Vrijdag, kwart over vier. Je medewerker Lotte de Boer staat in de deuropening van je kamer. Om de begeleidende brief bij het concepttestament van meneer Yilmaz uit Nieuwegein eenvoudiger te maken, heeft ze het hele concept in een gratis AI-chatbot geplakt, via haar eigen account. Daarin staan zijn naam, geboortedatum, de namen van zijn drie kinderen en de bepaling waarin hij zijn oudste zoon onterft. "Het was maar een concept," zegt ze. "En ik heb het gesprek meteen verwijderd." Welke instellingen haar account heeft, of de aanbieder de ingevoerde tekst bewaart of voor andere doeleinden gebruikt en wat het verwijderen van het gesprek precies betekent, weet ze niet. Jullie kantoor heeft nog geen afspraken gemaakt over het gebruik van AI.

Wat doe je nu als eerste?

1. Je stelt vast wat er precies is gebeurd en start de beoordeling of dit een datalek is dat binnen 72 uur bij de Autoriteit Persoonsgegevens moet worden gemeld. (het goede antwoord)
2. Je belt meneer Yilmaz nog vandaag om hem te vertellen wat er is gebeurd.
3. Je spreekt met Lotte af dat ze voortaan eerst alle namen uit documenten verwijdert voordat ze een AI-chatbot gebruikt.

Eerst moet duidelijk worden wat er precies is gebeurd en welke risico's daardoor zijn ontstaan. De Autoriteit Persoonsgegevens beschouwt het ongeoorloofd invoeren van persoonsgegevens in een AI-chatbot als een datalek. De aanbieder kan daardoor toegang hebben gekregen tot persoonsgegevens die niet met hem hadden mogen worden gedeeld. De termijn van 72 uur kan vanaf het moment van ontdekking zijn gaan lopen. Dat het vrijdagmiddag is, maakt daarbij geen verschil. Breng dus onmiddellijk de feiten in kaart. Welke chatbot is gebruikt, onder welk account, welke gegevens zijn ingevoerd, welke voorwaarden en privacy-instellingen golden, kan de aanbieder de invoer bewaren of gebruiken voor training, en betekent het verwijderen van het gesprek dat de gegevens echt weg zijn? Daarna beoordeel je het risico voor meneer Yilmaz. Melden moet zonder onredelijke vertraging en zo mogelijk binnen 72 uur, tenzij het niet waarschijnlijk is dat het incident een risico inhoudt voor zijn rechten en vrijheden. Leg de afweging en de maatregelen vast, ook als je besluit niet te melden. Hem informeren is een afzonderlijke beoordeling, verplicht bij een hoog risico. Je belt dus niet automatisch als eerste; eerst weten wat er is gebeurd. Is dat hoge risico al duidelijk, dan moet hij zonder onredelijke vertraging worden geïnformeerd. Optie 3 is ook onvoldoende: alleen namen verwijderen maakt een document niet anoniem, en het verandert niets aan wat er al is gebeurd.

Naast de AVG raakt dit het notariële ambtsgeheim. Artikel 22 Wna verplicht de notaris en degenen die onder zijn verantwoordelijkheid werken tot geheimhouding van wat zij uit hoofde van hun werk te weten komen. De inhoud van een testament hoort bij uitstek tot die informatie. Cliënt- en testamentgegevens zonder beoordeling vooraf in een externe AI-dienst zetten is dus niet alleen een privacyvraag. Dat betekent niet dat een kantoor nooit een externe AI-dienst kan gebruiken. Bij zakelijk gebruik beoordeel je vooraf welke rol de aanbieder onder de AVG heeft, welke afspraken nodig zijn, waar en hoe gegevens worden verwerkt en bewaard, of ze voor training worden gebruikt en welke maatregelen zijn getroffen. En apart: of dat gebruik samengaat met het ambtsgeheim. Het kantoor heeft zelf ook een verantwoordelijkheid. Artikel 4 van de AI-verordening verplicht organisaties die AI-systemen gebruiken tot maatregelen voor de AI-geletterdheid van medewerkers die daarmee werken. Wie medewerkers toegang geeft zonder beleid, instructie of bewustwording, moet niet alleen naar het handelen van Lotte kijken. Kun je binnen 72 uur nog niet alles vaststellen, dan mag de termijn niet verlopen: je meldt wat je hebt en vult later aan. En soms is er reden meneer Yilmaz uit zorgvuldigheid te informeren, ook zonder wettelijke plicht. Dat is een eigen afweging, die je vastlegt.

Stel bij een mogelijk datalek eerst de feiten vast, beperk de gevolgen en start meteen de beoordeling van de 72-uurstermijn.

Artikel 33 lid 1 AVG; artikel 34 lid 1 AVG; artikel 22 lid 1 Wna