U weet wie u bent. U doet niets ongebruikelijks. Dat is precies het probleem.
Maandagochtend. Strakke deadline. Een cliëntcontract van 90 pagina's ligt op uw bureau, en uw partner wil donderdag een strategische samenvatting. U opent ChatGPT. U plakt het document. Vierentwintig uur later belandt een gepolijste synthese in de inbox — gestructureerde argumentatie, rigueur op promotieniveau, secties die de juristen van de cliënt zelf niet hadden bedacht om met elkaar te kruisverwijzen. De partner kijkt op: "Hoe hebt u dit zo snel voor elkaar gekregen?"
De tweede vraag beantwoordt u niet.
Dit tafereel speelt zich elke dag af in advocatenkantoren, adviesbureaus, ziekenhuizen, accountantskantoren en overheidsdiensten. In stilte. Op grote schaal.
Wat u werkelijk hebt geüpload
Dat contract was niet zomaar 90 pagina's juridisch proza. Het bevatte de volledige juridische naam van de cliënt, het ingeschreven adres, de bankgegevens, de identiteit van de wederpartij, de transactievoorwaarden, de boetebepalingen, en de strategische bedoeling achter een transactie die hij mogelijk nog niet eens aan zijn eigen bestuur heeft onthuld.
Elk veld dat een toezichthouder persoonlijk identificeerbaar noemt — en meer.
Het reisde, over het internet, naar commerciële cloudinfrastructuur die wordt beheerd door een Amerikaans bedrijf, verwerkt op servers waar u geen zicht op hebt, onder gebruiksvoorwaarden die de meeste mensen nooit hebben gelezen.
Waarom dit om zich heen grijpt
De productiviteitswinst is echt. We doen niet alsof het anders is. AI-tools comprimeren werkelijk uren synthese tot minuten, en de kwaliteit van het resultaat is vaak opmerkelijk. Er is geen technische vaardigheid vereist — tekst in een chatvenster plakken is zo eenvoudig als het maar kan. En cruciaal: niemand ziet u het doen. Het voelt slachtofferloos.
Er zijn ook subtielere krachten. De AI "verwerkt gewoon tekst" — het voelt abstract, vluchtig, niet als een usb-stick aan een vreemde overhandigen. De interface is ontworpen om privé aan te voelen. En de druk is echt: de partner wil werk van promotieniveau op een tijdslijn van dinsdagochtend, en de AI levert.
Dit zijn geen excuses. Het is een beschrijving van waarom het probleem in stilte aanzwelt in plaats van met veel kabaal — en waarom enquêtes consequent vaststellen dat een meerderheid van de kenniswerkers dit regelmatig doet, terwijl de meeste van hun organisaties geen beleid hebben dat het dekt.
Wat de AI werkelijk zag — en wat ermee gebeurde
AI-aanbieders verschillen in hun beleid voor gegevensverwerking, en de nuances wegen enorm zwaar:
- De meeste gratis en consumentenaccounts staan de aanbieder toe gesprekken te gebruiken om zijn modellen te verbeteren. Daartoe behoort het geplakte contract.
- Enterprise-accounts bieden doorgaans sterkere toezeggingen — geen gebruik voor training, strengere gegevensverwerking — maar de meeste kenniswerkers zitten niet op enterprise-abonnementen, en zelfs enterprise-voorwaarden voldoen niet aan de eisen voor gegevenslokatie van elke jurisdictie onder de AVG.
- Menselijke beoordelaars kunnen gemarkeerde of bemonsterde gesprekken zien als onderdeel van de trust-and-safetyprogramma's bij de meeste grote aanbieders.
- Subverwerkers: uw gegevens kunnen door cloudinfrastructuur in meerdere landen transiteren, elk onder een ander juridisch regime.
Het privacybeleid is geen schild. Het is een contract tussen u en de AI-aanbieder. Het zegt niets over het contract tussen u en uw cliënt — en het zet uw verplichtingen onder de gegevensbeschermingswetgeving niet opzij.
De gevolgen die niemand hardop wil zeggen
Er zijn meerdere afzonderlijke blootstellingspunten, en hun effecten stapelen op:
Schending van geheimhoudingsovereenkomst en contract
Vrijwel elke opdracht in de professionele dienstverlening bevat een vertrouwelijkheidsclausule die het delen van cliëntgegevens met derden verbiedt. "Derden" omvat AI-aanbieders. Dit is geen grijs gebied — het is de letterlijke tekst van de meeste geheimhoudingsovereenkomsten. Als een cliënt ontdekt dat zijn gegevens zonder zijn toestemming door een commerciële AI-tool zijn verwerkt, heeft hij gronden voor een vordering, ongeacht of er enige schade is opgetreden.
AVG en gegevensbeschermingswetgeving
Onder de AVG bent u de verwerkingsverantwoordelijke voor de persoonsgegevens van uw cliënt. De AI-aanbieder wordt een verwerker. Opdat die overdracht rechtmatig is, hebt u een verwerkersovereenkomst nodig — en een rechtsgrondslag voor de grensoverschrijdende overdracht. Een commerciële AI-tool gebruiken zonder deze op orde is geen technische schending van de beste praktijk. Het is een potentiële inbreuk op artikel 28 en 46, met boetes tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Voor een middelgroot kantoor is dat niet theoretisch.
Beroepsmatige toezichtsplicht
Advocaten, accountants, artsen en HR-professionals opereren onder sectorspecifieke geheimhoudingsplichten die volledig buiten het contractenrecht bestaan. Een advocaat die cliëntgegevens aan een AI-aanbieder onthult zonder de geïnformeerde toestemming van de cliënt, kan een tuchtprocedure bij zijn orde tegemoet zien. De uitkomst hangt niet af van de bedoeling. Ze hangt af van wat er is gebeurd.
Verlies van het vertrouwen van de cliënt
Toezichthouders nemen de tijd. Cliënten handelen onmiddellijk. Maar waarop precies? Zelden op het gebruik van AI als zodanig: ze weten dat een modern kantoor draait op geautomatiseerde tools, en weinigen zitten ermee — ze verwachten het zelfs. Wat ze daarentegen als vanzelfsprekend beschouwen, is dat hun vertrouwelijke informatie eruit was gehaald voordat enige externe dienst er ook maar mee in aanraking kwam.
Daar, precies, wordt vertrouwen gewonnen of verloren. Een cliënt aan wie wordt verteld dat zijn gevoelige gegevens vooraf zijn gewist, met beproefde technieken, heeft geen grief: wat werd verwerkt was een geanonimiseerd document, niet zijn geheimen. Maar laat hem ontdekken dat zijn ruwe informatie — namen, cijfers, clausules — intact werd overgedragen aan een dienst van derden, en de relatie eindigt ter plekke. Hoe hij erachter komt doet er nauwelijks toe: een inzageverzoek, een melding van een datalek, een gegriefde voormalige collega, of simpelweg de vraag rechtstreeks gesteld krijgen. En in de professionele dienstverlening ís de relatie het bedrijf.
De reputatieschade wordt niet begrensd door het individuele incident. Cliënten praten met elkaar.
Het "maar hun privacybeleid zegt..."-verweer
Het is het eerste waar mensen naar grijpen. "OpenAI zegt dat ze enterprise-gegevens niet voor training gebruiken." "Anthropic heeft een privacytoezegging." Deze beweringen kunnen waar zijn — voor het specifieke accounttype, in de specifieke jurisdictie, onder de specifieke voorwaarden die golden op het moment van verwerking.
Ze voldoen niet aan de eisen van de AVG voor rechtmatige verwerking. Ze maken uw geheimhoudingsovereenkomst niet ongedaan. Ze vormen geen verweer tegen een tuchtklacht. En ze helpen u niet als het beleid van de AI-aanbieder verandert, als u zich vergiste in het niveau waarop u zit, of als een toezichthouder een engere opvatting van "verwerking" hanteert dan u.
Leunen op het privacybeleid van een leverancier om de verwerking van cliëntgegevens te rechtvaardigen, is als leunen op de verzekeringspolis van een leverancier om uw eigen aansprakelijkheid te dekken. De polissen zijn echt. Ze doen alleen niet wat u nodig hebt dat ze doen.
De oplossing is eenvoudiger dan compliance laat klinken
De AI hoeft niet te weten dat de wederpartij "Acme GmbH, ingeschreven aan de Friedrichstraße 123, Berlijn" is om u te helpen de contractuele structuur te analyseren. Het heeft de structuur, de taal, de clausulelogica nodig. Haal de identiteiten weg, behoud de inhoud.
Anonimiseer het document voordat u het plakt. Vervang namen door [PERSON_1], adressen door [ADDRESS_1], rekeningnummers door [IBAN_1]. De AI levert een analyse van dezelfde kwaliteit. U kunt de tokens achteraf terugkoppelen. Het risico daalt tot vrijwel nul.
Dit is geen abstracte compliance-houding. Het is een stap van twee minuten die de werkwijze die u al hebt scheidt van die welke u werkelijk kunt verdedigen.
Het rapport van promotieniveau is nog steeds mogelijk. De cliëntgegevens blijven waar ze thuishoren.
