Mag een organisatie AI-gebruik van medewerkers monitoren?

Een lezer vroeg me:

Onze organisatie is erg bezorgd over fouten bij gebruik van AI, met name door het uploaden van persoonsgegevens of vertrouwelijke informatie. Men heeft nu aangekondigd alle verkeer naar zulke diensten te monitoren en steeksproefgewijs te controleren. Mag dat zomaar?

Dat mag, maar niet zomaar.

Het monitoren van internetverkeer van medewerkers is al sinds jaar en dag een onderwerp met juridisch kader. Dat het hier specifiek over AI-diensten gaat, is bijzaak. Het gaat om de risico’s: onbevoegd gebruik van persoonsgegevens, lekken van bedrijfsgeheimen, of zaken als reputatieschade veroorzaken. Die risico’s zijn legitiem en daar mag je maatregelen op nemen.

Tegelijkertijd is het monitoren van ict-verkeer van werknemers een inbreuk op hun privacy. Die heb je ook op het werk, en ook bij gebruik van diensten die niet toegestaan zijn. Want om te kijken of je dat doet, moet je alle ict-verkeer controleren.

Het compromis waar we eigenlijk al een tijdje op uitgekomen zijn, is dat geautomatiseerd scannen in principe mag, maar voor menselijk meekijken moet er meer zijn. En bij acteren op zo’n scan moet je proportioneel handelen. Een paar voorbeelden:

• Je mag loggen of mensen naar sites als chatgpt.com of perplexity.ai gaan. Gebeurt dat vaak, dan kun je die mensen een mailtje sturen met de waarschuwing dat dit niet voor zakelijke doeleinden mag. (In de lunchpauze sinterklaasgedichten uit Sjet halen mag wel.)
• Je mag de omvang van internetverkeer naar zulke diensten monitoren. Wie grote pieken veroorzaakt, kan gericht worden gevraagd wat voor bakken data hij uploadt.
• Bij zakelijke abonnementen op AI-diensten kun je het loggen van chats verplicht stellen. Je kunt beleid maken dat je daar op basis van trefwoorden in mag zoeken of steekproefsgewijs in mag kijken. (De OR zal dit moeten goedkeuren, als die er is.)
• De mensen die de logs lezen, zijn apart op geheimhouding gewezen en zijn geen directe collega’s van de gemonitorde mensen.

Bij die laatste zijn zaken als “op basis van trefwoorden” belangrijk omdat je daarmee de impact beperkt. Die trefwoorden zijn over nagedacht, dus beperken de kans dat je allerlei gegevens uit een privéchat voor ogen krijgt.

Arnoud