Mag u de AI-prompts van medewerkers inzien? AVG, OR en beleid
Kort antwoord
Een werkgever mag AI-gebruik alleen volgen als dat noodzakelijk en evenredig is, en medewerkers moeten het vooraf weten. Het structureel meelezen van individuele prompts is zelden evenredig. Geaggregeerd inzicht, en individuele inzage alleen bij een concreet incident, is dat vaak wel. Een systeem dat gedrag of prestaties kan volgen, vraagt in Nederland instemming van de ondernemingsraad (artikel 27 WOR).
Waarom organisaties het willen weten
Er zijn goede redenen om iets te willen zien van het AI-gebruik: vaststellen of er gevoelige gegevens in prompts belanden, een incident onderzoeken, of begrijpen welke taken medewerkers met AI doen om die beter te ondersteunen. Tegelijk zijn prompts persoonlijk. Ze laten zien waar iemand mee worstelt, wat hij niet weet en hoe hij denkt.
Daarom is de vraag niet óf u inzicht mag hebben, maar hoeveel, waarvoor en met welke waarborgen.
Wat de regels zeggen
| Regel | Wat het betekent voor inzicht in AI-gebruik |
|---|---|
| AVG: grondslag, doelbinding, evenredigheid | Het doel moet vooraf vastliggen, en u kiest de minst ingrijpende manier om het te bereiken. Structureel meelezen voor “controle” is zelden evenredig. |
| Transparantie | Medewerkers moeten vooraf weten wat er wordt vastgelegd, waarom en wie het kan inzien. Heimelijke controle is alleen in uitzonderlijke gevallen toegestaan. |
| WOR, artikel 27 lid 1 sub l | Een regeling over voorzieningen die geschikt zijn om aanwezigheid, gedrag of prestaties van medewerkers te volgen, vraagt instemming van de ondernemingsraad. |
| DPIA | Grootschalige of systematische controle van werknemers staat op de lijst van verwerkingen waarvoor de Autoriteit Persoonsgegevens een DPIA verplicht stelt. |
| AI Act | Emotieherkenning op de werkplek is verboden. Het analyseren van prompts op iemands stemming of gemoedstoestand valt daar al snel onder. |
Let op: het geldt ook als u het niet zo bedoelt. Een AI-dienst die per gebruiker alle prompts bewaart en die voor beheerders doorzoekbaar maakt, is geschikt om gedrag te volgen, en daarmee al instemmingsplichtig.
Een evenwichtige inrichting: drie niveaus van inzicht
- Anoniem, als standaard. De organisatie ziet geaggregeerde patronen: welke soorten vragen, welke modellen, hoe vaak geblokkeerde gegevens voorkomen. Genoeg om te sturen en te verbeteren, zonder individuen te volgen.
- Per afdeling, als er een reden is. Hetzelfde inzicht per team, voor capaciteit en om te zien waar training nodig is. Met groepen die groot genoeg zijn dat individuen niet herleidbaar zijn.
- Per gebruiker, alleen bij een incident. Individuele prompts inzien alleen bij een concreet vermoeden, na goedkeuring door twee beheerders en met vastlegging in een audit log. Niet voor dagelijkse controle.
Leg de gekozen stand vast in beleid, laat de FG meekijken, en leg het ter instemming voor aan de OR. Zie ook AI-beleid opstellen en Een DPIA voor generatieve AI.
Zo werkt het in werqly AI Control
In werqly AI Control is precies deze keuze een instelling: anoniem (standaard), per afdeling, of per gebruiker met goedkeuring door twee beheerders. Elke wijziging van stand staat zelf ook in de audit log, zichtbaar voor de FG en te tonen aan de OR.
Omdat de modellen op een eigen node in uw serverruimte draaien, liggen de prompts nergens anders. Er is geen externe AI-leverancier die ze bewaart onder eigen voorwaarden, en de bewaartermijn van logs stelt u zelf in. Zo hebt u het inzicht dat u nodig hebt voor security, zonder een systeem dat medewerkers stilletjes volgt. Zie Shadow AI voor waarom een goedgekeurde omgeving het beste begin is.
Veelgestelde vragen
Vragen over dit onderwerp
Mag een werkgever meelezen met ChatGPT-gesprekken van medewerkers?
Alleen met een duidelijk doel, als het noodzakelijk en evenredig is, en als medewerkers het vooraf weten. Structureel meelezen is zelden evenredig. Bij een zakelijk account kan een beheerder vaak gesprekken inzien; leg vooraf vast of en wanneer dat gebeurt.
Heeft de ondernemingsraad instemmingsrecht bij AI-tools?
Als het systeem geschikt is om aanwezigheid, gedrag of prestaties van medewerkers te volgen, ja: artikel 27 lid 1 sub l van de Wet op de ondernemingsraden. Een AI-dienst die prompts per gebruiker vastlegt en doorzoekbaar maakt, valt daar al snel onder.
Is een DPIA nodig als we AI-gebruik van medewerkers loggen?
Bij grootschalige of systematische controle van werknemers wel: dat staat op de lijst van de Autoriteit Persoonsgegevens. Ook zonder die lijst is logging van prompts een verwerking met risico’s die in een DPIA hoort.
Hoe lang mogen AI-logs bewaard worden?
Niet langer dan nodig voor het doel. Voor security-onderzoek is een termijn van enkele maanden gebruikelijk; geaggregeerde statistieken kunnen langer. Leg de termijn vast in beleid en zorg dat de omgeving hem technisch afdwingt.
Bronnen
- Autoriteit Persoonsgegevens — Controle van werknemers
- Wet op de ondernemingsraden, artikel 27
- Autoriteit Persoonsgegevens — The works council and staff tracking systems
- AI Act — Verordening (EU) 2024/1689, artikel 5
Dit artikel is algemene informatie, geen juridisch advies. Regels en richtsnoeren veranderen; controleer bij twijfel de genoemde bronnen of vraag uw jurist of FG.