ChatGPT op het werk: wat mag jij als medewerker wel en niet?

Een artikel voor jou, niet over jou

De meeste artikelen over AI op het werk worden geschreven voor managers, HR-mensen of compliance-officers. Voor jou, de medewerker die om vier uur 's middags nog drie mails moet schrijven en geen energie meer heeft, wordt zelden iets duidelijks opgeschreven. Dit is dat artikel. Geen waarschuwingsverhaal, geen verbod, geen "denk goed na voor je iets typt." Wel een eerlijke kijk op wat je wel mag, wat je niet mag en hoe je zelf de juiste keuze maakt.

Kan je werkgever zien wat je aan ChatGPT vraagt?

Dit is de vraag die het vaakst gesteld wordt en het zelden gewoon uitgelegd krijgt. Het antwoord hangt af van twee dingen: welk account en welk toestel.

Persoonlijk account op je eigen laptop of telefoon. Je werkgever ziet je chats niet.

Persoonlijk account op je werktoestel of via het bedrijfsnetwerk. Via gewone netwerklogging is doorgaans wel zichtbaar dát je de dienst bezoekt maar niet wat je in een versleutelde chat typt. Let op: op een beheerd werktoestel kan aanvullende bedrijfssoftware technisch méér zien, bijvoorbeeld software die datalekken moet voorkomen of die de browser beheert.

Meekijken mag niet zomaar. Een werkgever moet een legitiem doel hebben, niet verder gaan dan nodig en de controle vooraf hebben aangekondigd. Individueel en inhoudelijk meelezen is aan strikte voorwaarden gebonden. Voor de private sector is dat in België verder uitgewerkt in cao nr. 81; de onderliggende privacybeginselen gelden breder, ook bij een lokaal bestuur.

Zakelijk account. Hier is het antwoord: in principe ja. Bij ChatGPT Business of Enterprise, Copilot in Microsoft 365 en Gemini in Workspace kan een organisatie afhankelijk van de configuratie bij chatgeschiedenis. Dat gaat niet via een beheerder die live meeleest maar via compliance- en bewaarfuncties, doorgaans bij een formeel onderzoek, een audit of een juridisch geschil.

De praktische conclusie is simpel. Ga ervan uit dat het op een zakelijk account zichtbaar kán zijn. Dat is geen reden om het niet te gebruiken want dat is precies waar je werkgever voor betaalt. Het is wel een reden om er niets in te typen wat je niet in een teamvergadering zou zeggen.

Eerst de realiteit

Het gaat allang niet meer alleen over ChatGPT. Er zit Copilot in Microsoft 365, Gemini in Google Workspace, Claude in steeds meer werkplekken en daarnaast gebruikt bijna iedereen wel eens iets op eigen houtje. In kenniswerk is AI-gebruik inmiddels eerder regel dan uitzondering en in een groot deel van die gevallen gebeurt dat zonder formele toestemming, zonder beleid en zonder duidelijke afspraken.

Dat noemen we shadow-AI: AI-gebruik dat onder de radar blijft. Hoe groot dat probleem werkelijk is onderzochten wij in onze whitepaper over shadow-AI in het MKB. De uitkomst in één zin: de eerste die er last van krijgt als het misgaat ben jij, niet de directie. Daarom is het belangrijk dat je zelf de spelregels kent, ook als niemand ze je heeft uitgelegd.

Begin bij de regels van je eigen organisatie

Voordat je aan onderstaande vragen toekomt: kijk of jouw organisatie een AI-beleid, ICT-gebruiksbeleid of arbeidsreglement heeft dat hier iets over zegt. Dat gaat altijd voor op algemene tips uit een artikel, ook dit artikel.

Twee dingen die mensen daarbij verkeerd inschatten. Dat je organisatie een zakelijk AI-account heeft uitgerold betekent niet dat élk gebruik ervan is toegestaan. En dat er geen beleid ís betekent niet dat alles mag; geheimhouding in je arbeidsovereenkomst geldt gewoon door.

Is er niets? Dan is dat geen uitzondering. Wij schreven er twee stukken over die je kunt doorsturen naar wie er wél over gaat: een sjabloon voor een AI-beleid van twee pagina's dat vandaag ingevuld kan worden en een artikel over waarom een AI-beleid op papier nog geen gedrag stuurt. Twijfel je of het bij jullie echt nodig is, loop dan de 5 tekenen dat een organisatie AI-beleid nodig heeft even door.

De drie vragen die je jezelf altijd moet stellen

Vraag 1: van wie is deze informatie? Dit is de belangrijkste vraag en ze is minder simpel dan ze lijkt. Een mail die jij zelf hebt geschreven voelt als jouw informatie maar kan vol staan met klantgegevens, prijzen of interne afspraken. Notities van een klantgesprek zijn informatie van een ander. Een sollicitatiebrief, een patiëntdossier, een dossier van een burger: heel zeker van iemand anders.

Denk daarbij breder dan privacy alleen. Beroepsgeheim, bedrijfsgeheimen, contractuele geheimhouding en auteursrecht van derden vallen er net zo goed onder. Een concept-contract bevat misschien geen enkel persoonsgegeven en is toch het laatste wat je in een openbaar model plakt.

Vraag 2: op welk account zit ik en past dit daarbij? Een zakelijk account draait onder een contract dat je werkgever heeft getekend, met afspraken over training en bewaring. Dat maakt het veiliger. Het maakt niet automatisch elk gebruik toegestaan; daarvoor blijven het doel, de inhoud en de interne afspraken bepalend. Op een persoonlijk of gratis account bestaan die afspraken helemaal niet en ligt de drempel dus veel lager.

Vraag 3: hoe zou ik me voelen als mijn werkgever, klant of collega meekeek? Geen morele preekvraag maar een praktische. Als het antwoord ergens tussen "ongemakkelijk" en "in paniek" ligt, is dat een teken dat je het beter anders aanpakt.

Wat doorgaans veilig is

Dat het mág wil trouwens niet zeggen dat je er goede resultaten uit haalt. Het verschil tussen een matig en een uitstekend antwoord zit zelden in het model en bijna altijd in hoe jij de opdracht formuleert, zoals we uitleggen in Veel mensen gebruiken een AI verkeerd. Wil je dat systematisch onder de knie krijgen, dan is onze korte training Effectief werken met AI daar precies voor gemaakt.

Waar je beter twee keer nadenkt

Werk je in de zorg, het onderwijs of bij een lokaal bestuur, dan gelden er bovenop het bovenstaande sectorspecifieke aandachtspunten. Die staan uitgewerkt voor zorginstellingen, voor scholen en onderwijsinstellingen en voor gemeenten en lokale besturen.

En dan zijn er nu ook AI-agents

Tot voor kort was AI iets dat antwoordde. Steeds vaker is het iets dat *doet*: een agent die je browser bedient, formulieren invult, mails opstelt en verstuurt of taken uitvoert terwijl jij iets anders doet. Het verschil tussen die twee is groter dan het lijkt, zoals we beschrijven in De chatbot vraagt het je. De agent doet het gewoon.

Dat is een ander soort risico en de meeste beleidsstukken lopen erop achter. Drie regels die je zelf kunt hanteren.

Laat een agent nooit iets versturen onder jouw naam dat je niet zelf gelezen hebt. Een concept is een concept. Verzenden is een handeling met jouw naam eronder.

Besef dat een agent instructies kan oppikken uit wat hij leest. Een webpagina of een binnenkomende mail kan tekst bevatten die bedoeld is om de agent iets anders te laten doen dan jij vroeg. Dat heet prompt injection en het is geen theoretisch scenario. Geef een agent daarom niet meer toegang dan de taak nodig heeft.

Geen agents op geld, contracten of onomkeerbare stappen. Betalingen, bestellingen, verwijderingen, handtekeningen: dat doe je zelf.

Werken jullie hier al mee zonder dat er afspraken over liggen, dan is Grip op AI-agents de kortste weg naar een gedeeld beeld in het team.

Wat je nooit moet doen

Toch iets gevoeligs ingevoerd? Meld het

Iedereen plakt een keer iets waarvan hij een seconde later denkt: dat had ik niet moeten doen. De reflex is dan om het venster te sluiten en te hopen dat niemand het merkt. Doe dat niet.

Meld het bij je leidinggevende, IT, security of de functionaris voor gegevensbescherming, volgens de procedure die jouw organisatie daarvoor heeft. Snel melden beperkt de schade en is bij een echt datalek zelfs verplicht voor je organisatie, met korte termijnen. Verzwijgen maakt van een ongelukje een probleem waarvoor jij alleen staat.

Heeft jouw organisatie zo'n procedure niet, dan mag je die van ons als voorbeeld gebruiken: onze eigen AI Incident Procedure staat openbaar op deze site, net als onze AI Usage Policy.

Wat de wet hierover zegt

Kort, en alleen het stuk dat jou raakt.

Je werkgever moet iets doen aan AI-geletterdheid. Sinds 2 februari 2025 geldt Artikel 4 van de EU AI Act: wie AI inzet, moet maatregelen nemen zodat de mensen die ermee werken er voldoende van begrijpen. Die verplichting ligt bij de organisatie, niet bij jou. Wat dat concreet betekent staat in ons artikel EU AI Act Artikel 4: wat betekent het concreet voor jouw organisatie.

Die verplichting is deze zomer herschreven. Met de Digital Omnibus, Verordening (EU) 2026/1744, in werking sinds 27 juli 2026, is Artikel 4 opnieuw geformuleerd. Organisaties moeten nu "maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen" en er staat expliciet bij dat zij geen specifiek kennisniveau per individu hoeven te garanderen. Milder geformuleerd dus maar niet vrijblijvend. Er is geen voorgeschreven cursusduur, geen verplicht curriculum en geen verplicht certificaat; wat passend is hangt af van de organisatie, de systemen en de risico's. Wat er verder verschoof leggen we uit in De Digital Omnibus verandert de EU AI Act. Maar niet wat u denkt.

Artikel 4 heeft geen eigen Europese boeteschijf. De zwaarste boetes van de AI Act horen bij de verboden praktijken uit Artikel 5, niet hier. Lidstaten kunnen via hun nationale sanctieregels wel administratieve boetes en andere handhavingsmaatregelen voorzien. Over wat er op 2 augustus 2026 precies veranderde schreven we een aparte doorkijk.

De zware eisen voor hoogrisico-AI zijn uitgesteld. De kernverplichtingen voor de hoogrisicosystemen uit Bijlage III gelden vanaf 2 december 2027, voor AI in gereguleerde producten vanaf 2 augustus 2028 en voor bepaalde systemen bestemd voor gebruik door overheidsinstanties tot 2 augustus 2030. AI die wordt ingezet om sollicitaties te filteren of kandidaten te beoordelen valt in beginsel onder die hoogrisicocategorie. Een vacaturetekst laten herschrijven doet dat niet. Uitstel is trouwens geen afstel en het verandert niets aan de AVG: die geldt vandaag onverkort.

Er gelden transparantieregels sinds 2 augustus 2026. Artikel 50 verplicht onder meer dat mensen weten wanneer ze rechtstreeks met een AI-systeem praten en dat synthetische inhoud machineleesbaar wordt gemarkeerd, met aparte regels voor deepfakes. Dat is geen algemene plicht om elke AI-gegenereerde mail of tekst zichtbaar als AI te labelen. Wanneer het wél moet hebben we per situatie uitgewerkt in Moet ik AI labelen? 7 dagelijkse situaties uit artikel 50.

De regels blijven bewegen. Wil je bijblijven zonder er zelf achteraan te zitten, dan houden wij dat dagelijks bij in de EU AI Act Monitor.

Wat als je werkgever geen beleid heeft?

Dat is de situatie van de meerderheid van de mensen die dit lezen. En nee, het is niet jouw verantwoordelijkheid om dat beleid te schrijven. Maar twee dingen kun je wel zelf doen.

Je kunt het bespreekbaar maken bij je leidinggevende of HR. Niet als kritiek maar als praktische vraag: "Ik gebruik weleens AI om mijn mails te verbeteren. Is daar een lijn over?" Veel leidinggevenden staan daar opener voor dan je denkt omdat ze het zelf ook gebruiken en zich er ongemakkelijk bij voelen. Neem er eventueel onze gratis EU AI Act Compliance Checklist bij, dan heeft het gesprek meteen een agenda.

En je kunt vragen wat er op het gebied van AI-geletterdheid geregeld wordt. Je organisatie moet daar sinds februari 2025 maatregelen voor nemen. Welke vorm dat krijgt mag ze zelf bepalen maar de vraag stellen is volkomen normaal.

Tot slot

AI op het werk is geen luxeprobleem en geen elitedebat. Het zit in je browser, in je Office-omgeving en straks in tools die zelfstandig dingen voor je doen. Het maakt je werkdag korter en het kan je in de problemen brengen als je het verkeerd inzet.

Het goede nieuws: je hoeft geen jurist te worden om het goed te doen. Weet van wie de informatie is die je invoert, ken de regels van je eigen organisatie, lees zelf na wat jouw naam draagt en meld het meteen als er iets misgaat. Meer is er niet nodig om aan de goede kant te blijven.

Wil je dat jouw organisatie dit goed regelt zodat je zonder twijfel met AI kunt werken? Deel dit artikel met je leidinggevende of HR. Wij helpen organisaties om AI-geletterdheid praktisch in te voeren en te documenteren, met korte AI-geletterdheidstrainingen van twintig tot dertig minuten voor medewerkers, leidinggevenden, HR en IT. Weten waar jullie staan kan gratis met de AI-AdoptieScan. En wie liever eerst even overlegt, kan gewoon contact opnemen.

Geschreven door Rob Ummels in samenwerking met Claude (Anthropic). Redactionele eindverantwoordelijkheid: AIAdopt. Bijgewerkt op 7 augustus 2026.