig verbieden vanwege gegevensbeveiliging, klantvertrouwelijkheid, bescherming van bedrijfsgeheimen of brancheverplichtingen; ze kunnen alleen het gebruik van goedgekeurde bedrijfstools toestaan.

De opgelegde ban of beperking;

• Het moet gebaseerd zijn op een objectief doel
• Dit moet duidelijk en van tevoren aan de medewerkers worden meegedeeld
• Het moet aansluiten bij de aard van de functie
• dient met mate te worden toegepast
• Dit zou op gelijke wijze moeten worden toegepast op werknemers in vergelijkbare situaties.

Een ziekenhuis dat bijvoorbeeld het uploaden van patiëntgegevens naar openbaar toegankelijke AI-systemen verbiedt, kan vanuit een oogpunt van gegevensbeveiliging gerechtvaardigd en noodzakelijk zijn. Het heimelijk monitoren van alle digitale activiteiten van medewerkers zonder enige uitleg zou echter wettelijk niet zijn toegestaan.

Mag een werkgever het gebruik van kunstmatige intelligentie door een werknemer monitoren?

Een werkgever kan een legitiem belang hebben bij het waarborgen van informatiebeveiliging, het beschermen van bedrijfsgeheimen en het toezicht houden op het correcte gebruik van bedrijfssystemen. Deze bevoegdheid is echter niet onbeperkt.

Het besluit 2023/86 van de Autoriteit Persoonsgegevens erkent dat werkgevers onder bepaalde voorwaarden zakelijke e-mails mogen monitoren om bedrijfsgeheimen en communicatiemiddelen te beschermen. Het besluit stelt echter dat monitoring primair beperkt moet blijven tot communicatieverkeer en verdachte activiteiten; inhoudelijke controle mag alleen plaatsvinden wanneer dat noodzakelijk is. Het is cruciaal dat monitoring beperkt blijft tot relevant personeel en voor specifieke doeleinden.

In besluit nummer 2021/1187 oordeelde de Raad dat toegang tot zakelijke e-mailaccounts zonder werknemers daarvan op de hoogte te stellen onrechtmatig is. In het besluit werd benadrukt dat voorafgaande kennisgeving aan de werknemer noodzakelijk is, dat de ingreep gebaseerd moet zijn op een legitiem doel, dat er geen minder ingrijpende methode beschikbaar mag zijn, dat de controle beperkt moet blijven tot het beoogde doel en dat er een evenwicht moet worden gevonden tussen de belangen van de werknemer en de werkgever.

Deze principes gelden ook voor het monitoren van het gebruik van kunstmatige intelligentie. Als een werkgever bijvoorbeeld wil controleren welke AI-websites werknemers bezoeken of welke bestanden ze uploaden;

• Het doel van de audit is,
• domein,
• methode,
• welke gegevens worden geregistreerd,
• opslagtijd,
• wie er toegang toe heeft,
• Hoe de auditresultaten te gebruiken

Werknemers dienen hierover vooraf geïnformeerd te worden.

Zou het gebruik van kunstmatige intelligentie een reden voor ontslag kunnen zijn?

Het gebruik van kunstmatige intelligentie door een werknemer vormt op zich geen automatische reden voor gerechtvaardigd ontslag. Alle specifieke omstandigheden van het geval moeten in overweging worden genomen bij de beoordeling van ontslag.

Speciaal;

• of er een duidelijk beleid is met betrekking tot kunstmatige intelligentie op de werkvloer,
• of de werknemer vooraf op de hoogte was gesteld,
• de aard van de geüploade gegevens,
• of er klant- of werknemersgegevens beschikbaar zijn,
• ongeacht of een bedrijfsgeheim al dan niet openbaar is gemaakt
• of er daadwerkelijke of potentiële schade is ontstaan,
• opzet of nalatigheid van de werknemer,
• ongeacht of de overtreding zich herhaalde of niet
• of er eerder een waarschuwing is gegeven,
• hoe de werkgever zich in vergelijkbare situaties gedroeg

Het moet worden geëvalueerd.

Als er bijvoorbeeld geen training in gegevensbeveiliging is gegeven, goedgekeurde tools niet zijn gedemonstreerd en het verbod niet expliciet is vermeld, kan onmiddellijk ontslag om gegronde redenen bij de eerste overtreding als onevenredig worden beschouwd. Omgekeerd, als een werknemer de identiteits- en financiële gegevens van duizenden klanten uploadt naar een extern systeem ondanks een duidelijk verbod, of willens en wetens bedrijfsgeheimen openbaar maakt, kunnen zwaardere disciplinaire maatregelen worden overwogen.

Bovendien moet het digitale bewijs ter onderbouwing van het ontslag op rechtmatige wijze door de werkgever zijn verkregen. Het gebruik van gegevens verkregen via onrechtmatige en heimelijke surveillance kan een afzonderlijk datalek en een schending van de privacy opleveren.

Prestatiebeoordeling van medewerkers met behulp van kunstmatige intelligentie

Het komt steeds vaker voor dat systemen met kunstmatige intelligentie prestatiescores voor werknemers genereren door hun e-mailverkeer, de tijd die nodig is om taken te voltooien, hun online tijd, verkoopvolume, klantinteracties of toetsenbordactiviteit te analyseren.

Het beoordelen van de prestaties van werknemers uitsluitend via geautomatiseerde systemen brengt echter aanzienlijke juridische risico's met zich mee. Het systeem;

• U kunt onvolledige of onjuiste gegevens gebruiken
• Een beperking kan indirect beïnvloed worden door factoren zoals leeftijd, geslacht of gezinssituatie
• Het houdt mogelijk alleen rekening met meetbare activiteiten en niet met de kwaliteit van het werk
• Ze kunnen de reden voor de beslissing wellicht niet uitleggen.

Daarom mag de output van AI op zich niet de enige bepalende factor zijn voor beslissingen over salaris, promotie, disciplinaire maatregelen of ontslag. Een echte en effectieve beoordeling moet door een mens worden gemaakt; de werknemer moet worden geïnformeerd over de basis van de beslissing en bezwaar kunnen maken tegen onjuiste gegevens. Artikel 11 van de Wet bescherming persoonsgegevens geeft individuen ook het recht om bezwaar te maken tegen een resultaat dat voor hen nadelig is en dat uitsluitend is verkregen door analyse door geautomatiseerde systemen.

Verantwoordelijkheden van de werkgever met betrekking tot gegevensbeveiliging

Volgens artikel 12 van Wet nr. 6698 is de verwerkingsverantwoordelijke:

• om de onrechtmatige verwerking van persoonsgegevens te voorkomen,
• om onrechtmatige toegang tot persoonsgegevens te voorkomen,
• om de bescherming van persoonsgegevens te waarborgen

De werkgever moet hiervoor de nodige technische en administratieve maatregelen treffen. Indien de werkgever samenwerkt met een aanbieder van kunstmatige intelligentie die namens hem gegevens verwerkt, kan de werkgever de verantwoordelijkheid voor de beveiligingsmaatregelen ook delen met die aanbieder.

Om een ​​veilig systeem voor kunstmatige intelligentie op de werkplek te implementeren, moeten ten minste de volgende maatregelen worden genomen:

1. De soorten kunstmatige intelligentietools die wel en niet zijn toegestaan, moeten duidelijk worden gedefinieerd.
2. Gegevensclassificatie moet worden uitgevoerd voor klant-, werknemers-, patiënt-, cliënt- en financiële gegevens.
3. Gebruik zakelijke accounts in plaats van openbaar toegankelijke persoonlijke accounts.
4. Institutionele opties die het gebruik van data bij modeltraining voorkomen, verdienen de voorkeur.
5. Persoonsgegevens moeten worden geanonimiseerd voordat ze in het systeem worden ingevoerd.
6. De toegangsrechten moeten beperkt blijven tot de betreffende taak en er moet gebruik worden gemaakt van multifactorauthenticatie.
7. Activiteiten zoals het uploaden van bestanden en het exporteren van gegevens moeten nauwkeurig worden vastgelegd.
8. De resultaten van kunstmatige intelligentie moeten door mensen worden gevalideerd.
9. Er moet een meldingsprocedure voor datalekken worden ingesteld voor gevallen van foutieve output, datalekken of onjuiste uploads.
10. Werknemers dienen regelmatig training te krijgen over kunstmatige intelligentie en de AVG (Algemene Verordening Gegevensbescherming).

Hoe moet een bedrijfsbeleid voor het gebruik van kunstmatige intelligentie worden opgesteld?

Het is vaak onvoldoende voor een werkgever om simpelweg een mededeling van één zin te publiceren met de tekst: "Het gebruik van kunstmatige intelligentie is verboden." Een effectief beleid voor het gebruik van AI moet de volgende zaken duidelijk regelen:

Vrij toegankelijke zones

Er kunnen taken met een laag risico worden geïdentificeerd, zoals het corrigeren van algemene teksten die geen persoonlijke gegevens of bedrijfsgeheimen bevatten, het genereren van ideeën, het samenvatten van openbaar beschikbare informatie en het voorbereiden van voorbeeldtemplates.

Gebruiksgebieden waarvoor toestemming vereist is

Activiteiten zoals de analyse van geanonimiseerde klantgegevens, codeontwikkeling, het samenvatten van vergaderingen en personeelszaken kunnen toestemming vereisen van de afdelingsmanager of de functionaris voor gegevensbescherming.

Verboden gegevens

Het uploaden van identificatienummers, gezondheidsinformatie, biometrische gegevens, bankgegevens, wachtwoorden, klantenlijsten, salarisadministratie, dossiers, patiëntendossiers, bedrijfsgeheimen, broncode en vertrouwelijke contracten naar ongeautoriseerde systemen kan uitdrukkelijk verboden zijn.

Menselijke controle

Er moeten regels worden ingevoerd om te voorkomen dat door AI gegenereerde juridische adviezen, financiële berekeningen, prestatiescores, wervingsaanbevelingen of klantreacties worden gebruikt zonder verificatie door een bevoegde persoon.

Melding van datalek

Als een medewerker per ongeluk persoonlijke gegevens uploadt, moet hij of zij dit onmiddellijk melden bij de afdeling informatiebeveiliging of de juridische afdeling in plaats van het te verzwijgen. Vroegtijdige melding is cruciaal voor het verwijderen van gegevens en het beperken van schade.

Conclusie

De wettelijke beperkingen op het gebruik van kunstmatige intelligentie op de werkvloer gaan minder over de vraag of de technologie überhaupt wordt gebruikt, en meer over welke gegevens worden gebruikt, voor welk doel en onder welke veiligheidsvoorwaarden.

Het volledig negeren van kunstmatige intelligentie door een werkgever kan leiden tot de ongecontroleerde overdracht van klantgegevens, werknemersinformatie en bedrijfsgeheimen naar externe systemen. Omgekeerd kan het continu en heimelijk monitoren van werknemers zonder voorafgaande kennisgeving ook een schending van de wetgeving vormen met betrekking tot de bescherming van persoonsgegevens, privacy en vrijheid van communicatie.

De fundamentele principes van een wettelijk toegestaan ​​AI-systeem op de werkplek zijn als volgt:

• Een duidelijk en legitiem gebruiksdoel,
• Een geldige voorwaarde voor de verwerking van persoonsgegevens,
• Met een minimale hoeveelheid gegevens,
• Het informeren van medewerkers en relevante partijen,
• Naleving van de algemene voorwaarden voor het overmaken van geld naar het buitenland
• Het nemen van technische en administratieve beveiligingsmaatregelen,
• Menselijk toezicht op de output van kunstmatige intelligentie,
• Het trainen van medewerkers met behulp van een duidelijk en begrijpelijk beleid.

Een enkele opdracht die in een AI-toepassing wordt ingevoerd, lijkt misschien een proces dat slechts enkele seconden duurt. Maar als die opdracht klantnamen, medische dossiers, salarisgegevens, gerechtelijke documenten of bedrijfsgeheimen bevat, kan dat proces van een paar seconden uitgroeien tot een langdurige schending van de AVG, verlies van bedrijfsgeheimen en ernstige juridische aansprakelijkheid voor de werkgever. Daarom zou de basisregel op de werkvloer niet moeten zijn: "Gebruik geen AI", maar eerder: "Upload geen persoonsgegevens en bedrijfsgeheimen naar niet-goedgekeurde systemen . "