AP slaat alarm: tientallen datalekken door AI chatbots

Het is niet bij één gemeente gebleven. De Autoriteit Persoonsgegevens meldt dat het aantal datalekken door AI chatbots op de werkvloer toeneemt, en waarschuwt organisaties nadrukkelijk.

Volgens de toezichthouder kwamen er in 2024 en 2025 al tientallen meldingen binnen van incidenten waarbij gevoelige informatie via chatbots als ChatGPT, Claude en Gemini werd gedeeld. Het aantal meldingen lag in 2025 hoger dan het jaar ervoor. De directe aanleiding voor de waarschuwing was het datalek bij de gemeente Eindhoven.

Vooral de gratis versies van deze tools vormen een risico. Ingevoerde gegevens kunnen worden opgeslagen en mogelijk worden gebruikt om de modellen verder te trainen, terwijl organisaties weinig tot geen zicht hebben op wat er daarna met die data gebeurt.

Waarom dit juist gemeenten raakt

De incidenten ontstaan bijna altijd op dezelfde manier: medewerkers gaan op eigen initiatief experimenteren met handige AI tools. Een werkgever kan mensen niet continu monitoren. Zodra zij zelf aan de slag gaan met onbeveiligde alternatieven, ontstaan er sneller datalekken.

Voor gemeenten is de inzet hoog. Het gaat niet om een marketingtekst, maar om dossiers van inwoners: zorg, schulden, jeugd, uitkeringen. Precies het type gegevens dat nooit ongecontroleerd de organisatie mag verlaten.

Wat de AP en experts adviseren

• Blokkeer de gratis versies van publieke AI chatbots op de werkplek.
• Bied een veilig alternatief aan, met een verwerkersovereenkomst en data binnen de EU.
• Geef medewerkers training, zodat ze de risico's herkennen en weten wat wel en niet mag.

Dat laatste is bovendien geen vrijblijvende tip. Sinds de invoering van de EU AI Act zijn organisaties verplicht hun medewerkers AI geletterd te maken. Een cursus is dus tegelijk de oplossing voor het risico en de invulling van een wettelijke plicht.

Bronnen: Het Financieele Dagblad, Binnenlands Bestuur en Accountant.nl (december 2025). Dit artikel is een algemene toelichting en geen juridisch advies.