AI op de werkvloer: wat betekent dat voor de veiligheid van je organisatie?

Waarom is de urgentie rond digitale veiligheid toegenomen?

Je werkt waarschijnlijk hybride en zet data steeds vaker in de cloud of bij leveranciers. De veiligheid van je data hangt af van de inrichting. Niet van de locatie waar je data staat. Mathijs: “Je controleert altijd zelf de inrichting. Cybercriminelen worden creatiever en gebruiken zelf ook AI. De vraag is niet meer of een cyberincident je raakt, maar wanneer. Ook kleinere organisaties en zzp’ers merken dat.”

Welke risico’s loop je met AI-tools op de werkvloer?

Je collega’s gebruiken AI steeds vaker om e-mails te schrijven of documenten te verwerken. Dat scheelt tijd, maar vraagt ook om bewustwording. Mathijs: “Veel mensen weten niet precies welke gegevens ze delen met een AI-tool. We zien regelmatig dat iemand een Excelbestand met klantgegevens, zoals NAW-gegevens (naam, adres en woonplaats), uploadt in een chat met ChatGPT. De vraag erbij: maak er een overzicht van, of filter deze informatie eruit.”

Gratis en betaalde AI-tools gaan verschillend om met die gegevens. Gratis versies gebruiken de gedeelde informatie om het model verder te trainen. Betaalde, zakelijke licenties gebruiken je bedrijfsdata en vragen standaard niet om de onderliggende modellen te trainen. Toch weten veel gebruikers niet welke versie ze gebruiken. Ook weten ze vaak niet hoe de privacy-instellingen werken.

Mathijs: “Vraag jezelf af: wil ik dat deze informatie buiten mijn organisatie terechtkomt? Is het antwoord nee, ga dan zorgvuldig met de informatie om. Kies dan als organisatie voor een andere tool.”

Is een betaalde AI-tool veiliger dan een gratis versie?

Ja, zegt Mathijs. Betaalde, zakelijke abonnementen geven je meer controle over je gegevens. Microsoft Copilot is daar een voorbeeld van. Daarom noemt hij een actief AI-beleid nodig voor werkgevers: “Bewustwording werkt als een digitaal rijbewijs voor je organisatie. Je medewerkers moeten weten hoe AI werkt. Ze moeten weten welke risico’s eraan kleven. En ze moeten weten wat ze wel of niet mogen delen.”

Dat beleid hoeft niet ingewikkeld te zijn. Het begint met duidelijke afspraken, bijvoorbeeld: je deelt geen klantgegevens in AI-chatbots. Daarnaast maak je tools beschikbaar die je als organisatie hebt goedgekeurd. Zo zoeken medewerkers niet zelf naar alternatieven. Ook het leren “prompten”, het geven van opdrachten aan AI-chatbots, hoort bij een goed beleid. Mathijs: “Goede vragen bepalen voor een groot deel de kwaliteit van het antwoord.”

Een keer sparren?

Hoe gebruik je AI verantwoord, zonder risico’s?

Gebruik je AI goed, dan ondersteunt het je werk aantoonbaar. Mathijs: “Mensen die veel tijd kwijt zijn aan tekstverwerking of administratie besparen tijd met AI. Binnen je eigen vakgebied dient AI ook als sparringpartner. Artsen gebruiken AI bijvoorbeeld om tumoren te herkennen op scans. Vaak ziet het iets dat een arts nog niet ziet.”

Eén principe blijft volgens Mathijs overeind: de mens houdt de controle. Laat altijd een mens meekijken en beslissen. AI ondersteunt, maar krijgt niet de eindverantwoordelijkheid. Mathijs: “Gebruik AI binnen je eigen vakgebied. Stel je een vraag over een onderwerp waar je zelf weinig van weet, dan loop je een groter risico om foutieve informatie over te nemen.”

Hoe herken je slimmere phishingmails?

AI verandert niet alleen jouw werk, maar ook het werk van cybercriminelen. Mathijs ziet dat dagelijks: “Phishingmails vielen vroeger op door slechte grammatica of een vreemde opmaak. Berichten zien er nu overtuigender uit en lijken echt.”

Dat vraagt om een andere houding. Controleer bewust wat je ontvangt. Lees het bericht goed door. Klik pas op een link of bijlage als je zeker weet dat de afzender klopt. Twijfel je? Schakel dan je IT-dienstverlener in. Die kijkt met je mee en handelt bij verdachte situaties.

Train je medewerkers hier regelmatig op. Sommige organisaties sturen zelfs nepphishingmails rond om te testen hoe alert medewerkers zijn. Mathijs: “Neem je medewerkers mee in je beleid. Zij moeten weten waar ze terechtkunnen met vragen of twijfels.”

Wat doe je als het toch misgaat?

In de media verschijnen steeds vaker berichten over datalekken en hacks, recent nog bij Odido en Onderwijsplatform Canvas. Volgens Mathijs betekent dat niet dat organisaties slechter beveiligd zijn. Detectie is verbeterd, denkt hij.

Toch blijft voorbereiding belangrijk. Een noodplan is daarbij belangrijk. Hoeveel tijd kan je organisatie uitvallen voordat je schade lijdt? Een week, een dag of een uur? Daarop richt je je processen in.

Een cyberverzekering kan daarbij helpen, met voorwaarden die aandacht verdienen. Je leest ze het beste goed door, ook als je de verzekering al hebt afgesloten. Dat raadt Mathijs aan.

Wordt je organisatie getroffen door een hack met een datalek? Dan meld je dat binnen 72 uur bij de Autoriteit Persoonsgegevens, de Nederlandse privacytoezichthouder. De opvolging hangt af van het risico van de gelekte gegevens. Daarnaast communiceer je het beste open naar je klanten, ook als dat wettelijk niet verplicht is. Mathijs: “Klanten waarderen het meestal als je open communiceert over een incident.”

Betaal je losgeld aan hackers? Mathijs raadt dat af: “Je hebt geen garantie dat hackers de gegevens na betaling verwijderen of teruggeven. Sterker nog: je loopt het risico dat ze je opnieuw afpersen. Er zijn gevallen bekend waarbij bedrijven betaalden en hackers de gegevens toch publiceerden.”

Een keer sparren?

Werk je veilig vanuit huis of op afstand?

Werk je regelmatig vanuit huis of een andere locatie? Dat is qua veiligheid vergelijkbaar met werken op kantoor, zegt Mathijs. De risico’s zitten vooral ergens anders.

“Veel organisaties slaan gegevens op in de cloud. Mensen denken dan al snel: het staat veilig. De instellingen bepalen echter of dat ook zo is. Controleer of je cloudomgeving beveiligd is. Kijk ook welke informatie je er opslaat en wie erbij kan.”

Digitale veiligheid gaat verder dan de voordeur van je eigen organisatie. Je bent afhankelijk van leveranciers en andere externe partijen. Gaat daar iets mis, dan merk jij dat ook. Daarom maak je afspraken met je leveranciers over digitale veiligheid, en evalueer je die afspraken regelmatig. Mathijs noemt dit ketenveiligheid.

Veilig inloggen draait tegenwoordig om meer dan een sterk wachtwoord. Mathijs noemt Multi-factor-authenticatie (MFA) onmisbaar. Je logt dan niet alleen in met een wachtwoord, maar ook met een verificatie via een app of telefoon.

Kijk daarnaast kritisch naar toegangsrechten. Je werkt daarbij volgens het least privilege principe. Medewerkers krijgen dan alleen toegang tot de systemen en data die ze nodig hebben voor hun werk. Dat geldt vanuit de plekken waar ze ook echt inloggen. Denk aan het beperken van de landen van waaruit iemand mag inloggen. Denk ook aan een sessie die na een bepaalde tijd opnieuw verificatie vraagt.

Monitoring signaleert afwijkend gedrag snel. Een Security Operations Center (SOC), een team dat je IT-omgeving continu in de gaten houdt, kan daarbij helpen. Wil je eerst zelf checken hoe je ervoor staat? Het Nationaal Cyber Security Centrum biedt gratis zelfchecks aan.