ChatGPT en Copilot op het werk: zes regels voor een kleine onderneming

Uw medewerkers gebruiken het al

Eurostat meet het gebruik van AI bij ondernemingen met 10 of meer werknemers. In 2025 gebruikte 34,54% van de Belgische ondernemingen minstens één AI-technologie, tegenover 19,95% in de hele EU. Bij Belgische ondernemingen met 10 tot 49 werknemers was dat 28,82% (Eurostat, dataset isoc_eb_ai). Bedrijven met minder dan 10 werknemers, de landbouw en de financiële sector vallen buiten de enquête.

De zes regels hieronder zijn bedoeld voor de zaakvoerder van wie de medewerkers ChatGPT of Copilot al gebruiken. Dit is geen juridisch advies; de teksten op EUR-Lex zijn bepalend.

BelgiëEU (27 landen)

2023

België13,81%

EU (27 landen)8,06%

2024

België24,71%

EU (27 landen)13,48%

2025

België34,54%

EU (27 landen)19,95%

Bron: Eurostat, tabel isoc_eb_ai (gebruik van AI door ondernemingen), bijgewerkt op 15 juni 2026

Wat de wet vraagt: AI-geletterdheid

De Europese AI-verordening noemt een onderneming die een AI-systeem voor haar werk gebruikt, een gebruiksverantwoordelijke (AI-verordening, artikel 3). Artikel 4, over AI-geletterdheid, geldt sinds 2 februari 2025 voor aanbieders en gebruiksverantwoordelijken. Het werd herschreven door de Digital Omnibus over AI, Verordening (EU) 2026/1744 van 8 juli 2026. Die werd op 24 juli 2026 bekendgemaakt en is sinds 27 juli 2026 van kracht (EUR-Lex).

Het nieuwe artikel 4 vraagt aanbieders en gebruiksverantwoordelijken om maatregelen te nemen die de AI-geletterdheid ondersteunen van hun personeel en van anderen die namens hen AI-systemen gebruiken. Daarbij houden ze rekening met wat die mensen al weten en met de manier waarop de tools gebruikt worden. U hoeft voor niemand een bepaald niveau te garanderen. De Europese Commissie en de lidstaten moeten daarbij helpen, met bijzondere aandacht voor kmo's.

In haar vragen en antwoorden over AI-geletterdheid voegt de Europese Commissie eraan toe dat er geen certificaat nodig is en dat een interne registratie van opleidingen volstaat. Ze geeft het voorbeeld van medewerkers die ChatGPT gebruiken voor reclameteksten of vertalingen: zij moeten de specifieke risico's kennen, zoals hallucinaties. De regels voor toezicht en handhaving gelden vanaf 2 augustus 2026 (Europese Commissie).

Regel 1: Kies de tools en het soort account

Schrijf op welke tools voor het werk gebruikt mogen worden, en met welk account. De leveranciers beschrijven het verschil zelf.

• OpenAI verklaart dat het voor zijn diensten voor particulieren (Free, Plus en Pro) uw inhoud mag gebruiken om zijn modellen te trainen, tenzij u de instelling Improve the model for everyone uitzet onder Settings, Data controls (de namen in de Engelstalige versie). Tijdelijke chats worden niet gebruikt voor training (OpenAI).
• Voor ChatGPT Business, ChatGPT Enterprise en zijn API verklaart OpenAI dat het bedrijfsgegevens standaard niet voor training gebruikt, en het biedt een verwerkersovereenkomst (Data Processing Addendum) aan voor de AVG (OpenAI).
• Microsoft verklaart dat Copilot en Copilot Chat, gebruikt door een organisatie, met aanmelding via een werk- of schoolaccount, onder zijn Data Protection Addendum en Product Terms vallen, met Microsoft als verwerker, en dat prompts en antwoorden niet gebruikt worden om basismodellen te trainen (Microsoft).
• Met een persoonlijk Microsoft-account gelden in de plaats daarvan de Microsoft-serviceovereenkomst en de gebruiksvoorwaarden van Copilot (Microsoft).

Regel 2: Geen persoons- of klantgegevens in een gratis consumentenaccount

Persoonsgegevens zijn alle gegevens over een persoon die identificeerbaar is: een naam, een e-mailadres, een gsm-nummer, een cv. Gezondheidsgegevens en enkele andere categorieën krijgen extra bescherming via artikel 9 van de AVG. Verwerkt een leverancier persoonsgegevens voor u, dan vraagt de AVG een overeenkomst met die leverancier (artikel 28), en u mag alleen de gegevens gebruiken die u nodig hebt (artikel 5) (AVG). Bij een gratis consumentenaccount aanvaardt u voorwaarden als particulier, zonder zo'n overeenkomst.

De Gegevensbeschermingsautoriteit (GBA) raadt aan voorzichtig te zijn voordat u gevoelige informatie, zoals medische of financiële gegevens, in een chatbot invoert. Ze stelt voor om pseudoniemen te gebruiken of namen, adressen en leeftijden weg te laten, en om de standaardinstellingen voor chatgeschiedenis en AI-training na te kijken. Haar toetsvraag: zou u dit delen als u tijdens een diner naast onbekenden zat (GBA)?

In de praktijk: schrijf "klant A" in plaats van een naam, en houd wachtwoorden, contracten en niet-openbare prijzen uit elke chattool. Nog een detail van OpenAI: bij de abonnementen voor particulieren kan een duim omhoog of omlaag het hele gesprek beschikbaar maken voor training, ook als u training hebt uitgezet.

Regel 3: Controleer elk antwoord voordat het vertrekt

Een chattool kan een zin schrijven die juist klinkt en toch fout is. Behandel elk antwoord als een ontwerp en controleer namen, cijfers, datums, prijzen, juridische of fiscale uitspraken, links en citaten aan de hand van uw eigen bron voordat het vertrekt. Wie de tekst verstuurt, is ervoor verantwoordelijk. Laat een tool klanten niet rechtstreeks antwoorden zonder dat iemand het antwoord eerst leest.

Regel 4: Vermeld AI-inhoud waar de wet het vraagt

Artikel 50 van de AI-verordening geldt sinds 2 augustus 2026 en verdeelt het werk (AI-verordening, artikel 50).

• De aanbieders, zoals OpenAI en Microsoft, moeten wat hun generatieve systemen maken machineleesbaar markeren. Voor systemen die al voor 2 augustus 2026 op de markt waren, geeft de Digital Omnibus hen tijd tot 2 december 2026.
• U, als gebruiksverantwoordelijke, moet bekendmaken dat een beeld, geluid of video kunstmatig gegenereerd of gemanipuleerd is als het om een deepfake gaat: inhoud die lijkt op bestaande personen, voorwerpen, plaatsen of gebeurtenissen en ten onrechte voor echt zou kunnen doorgaan. Bij een kennelijk artistiek, creatief, satirisch of fictief werk volstaat een vermelding die het werk niet stoort.
• Ook bij AI-tekst die gepubliceerd wordt om het publiek te informeren over aangelegenheden van algemeen belang, moet vermeld worden dat hij met AI gemaakt is, tenzij iemand de tekst nagelezen of bewerkt heeft en iemand de redactionele verantwoordelijkheid draagt.
• De vermelding moet duidelijk zijn en uiterlijk komen op het moment dat mensen de inhoud voor het eerst zien of horen.

Een realistische AI-foto van een winkelinterieur, een klant of een team dat niet bestaat, krijgt dus een vermelding zoals "Beeld gemaakt met AI".

Regel 5: Leg het in een uur uit en noteer dat u het gedaan hebt

Voor een klein team volstaat vaak één uur: overloop de huisregel hieronder, toon twee antwoorden die juist klonken maar fout waren, en spreek af wat nooit in een chattool terechtkomt. Noteer de datum en wie er was; volgens de Commissie volstaat een interne registratie. Herhaal het voor nieuwe medewerkers en nieuwe tools.

Regel 6: Eén persoon beslist, en fouten worden gemeld

Duid één persoon aan die nieuwe AI-tools goedkeurt, en ook elke koppeling tussen een tool en de mailbox, de agenda of gedeelde bestanden. Vraag uw medewerkers om die persoon dezelfde dag te verwittigen als er verkeerde gegevens ingeplakt zijn of een fout antwoord verstuurd is.

Een huisregel van één blad om over te nemen

Huisregel: AI-chattools bij [naam van de onderneming]. Gelezen en ondertekend door elke medewerker.

1. Toegelaten voor het werk: [bijvoorbeeld ChatGPT Business, of Copilot Chat met uw werkaccount]. Alleen met het account dat de onderneming u geeft.
2. Nooit inplakken: namen, contactgegevens of dossiers van klanten, personeel of patiënten, gezondheidsgegevens, identiteits- of rekeningnummers, wachtwoorden, contracten of prijzen die niet openbaar zijn. Schrijf "klant A" in plaats van een naam.
3. Elk antwoord is een ontwerp. Controleer namen, cijfers, datums, prijzen, juridische en fiscale punten en links aan de hand van uw eigen bron voordat er iets vertrekt.
4. Een realistisch AI-beeld, -geluid of -video dat voor echt kan doorgaan, krijgt de vermelding "Gemaakt met AI".
5. Geen enkele AI-tool wordt gekoppeld aan de mailbox, de agenda of gedeelde bestanden zonder toestemming van [naam].
6. Verkeerde gegevens ingeplakt of een fout antwoord verstuurd? Verwittig [naam] dezelfde dag.
7. Vragen? Stel ze aan [naam]. Laatst nagekeken op [datum].

Naam, datum, handtekening.

Checklist

1. Toegelaten tools en soorten accounts op papier.
2. Werkaccounts uitgedeeld, gratis accounts niet meer gebruikt voor het werk.
3. Instellingen voor chatgeschiedenis en training nagekeken in elke toegelaten tool.
4. Huisregel ondertekend, opleiding van een uur gegeven en genoteerd.

Wilt u hulp bij het kiezen van de tools en bij het instellen ervan, afgestemd op de manier waarop uw zaak werkt? Bekijk onze pagina over AI-automatisering. Onze opleiding cyberveiligheid eindigt met enkele afspraken op maat van uw zaak, en de huisregel hierboven kan er één van zijn.