Mag een AI-tool bij mijn boekhouding?

Zodra je iemand toegang geeft tot je boekhouding, geef je toegang tot gegevens van je klanten. Namen, adressen, e-mailadressen, soms telefoonnummers, en bij welke bedragen ze horen. Dat zijn persoonsgegevens, ook als het maar om twintig klanten gaat en ook als je ZZP’er bent.

De AVG regelt daar een paar dingen voor, en die zijn minder ingewikkeld dan hun reputatie.

Wie de AVG waarvoor verantwoordelijk maakt

Jij bent verwerkingsverantwoordelijke: het zijn jouw klanten en jij bepaalt wat er met hun gegevens gebeurt. Wie namens jou aan die gegevens werkt, is verwerker. Dat geldt voor je boekhoudpakket, voor je accountant en ook voor ons als we een systeemkoppeling voor je draaien.

Tussen jou en elke verwerker hoort een verwerkersovereenkomst. Dat is geen formaliteit die je erbij krijgt, het is de afspraak waarin staat wat er wel en niet met die gegevens mag gebeuren. Artikel 28 van de AVG vraagt erom en vraagt bovendien dat hij ondertekend op papier of digitaal vastligt.

De vier vragen die je elke leverancier stelt

1. Krijg ik een verwerkersovereenkomst, en staat daarin welke gegevens het betreft? Een goede versie noemt concreet welke soorten gegevens, waarvoor, en hoe lang ze bewaard worden. Een versie die alleen naar de wet verwijst zegt niets.

2. Welke andere partijen schakel je in? Vrijwel elke leverancier gebruikt zelf weer diensten van anderen: hosting, een mailserver, een AI-model. Dat zijn subverwerkers en je hoort te kunnen zien wie het zijn. Vraag om die lijst voordat je tekent, niet erna.

3. Waar staan de gegevens, en gaan ze de EU uit? Blijft alles binnen de Europese Economische Ruimte, dan is het simpel. Gaat er iets naar buiten, dan moet daar een grondslag voor zijn en moet de leverancier je kunnen vertellen welke.

4. Wordt mijn data gebruikt om een AI-model te trainen? Dit is de vraag die het vaakst wordt overgeslagen en die bij AI-tools het meeste uitmaakt. Bij zakelijke abonnementen staat training meestal uit, bij gratis en consumentenversies vaak aan. Het verschil zit in de voorwaarden, niet in de naam van het product.

Onze eigen antwoorden

Zodat je ze kunt vergelijken met wat je elders krijgt:

• Wij tekenen een verwerkersovereenkomst voordat we bij je gegevens komen, met een bijlage waarin staat welke gegevens het zijn, waarvoor en hoe lang.
• Wij geven de lijst met partijen die wij inschakelen, en we melden het als die verandert.
• Wij richten het zo in dat je gegevens binnen de EU blijven, en waar dat niet lukt zeggen we vooraf welk onderdeel dat is.
• Wij zetten geen boekhoudgegevens in tools waarvan de voorwaarden training op jouw data toestaan.
• Wij zetten geen poort in je netwerk open. De verbinding die wij gebruiken gaat alleen naar buiten, staat op naam, en wordt na de opdracht ingetrokken.

Wij bouwen altijd zo dat er een concept ontstaat dat jij goedkeurt. Er wordt niets namens jou geboekt of verstuurd zonder dat een mens ernaar heeft gekeken.

Wat je zelf moet regelen

Twee dingen die niemand voor je doet:

• Een verwerkingsregister. Een lijst van welke persoonsgegevens je verwerkt, waarvoor en met wie je ze deelt. Voor een kleine ondernemer is dat een half A4.
• Weten wat je doet bij een datalek. Een lek dat risico oplevert voor de betrokkenen meld je binnen 72 uur bij de Autoriteit Persoonsgegevens. Spreek vooraf af wie je belt en wie het meldt.

Let ook op je bewaartermijn: de fiscale bewaarplicht van zeven jaar geldt voor je administratie, maar dat is geen reden om alles eeuwig te bewaren wat er verder nog in een systeem staat.

Dit is een uitleg en geen juridisch advies. Gaat het om iets waar veel aan hangt, leg het dan voor aan je eigen jurist of je boekhouder.

Deze vraag hoort bij Administratie.