Je team gebruikt AI al, of je het nu geregeld hebt of niet. Wat er wel en niet mag, waarom het uitmaakt van wie de server is, en hoe je het in een middag regelt. Met een gratis checklist.
Bram der Kinderen
Co-founder Siska
Het is donderdagmiddag. Een collega heeft een klant aan de lijn over de overdracht van zijn zaak. De vraag is lastig en de klant wil vandaag nog iets horen. Dus gaat de aangifte van vorig jaar in ChatGPT, met naam en BSN erbij. Twee minuten later ligt er een prima eerste opzet.
Dit doet die collega niet expres fout. Maar die gegevens staan nu wel op een server waar jullie niks over te zeggen hebben. En dat gebeurt vaker dan je denkt: de Autoriteit Persoonsgegevens kreeg in 2024 en 2025 tientallen meldingen van datalekken via AI-chatbots, en in 2025 meer dan het jaar ervoor. Bij een gemeente bleek dat medewerkers dertig dagen lang vertrouwelijke stukken in openbare chatbots hadden geplakt. Hoe groot het lek was, viel achteraf niet eens vast te stellen.
Een verbod lost het niet op. Dan gebeurt het toch, alleen buiten beeld. Of het werk gaat trager, de druk loopt op en goede mensen vertrekken naar een kantoor dat het wél geregeld heeft. In Je wilt als kantoor iets met AI. Maar waar begin je? schreven we al welke vragen je een AI-tool moet stellen. Dit stuk gaat over de volgende stap: hoe regel je het intern, zonder dat het een project van maanden wordt?
Download de gratis checklist →
Wat er nu al van je wordt verwacht
Veilig met AI werken is niet alleen verstandig. Een deel is gewoon verplicht.
De AVG. Gaat er klantdata naar een AI-tool, dan is die leverancier verwerker en heb je een verwerkersovereenkomst nodig. Bij een gratis chatbot heb je die niet, en weet je vaak niet of jullie gegevens worden bewaard of gebruikt om het model verder te trainen.
De AI-verordening. Sinds 2 februari 2025 moet elke organisatie die AI inzet zorgen dat medewerkers voldoende AI-geletterd zijn. Ook een kantoor van tien man.
Jullie beroep. De NBA en NOREA brachten in juni 2026 de leidraad AI Toegepast uit. De kern: AI mag geen black box zijn, en validatie en menselijk oordeel blijven de basis. Het advies blijft van jou, met jouw naam eronder.
Wat er straks bij komt
De AI-verordening wordt in stappen ingevoerd. Na een Europees akkoord in 2026 zijn een paar data opgeschoven, maar de richting staat vast:
Transparantie. Vanaf eind 2026 moet het voor klanten duidelijk zijn wanneer ze met AI te maken hebben, bijvoorbeeld met een chatbot op je site of met teksten en beelden die door AI zijn gemaakt.
Strengere regels voor hoog-risico AI. Die gelden vanaf december 2027, voor AI die meebeslist over bijvoorbeeld kredietwaardigheid van particulieren of over sollicitanten. Voor de meeste kantoren speelt dat niet, maar doe je dit soort werk met AI, kijk er dan nu al naar.
Vragen van toezichthouders en klanten. Welke tools gebruiken jullie, welke afspraken gelden er en wie is getraind? Wie dat nu vastlegt, heeft het antwoord straks klaar.
De vraag die bijna niemand stelt: van wie is de server?
De meeste leveranciers zeggen dat je data veilig in Europa staat. Dat klinkt goed, maar het is maar de helft van het verhaal. Wat ook telt, is wie de eigenaar is van die server.
Is dat een Amerikaans bedrijf, zoals Microsoft, Google of Amazon, dan valt de data onder de Amerikaanse CLOUD Act. Die wet geeft Amerikaanse autoriteiten de mogelijkheid om gegevens op te vragen bij Amerikaanse aanbieders, ook als die gegevens in een datacenter in Europa staan.
Grofweg zijn er drie niveaus:
Amerikaanse tool, Amerikaanse servers. Gratis ChatGPT, Gemini of Claude via de browser. Handig, maar je hebt geen verwerkersovereenkomst en geen zicht op wat er met de data gebeurt.
Amerikaanse partij, servers in de EU. Bijvoorbeeld Copilot binnen Microsoft 365. Je hebt een verwerkersovereenkomst en de data staat in Europa, maar de eigenaar valt onder de CLOUD Act.
Europese partij, servers in Europees eigendom. Buiten het bereik van de CLOUD Act. Je weet precies waar je klantdata staat en wie erbij kan.
Welk niveau goed genoeg is, is een keuze die jullie zelf maken. Een algemene vraag over de KOR zonder klantgegevens kan prima in niveau 1. Een klantdossier met BSN’s, jaarcijfers en een overdrachtsplan is iets anders. Belangrijk is dat je die keuze bewust maakt, per soort gegevens, en dat iedereen op kantoor weet wat de afspraak is. In de checklist staat een tabel om dat in tien minuten in te vullen.
Download de gratis checklist →
Zo regel je het in vijf stappen
1. Vraag wat er al gebeurt. Vraag het team welke AI-tools ze gebruiken, waarvoor en met welke gegevens. Zonder oordeel, anders krijg je geen eerlijk antwoord. Meestal blijkt het meer te zijn dan je dacht.
2. Bepaal hoe belangrijk data-eigendom voor jullie is. Kies per soort gegevens welk niveau je accepteert. Dit is de keuze waar de rest op volgt.
3. Leg vast wat er wel en niet in mag. Dat is letterlijk het advies van de AP. Een A4’tje is genoeg, als iedereen het kent: geen BSN’s of aangiftes in gratis tools, algemene vaktechnische vragen wel.
4. Zorg dat elk antwoord te controleren is. Een AI-antwoord gaat nooit ongezien naar de klant. Spreek af wie controleert, en kies tools die laten zien waar een antwoord op steunt. Waarom dat zo belangrijk is, lees je in Copilot heeft meestal gelijk. En dat is het probleem.
5. Train het team, kort en concreet. Een uur over wat de tool goed en slecht doet, hoe je een antwoord controleert en wat er niet in mag, dekt het grootste deel van de AI-geletterdheid. Hoe beter de tool zelf is beveiligd, hoe korter die training kan zijn. Leg vast wie wanneer is getraind.
De gratis checklist
Alles uit dit artikel in één Excel-bestand, klaar om in te vullen:
Afweging data-eigendom per soort gegevens, van gratis chatbot tot Europese omgeving
Een vergelijker voor AI-tools, met een weging op wat jullie belangrijk vinden
Wat er wel en niet in welke tool mag
Een opzet voor jullie AI-beleid
Een controlelijst voor AI-antwoorden voordat ze naar de klant gaan
Een overzicht van de AI-geletterdheid van het team
Vul je gegevens in en je krijgt hem direct in je mail.
Download de gratis checklist →
Hoe Siska het doet
Siska is een AI-assistent voor accountants, boekhouders en financieel adviseurs, en zit op niveau 3. Klantdata staat op Europese servers in Europees eigendom, dus buiten het bereik van de CLOUD Act. Voor het redeneerwerk gebruiken we de nieuwste modellen, maar alleen op geanonimiseerde context.
Elk antwoord komt met de wet, het standpunt of het dossierstuk eronder, aannames staan er los bij, en jij keurt goed voordat er iets naar de klant gaat. Alles wordt gelogd, dus je kunt later laten zien hoe een advies tot stand kwam.
Het verschil: de veiligheid zit in de tool, niet in de discipline van het team. Siska is hufterproof gebouwd. Plakt iemand toch een BSN of een heel klantdossier in de chat, dan gaat dat niet mis: persoonsgegevens worden geanonimiseerd voordat er een model aan te pas komt, en de data verlaat de Europese omgeving niet. Daardoor hoef je het team geen lange AI-training te geven over wat wel en niet mag. Wat overblijft is waar jullie als vakmensen al goed in zijn: het antwoord beoordelen.
Benieuwd of dit voor jullie kantoor werkt? Plan een demo, dan lopen we samen door een paar van jullie eigen casussen. Liever eerst zelf ervaren? Log in met Microsoft of Google en stel binnen vijf minuten je eerste vaktechnische vraag.
Gratis checklist:
Veilig AI-gebruik op kantoor
Afweging data-eigendom, een vergelijker voor AI-tools, een opzet voor jullie AI-beleid en een controlelijst. In één Excel-bestand, direct in je mail.
Deel artikel
Vaktechnische expertise
voor het hele kantoor.
Benieuwd hoe Siska voor jouw kantoor kan werken? Plan direct jouw demo in en ga aan de slag!
“Wat ik fijn vind is dat ik Siska voor snel onderzoek maar ook voor complexere vraagstukken kan gebruiken. Zo verras ik klanten met een snelle en correcte reactie. En kan ik in een andere chat de diepte in.”
Walter Mulder
Ondernemersadviseur
Valans Accountancy B.V.