Achtergrond
image

Mag mijn werkgever de manier waarop ik mijn computer gebruik inzetten om AI te trainen?

woensdag 29 april 2026, 12:36 door Arnoud Engelfriet, 12 reacties

Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Mijn werkgever is druk bezig met het implementeren van AI en het trainen van AI agenten. Hij kijkt daarbij sterk naar wat anderen doen, en heeft natuurlijk ook dit artikel gelezen over toetsaanslagen van personeel gebruiken om AI scherper te laten werken. Kunnen wij als werknemers daar bezwaar tegen maken? En hoe komen we er überhaupt achter of hij dit doet?

Antwoord: Uit het bronartikel blijkt dat het gaat om een manier om AI agents beter te laten werken: "het doel van de tool [is] om de AI-modellen van Meta te trainen om de computer te gebruiken op de manier waarop mensen dat doen, zoals het kiezen uit dropdown menus en het gebruik van keyboard shortcuts." Als je breed registreert hoe mensen werken, kun je een AI dat beter aanleren, is de gedachte.

Het bijhouden van toetsaanslagen voelt als nogal een inbreuk op je privacy: je werkgever krijgt buitengewoon gedetailleerde informatie over wat je precies doet, op de seconde nauwkeurig. Het tegenargument hier is natuurlijk "daar kijkt geen mens naar, we trainen alleen een AI model op een hele berg data".

Het vervelende is: dat is juridisch nauwelijks te weerleggen, in ieder geval niet op voorhand. Er moet grof gezegd iets misgaan voordat je actie kunt ondernemen. Als je organisatie een OR heeft, is er nog een preventief haakje: "een regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens van de in de onderneming werkzame personen" valt onder het instemmingsrecht van de OR. Ook als het doel niet direct raakt aan privacy of aan beoordelen of volgen van mensen.

Bij verwerkingen van persoonsgegevens op grond van gerechtvaardigd belang (wat hier de grondslag moet zijn) kun je altijd bezwaar maken (artikel 21 lid 1 AVG). Het enige is dat je dan "met zijn specifieke situatie verband houdende redenen" oftewel persoonlijke en enigszins zwaarwegende redenen moet aandragen. Het abstracte "dit raakt mijn privésfeer" of "ik ben bang voor misbruik" is niet genoeg.

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.

Reacties (12)
Reageer met quote
29-04-2026, 14:30 door Anoniem
Mijn kijk hierop: De computer is niet het persoonlijk eigendom van de werknemer maar slechts een bij arbeidscontract in toegestaan gebruik gegeven gereedschap. Daar komt bij dat de computer niet gebruikt mag worden voor persoonlijke doeleinden. Als je dat wel doet handel je in strijd met de wederzijds ondertekende arbeidsvoorwaarden besloten als bijlage in een arbeidsovereenkomst.

Als je dus bezwaar maakt tegen het gebruik van digitale data die je hebt ingevoerd via/ op de werkcomputer geef je al aanleiding tot verdenking van oneigenlijk gebruik van de computer voor privédoeleinden.
Reageer met quote
29-04-2026, 16:35 door Anoniem
Probleem met registreren van toetsaanslagen, op welke wijze dan ook, KAN in sommige gevallen verboden zijn.
Bijvoorbeeld een mail naar de bedrijfsarts, PZ, of arbodienst.
Er is geen grondslag om dit soort gegevens te verwerken.

En dan is er nog het invoeren van wachtwoorden.
Reageer met quote
29-04-2026, 16:46 door Anoniem
Door Anoniem: Mijn kijk hierop: De computer is niet het persoonlijk eigendom van de werknemer maar slechts een bij arbeidscontract in toegestaan gebruik gegeven gereedschap. Daar komt bij dat de computer niet gebruikt mag worden voor persoonlijke doeleinden. Als je dat wel doet handel je in strijd met de wederzijds ondertekende arbeidsvoorwaarden besloten als bijlage in een arbeidsovereenkomst.

Als je dus bezwaar maakt tegen het gebruik van digitale data die je hebt ingevoerd via/ op de werkcomputer geef je al aanleiding tot verdenking van oneigenlijk gebruik van de computer voor privédoeleinden.
Er zijn meerdere rechtzaken geweest waaruit blijkt dat medewerkers ook op werk een zekere mate van privacy mogen verwachten. Dit wordt meer als van hen verwacht wordt dat zij buiten werktijd beschikbaar zijn en werk uitvoeren, dan moet je ook onder werktijd prive zaken kunnen doen. Het is dus wat kort door de bocht om te zeggen dat de werkcomputer en alles wat daar mee gebeurt volledig eigendom is van de werkgever
Reageer met quote
29-04-2026, 20:55 door Terugblik
Onder de AI Act wetgeving is dat verboden je mag geen prestaties van werknemers monitoren.
Dit valt onder hoog risico en staan miljoenen boetes voor.
Reageer met quote
Gisteren, 11:08 door Anoniem
Naar mijn mening ga je hier te kort door de bocht Arnoud.

Mijn toetsaanslagen en muisbewegingen zijn uniek. Dit valt onder biometrische gegevens. Net als een irisscan, vinger afdrukken of een "gait" analyse. Als ik iedere toetsaanslag en muisbeweging registreer valt daar met zekerheid uit te halen wie het betreft als die gegevens eenmaal zijn vastgelegd.

Op basis daarvan kun je prima bezwaar maken. Het vastleggen van biometrische gegevens is namelijk alleen toegestaan als er geen andere mogelijkheid is om een bepaald (beveiligings) doel te bereiken. "Ik heb je biometrische gegevens nodig om je te kunnen vervangen door een cloon" valt daar niet onder.
Reageer met quote
Gisteren, 12:17 door Arnoud Engelfriet
Door Anoniem: Mijn toetsaanslagen en muisbewegingen zijn uniek. Dit valt onder biometrische gegevens. Net als een irisscan, vinger afdrukken of een "gait" analyse. Als ik iedere toetsaanslag en muisbeweging registreer valt daar met zekerheid uit te halen wie het betreft als die gegevens eenmaal zijn vastgelegd.
Dit is onder de AVG onjuist: dit geldt alleen als daarmee "eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd". Omdat hier niet wordt verwerkt met het oog op identificatie (het gaat in bulk in een AI) zijn deze datasets géén biometrische persoonsgegevens. Genuanceerd genoeg zo?
Reageer met quote
Gisteren, 13:15 door Anoniem
Nee ik denk dat hij dat niet mag,want ik denk dat het binnen het recht op privacy valt.
Reageer met quote
Gisteren, 15:13 door Anoniem
Door Arnoud Engelfriet:
Door Anoniem: Mijn toetsaanslagen en muisbewegingen zijn uniek. Dit valt onder biometrische gegevens. Net als een irisscan, vinger afdrukken of een "gait" analyse. Als ik iedere toetsaanslag en muisbeweging registreer valt daar met zekerheid uit te halen wie het betreft als die gegevens eenmaal zijn vastgelegd.
Dit is onder de AVG onjuist: dit geldt alleen als daarmee "eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd". Omdat hier niet wordt verwerkt met het oog op identificatie (het gaat in bulk in een AI) zijn deze datasets géén biometrische persoonsgegevens. Genuanceerd genoeg zo?

De nieuwe (re)captcha van Google die de “vind de drie plaatjes met een fiets” vervangt, registreert bij het invullen van een formulier de invoer van de velden en het bewegen van de cursor tussen de velden om vast te stellen of het geen robot is. Ook is jaren geleden aangetoond in een onderzoek dat het typegedrag op een toetsenbord met een hoge graad van betrouwbaarheid kon worden toegewezen aan een gebruiker.
Reageer met quote
Vandaag, 03:12 door Anoniem
Door Anoniem:
Door Arnoud Engelfriet:
Door Anoniem: Mijn toetsaanslagen en muisbewegingen zijn uniek. Dit valt onder biometrische gegevens. Net als een irisscan, vinger afdrukken of een "gait" analyse. Als ik iedere toetsaanslag en muisbeweging registreer valt daar met zekerheid uit te halen wie het betreft als die gegevens eenmaal zijn vastgelegd.
Dit is onder de AVG onjuist: dit geldt alleen als daarmee "eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd". Omdat hier niet wordt verwerkt met het oog op identificatie (het gaat in bulk in een AI) zijn deze datasets géén biometrische persoonsgegevens. Genuanceerd genoeg zo?

De nieuwe (re)captcha van Google die de “vind de drie plaatjes met een fiets” vervangt, registreert bij het invullen van een formulier de invoer van de velden en het bewegen van de cursor tussen de velden om vast te stellen of het geen robot is. Ook is jaren geleden aangetoond in een onderzoek dat het typegedrag op een toetsenbord met een hoge graad van betrouwbaarheid kon worden toegewezen aan een gebruiker.
Dat het kan wil niet zeggen dat het ook gebeurt. Als je de AI wil trainen op "hoe wordt formulier 52b4 ingevuld" dan wil je weten wat wordt er ingetypt, waar wordt geklikt, en in welke volgorde. De snelheid en het rytme van het type en de manier waarop de muis beweegt is volkomen oninteressant en vervuild je data alleen maar.
Reageer met quote
Vandaag, 09:08 door Anoniem
Buiten de privacy zorgen om die ik ook zeer zeker zie in deze zijn er meer risico's te bedenken.

Of er nu een mens naar kijkt of niet dat doet er eigenlijk al niet meer toe.
De potentie dat het kan is al voldoende om waarborgen te moeten treffen als ze dit daadwerkelijk doen. Dus als er een mens naar kijkt zijn er dan alerts ingesteld en is dit beperkt tot een groep personen binnen de organisatie die na afstemming en goede gegronde redenen dit willen gaan bekijken en mag dat dan wel volgens de AVG?

Daarbij kan ik mij zo voorstellen dat er persoonsgegevens worden verwerkt omdat alle toetsenaanslagen ook namen en dergelijke kunnen bevatten. Je kan zelfs denken aan gevoelige persoonsgegevens en bedrijfsgeheimen. Is daar allemaal over nagedacht en zijn ze dan compliant met wet- en regelgeving? Zodra je al deze data in een AI model gooit is het niet meer in jouw handen als bedrijf/persoon en kan het een vrije loop over het gehele internet krijgen. Dat klinkt in ieder geval al weinig AVG compliant in mijn optiek.

Dan heb je buiten de privacy issues ook informatie issues. Welke gegevens/aanslagen zijn in te zien? Gebruikersnaam en wachtwoorden uniek aan de persoon binnen een systeem worden op die manier opgeslagen in welk format precies? Plain text? Het klinkt in ieder geval zeer risico vol en vernietigd je eventuele 2FA/MFA maatregelen omdat er 1 deel sowieso bekend is.
Directe collega's (binnen de netwerkomgeving) kunnen wellicht toegang krijgen tot jouw data en applicaties omdat zij die factor kunnen omzeilen omdat ze binnen het vertrouwde netwerk zitten. Nu zou je kunnen veronderstellen dat je collega's bent en die kan vertrouwen maar bewezen is dat dit ook heel vaak gewoon fout gaat.
Denk aan collega's waarmee jij misschien niet op hele goede voet bent.
Voor sommige bedrijven (Zoals Meta) kan misschien zelfs een statelijke actor ingevlogen worden. Die solliciteren met een bepaalde ideologie binnen een organisatie en doen dan hun ding.
En ja dat is een realistisch scenario...... Het gebeurt vaker dan je denkt maar dat wordt alleen vaak stil gehouden.
Reageer met quote
Vandaag, 12:01 door Anoniem
Als de werkgever dit soort gegevens nodig heeft voor het trainen van AI, dan kan de werkgever hiervoor ook werknemers vrij plannen om die dan in speciale sessies het AI model te trainen. Maar dat kost geld, want je kunt medewerkers dan geen (ander) nuttig werk laten doen....
Reageer met quote
Vandaag, 14:22 door Anoniem
Door Anoniem: Mijn kijk hierop: De computer is niet het persoonlijk eigendom van de werknemer maar slechts een bij arbeidscontract in toegestaan gebruik gegeven gereedschap. Daar komt bij dat de computer niet gebruikt mag worden voor persoonlijke doeleinden. Als je dat wel doet handel je in strijd met de wederzijds ondertekende arbeidsvoorwaarden besloten als bijlage in een arbeidsovereenkomst.

Als je dus bezwaar maakt tegen het gebruik van digitale data die je hebt ingevoerd via/ op de werkcomputer geef je al aanleiding tot verdenking van oneigenlijk gebruik van de computer voor privédoeleinden.
de werkgever mag dus ook gewoon een camera op je richten terwijl je aan het werkt bent?
Dat is namelijk hetzelfde. Camerabeeld, of muis en toetsenbord gedrag bijhouden. Precies wat je aan het doen bent bekijken en vastleggen.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Certified Secure Salt Road Compromised Components