Praktisch, zorgvuldig en aanspreekbaar
Hoe ServAI AI gebruikt en controleert
AI helpt ons om mensen en organisaties vooruit te helpen. Het oordeel, de zorg voor gegevens en de verantwoordelijkheid voor ons werk blijven bij mensen.
- Alleen gegevens gebruiken die nodig zijn voor een duidelijk doel.
- Gesprekken en gevoelige data lokaal verwerken, met versleutelde lokale opslag en back-ups.
- Opnames gebruiken voor afspraken, opleiding en kwaliteitsverbetering; niet voor het trainen van AI-modellen.
- AI-uitvoer beoordelen voordat die als advies, beslissing of publicatie wordt gebruikt.
- Open zijn over relevante AI-inzet en bereikbaar blijven voor vragen of correcties.
1. Doel en verantwoordelijkheid
ServAI helpt zelfstandigen en kleine KMO’s om AI te begrijpen en verantwoord toe te passen via opleiding, begeleiding en advies. Deze policy geldt voor AI die we inzetten voor ons eigen werk, onze communicatie en opdrachten voor klanten. Iedereen die daarbij namens ServAI werkt, moet deze regels volgen.
ServAI is een handelsnaam van UrbiConsult BV, ondernemings- en btw-nummer BE 1042.272.819, Hessenplein 21 b 204, 2000 Antwerpen, België. Peter Servais is het aanspreekpunt via peter@servai.be of 0475 228 986.
Peter is verantwoordelijk voor de keuze en vrijgave van toepassingen en voor de beoordeling van werk dat ServAI oplevert. Een AI-aanbieder neemt die verantwoordelijkheid niet over. Voor een klantopdracht leggen we doel, gegevens, rollen, toegestane hulpmiddelen en controle vast in de afspraken over die opdracht. Die afspraken mogen wettelijke verplichtingen niet uithollen.
2. Toepassingen en grenzen
We gebruiken AI als ondersteuning bij onderzoek, ideeën, conceptteksten, lesmateriaal, oefenvoorbeelden, het ordenen en samenvatten van informatie en het uitwerken van praktische toepassingen. Gesprekken en gevoelige gegevens worden met een lokaal model verwerkt. Voor demonstraties gebruiken we bij voorkeur fictieve of daadwerkelijk geanonimiseerde voorbeelden.
Het versturen van een contactvraag of intake is geen algemene toestemming om alle meegestuurde informatie door een generatief model te laten analyseren. Een nieuwe koppeling, agent of automatische verwerking moet vooraf worden beoordeeld; toegang tot een mailbox of dossier is geen vanzelfsprekend onderdeel van een AI-abonnement.
Wat we uitsluiten
- AI als enige grond voor besluiten met juridische of vergelijkbaar ingrijpende gevolgen voor personen.
- Heimelijke personeelscontrole, individuele rangschikking of prestatiebeoordeling via onze leer- en begeleidingstrajecten.
- Emotieherkenning op de werkplek of in opleidingen, sociale scoring en manipulatieve toepassingen die mensen benadelen.
- Misleidende nabootsing van personen, stemmen, klantgetuigenissen of bewijs van resultaten.
- Het invoeren van wachtwoorden, toegangssleutels of onnodige persoonsgegevens in AI-prompts.
Dit zijn grenzen die ServAI zichzelf stelt. Ze vervangen geen beoordeling van de specifieke verboden en uitzonderingen in de wet.
3. Hulpmiddelen en gegevens
De onderstaande diensten zijn op de versiedatum in gebruik. Een vermelding is geen algemene toestemming om er elk type klantgegeven in te verwerken.
| Hulpmiddel | Gebruik en aandachtspunt |
|---|---|
| OpenAI · ChatGPT Pro | Ondersteuning van concepten, onderzoek en uitwerking. Dit is een persoonlijk abonnement; de waarborgen van een zakelijk product of API gelden niet automatisch. Accountinstellingen, feedback en gebruikte functies beïnvloeden gegevensgebruik en bewaring. |
| Anthropic · Claude Max | Ondersteuning van concepten, analyse en uitwerking. Ook Max valt onder de voorwaarden voor consumentenproducten. Instellingen, feedback en veiligheidsprocedures kunnen invloed hebben op het gebruik van inhoud. |
| Odoo AI | AI-functies binnen Odoo kunnen invoer, gesprekscontext en relevante bedrijfsgegevens naar externe modelaanbieders sturen. Odoo vermeldt onder meer OpenAI en Google Gemini; bij versie 20 kan de selectie automatisch gebeuren. Een dossier in Odoo is daardoor niet vanzelf afgeschermd van AI-verwerking. |
| Lokaal Gemma-model | Voor gesprekken en gevoelige gegevens gebruikt ServAI een lokaal model. De lokale inferentie vereist geen verzending van die invoer naar OpenAI of Anthropic. Modelversie, licentie, software, netwerktoegang en koppelingen moeten bij iedere wijziging worden gecontroleerd. |
Een betaald abonnement betekent niet automatisch “geen modeltraining”, “geen bewaring” of “uitsluitend in Europa”. Bij OpenAI en Anthropic gelden de gegevensinstellingen van ChatGPT en de uitleg over gegevensgebruik bij Claude. Voor Odoo geldt de informatie over IAP- en AI-diensten.
Voordat niet-openbare klantgegevens in een clouddienst mogen worden ingevoerd, moeten de toepasselijke voorwaarden, privacy-instellingen, ontvangers, bewaarmogelijkheden en eventuele verwerkers- en doorgifteafspraken voor die toepassing zijn beoordeeld. Zolang die controle ontbreekt, blijft het gebruik beperkt tot openbare informatie en fictieve of voldoende geanonimiseerde gegevens. Vertrouwelijke gesprekken en gevoelige bronbestanden horen in de lokale werkwijze.
4. Klantgegevens en beveiliging
We onderscheiden openbare informatie, interne of vertrouwelijke bedrijfsinformatie en persoonsgegevens. Een naam weghalen maakt een document niet automatisch anoniem: functies, gebeurtenissen of combinaties van details kunnen iemand herkenbaar houden. Gepseudonimiseerde informatie blijft persoonsgegevens wanneer herleiding mogelijk is.
Voor iedere toepassing moet duidelijk zijn welke gegevens nodig zijn, wie er toegang toe krijgt en wanneer ze worden verwijderd. Voor bijzondere persoonsgegevens, zoals gezondheidsgegevens, en strafrechtelijke gegevens gelden aanvullende wettelijke voorwaarden. Lokale verwerking en versleuteling leveren op zichzelf geen rechtsgrond op.
Onze opnames en gesprekken worden lokaal op een versleutelde locatie bewaard. Back-ups hiervan zijn eveneens lokaal en versleuteld. De regels voor dit materiaal omvatten ook transcripties, exports, tijdelijke bestanden en eventuele zoekindexen. Een nieuwe synchronisatie, plug-in of externe koppeling vraagt opnieuw beoordeling.
De beveiligingsregels voor AI-werk zijn: toegang beperken tot de taak, accounts en toestellen beveiligen, beschikbare meervoudige authenticatie gebruiken, software bijwerken en verwijdering ook in kopieën uitvoeren. Tekst in documenten, websites of AI-antwoorden mag geen toestemming geven om bestanden te delen of acties uit te voeren. Externe verzendingen en betekenisvolle wijzigingen vragen vooraf menselijke controle.
Voor verwerking namens een klant bepalen we wie verwerkingsverantwoordelijke en wie verwerker is. Waar ServAI verwerker is, werken we volgens gedocumenteerde instructies en de vereiste verwerkersovereenkomst. Deze publieke policy vervangt die overeenkomst niet. Internationale doorgiften moeten voldoen aan de GDPR, bijvoorbeeld via een toepasselijk adequaatheidsbesluit of passende contractuele waarborgen met de noodzakelijke aanvullende beoordeling.
5. Gesprekken, opleidingen en opnames
Bij de aanvang van telefonische en online gesprekken en online opleidingen informeren we deelnemers dat een opname kan worden gemaakt. De opnameprocedure moet vóór de daadwerkelijke start concreet vermelden of er wordt opgenomen, voor welk doel, wie toegang krijgt, of lokale transcriptie wordt gebruikt en hoe lang het materiaal blijft bestaan. Alleen de algemene mededeling “dit gesprek kan worden opgenomen” is daarvoor niet voldoende.
De doeleinden zijn het controleren en schriftelijk bevestigen van acties of bestellingen, terugkijken, opleiding en kwaliteitsverbetering. We gebruiken deze opnames en transcripties niet om AI-modellen te trainen of te fine-tunen. Lokale transcriptie en samenvatting zijn toepassingen van een model en zijn iets anders dan het trainen ervan.
Voor een optionele opname is onze regel vooraf een vrije, specifieke en aantoonbare keuze te vragen. We bieden een passend alternatief, zoals notities, een gesprek zonder opname of deelname buiten het opgenomen gedeelte. Stilte of enkel deelnemen geldt niet als toestemming. Is vrije toestemming niet mogelijk, bijvoorbeeld door een afhankelijkheidsrelatie, dan mag daarop niet worden gesteund. Een andere grondslag vraagt vooraf een afzonderlijke beoordeling en duidelijke informatie; we nemen niet standaard op omdat er een overeenkomst bestaat.
Een opname voor actiebevestiging mag niet zonder afzonderlijke beoordeling worden hergebruikt als lesmateriaal. Deelnemers krijgen geen onbeperkte toegang tot elkaars opnames. Openbare verspreiding, een nieuw publiek of ander gebruik vraagt aparte afspraken. Een automatische samenvatting bewijst op zichzelf niet dat een bestelling is aanvaard: relevante afspraken worden door een mens gecontroleerd en schriftelijk bevestigd.
Maximaal 180 dagen
Opnames en werktranscripties worden verwijderd zodra ze niet meer nodig zijn en uiterlijk 180 dagen na de opname. Die bovengrens geldt ook voor lokale versleutelde back-ups. Kopiëren, opnieuw beluisteren of verwerken start geen nieuwe termijn. De noodzakelijke, gecontroleerde schriftelijke afspraken kunnen als onderdeel van het klantdossier langer worden bewaard volgens het privacybeleid.
Alleen een concrete wettelijke verplichting of een daadwerkelijk geschil kan beperkte afzonderlijke bewaring rechtvaardigen. De reden, betrokken fragmenten, toegang en herbeoordeling moeten dan worden vastgelegd. Dit is geen algemene verlenging van alle opnames.
6. Menselijke controle en kwaliteit
AI kan onjuiste feiten of bronnen verzinnen, nuances missen, vooroordelen herhalen en overtuigend fout antwoorden. Voor oplevering beoordeelt de verantwoordelijke persoon daarom de juistheid, bronkwaliteit, actualiteit, volledigheid, vertrouwelijkheid en geschiktheid voor het doel. Namen, bedragen, afspraken en juridische verwijzingen krijgen gerichte controle.
Die beoordeling moet inhoudelijk zijn: de beoordelaar moet het resultaat kunnen aanpassen, verwerpen of stoppen. Bij onzekerheid controleren we de oorspronkelijke bron of vragen we deskundige hulp. We presenteren een AI-antwoord niet als juridisch, medisch of ander specialistisch oordeel zonder passende deskundige beoordeling.
Bij een nieuwe toepassing of belangrijke wijziging horen representatieve proeven, controles op fouten en ongewenste effecten, een vastgelegde eigenaar en een manier om de toepassing uit te schakelen. Een overtuigende demonstratie is geen bewijs dat alle praktijksituaties goed gaan.
7. Trajecten met medewerkers
Een verdiepend traject met medewerkers vraagt vooraf een eigen protocol: doel, rollen, gegevens, informatie aan deelnemers, toegang, techniek, rapportage en bewaartermijnen. Het doel is begrijpen welke ondersteuning en vaardigheden nodig zijn; individuele bestraffing, verborgen monitoring en prestatiebeoordeling vallen buiten deze trajecten.
Een groepsrapport is niet vanzelf anoniem. In een klein team kunnen een unieke functie, een citaat of een combinatie van antwoorden iemand herkenbaar maken. We moeten die herkenbaarheid vooraf en vóór oplevering beoordelen, details beperken, groepen waar nodig samenvoegen en herkenbare vrije tekst weglaten of aanpassen. Individuele ruwe antwoorden horen niet als verborgen bijlage bij een groepsrapport. De afspraken voor gewone website-intakes worden niet automatisch op dit onderzoek toegepast.
8. Transparantie, beelden en auteursrecht
We informeren klanten over AI-inzet wanneer die relevant is voor de uitvoering, gegevensverwerking of beoordeling van het resultaat. Een eventuele rechtstreekse interactie met een AI-assistent moet vanaf het begin herkenbaar zijn. Een toelichting ergens in deze policy vervangt geen duidelijke melding bij de interactie of de betrokken inhoud.
De beelden van overleg en samenwerking op onze homepage zijn AI-gegenereerde illustraties, geen echte klantensessies. Het praktijkvoorbeeld over klantopvolging is fictief. Het beeld van aantekeningen en het afzonderlijke portret van Peter zijn door ServAI aangeleverd. De toelichtingen staan bij de beelden zelf.
Bij realistisch gemanipuleerde beelden, audio of video beoordelen we de toepasselijke transparantieregels. De AI Act maakt onderscheid tussen verplichtingen van aanbieders en gebruikers, waaronder zichtbare informatie bij deepfakes en bepaalde publicaties over aangelegenheden van algemeen belang. Niet iedere met AI ondersteunde zin heeft automatisch een wettelijk label nodig; inhoudelijke menselijke en redactionele controle blijft wezenlijk. Zie de uitleg van de Europese Commissie over artikel 50.
We controleren of we bronmateriaal mogen gebruiken en of uitvoer geen rechten van anderen schendt. Een AI-uitkomst biedt geen automatische garantie op auteursrecht, exclusiviteit of vrije herbruikbaarheid. Voor klantmateriaal en opleveringen gelden de overeengekomen gebruiksrechten.
9. AI Act, GDPR en risicobeoordeling
De EU AI Act regelt AI-systemen en de rollen en risico’s daarbij. De GDPR, ook AVG genoemd, regelt persoonsgegevens. Ze kunnen tegelijk van toepassing zijn. Voldoen aan één kader betekent niet automatisch voldoen aan het andere.
Vóór ingebruikname moeten we het doel, de betrokken personen, mogelijke schade, onze rol en toepasselijke verplichtingen bepalen. Bij eigen ontwikkeling, aanbieding onder eigen naam of een ingrijpende wijziging kan onze rol veranderen. Toepassingen in bijvoorbeeld personeelsselectie of onderwijsbeoordeling vragen een specifieke toets; we verklaren een hulpmiddel niet uitsluitend op basis van zijn merk “laag risico”.
Bij verwerking die waarschijnlijk een hoog risico voor personen oplevert, is vóór de start een gegevensbeschermingseffectbeoordeling (DPIA) nodig. Andere effectbeoordelingen of verplichtingen kunnen uit de concrete AI Act-rol volgen. De actuele wettelijke fasering en overgangsregels moeten bij elke toepassing worden gecontroleerd, ook na een wijziging van de wet.
Onze werkwijze omvat maatregelen om de AI-geletterdheid van betrokken medewerkers en uitvoerders te ontwikkelen: begrijpen wat het hulpmiddel doet, de grenzen herkennen, gegevens zorgvuldig gebruiken en resultaten beoordelen. Die ontwikkeling moet aansluiten op ervaring, taak en betrokken personen. Een gevolgde opleiding alleen bewijst geen volledig nalevingsniveau. Zie artikel 4 en de actuele toelichting.
We gebruiken een risicogerichte aanpak met inventarisatie, beoordeling, controle en bijsturing, aansluitend bij het vrijwillige NIST AI Risk Management Framework. Deze policy is geen certificering of verklaring dat iedere toepassing automatisch aan alle regels voldoet.
10. Vragen, rechten en incidenten
U kunt Peter vragen welke AI relevant is voor uw opdracht, om uitleg of menselijke herbeoordeling verzoeken en een fout, ongewenst effect of beveiligingsprobleem melden via peter@servai.be. Vermeld de betrokken opdracht of toepassing; stuur geen onnodige gevoelige documenten mee.
Bij een mogelijk incident moet de betrokken verwerking zo nodig worden gestopt, toegang beperkt en de impact onderzocht. We moeten correcties en maatregelen vastleggen en de klant informeren wanneer zijn opdracht of gegevens geraakt zijn. Een gegevensinbreuk wordt afzonderlijk beoordeeld onder de GDPR: melding aan de bevoegde toezichthouder is waar vereist uiterlijk binnen 72 uur na kennisname nodig; bij een hoog risico moeten ook betrokken personen zonder onredelijke vertraging worden geïnformeerd. Als verwerker informeren we de verantwoordelijke zonder onredelijke vertraging.
Uw rechten op inzage, correctie, verwijdering, bezwaar en andere toepasselijke rechten, de antwoordtermijnen en de klachtmogelijkheid staan in het privacybeleid. Toestemming voor cookies, een opleiding of een contactaanvraag geldt niet als algemene toestemming voor opname of AI-verwerking.
11. Een levend document
Tools, modellen, voorwaarden en wetgeving veranderen. Peter beoordeelt deze policy minstens ieder kwartaal en eerder bij een materiële wijziging, incident of nieuwe toepassing. De volgende geplande beoordeling is uiterlijk 21 januari 2027. Een wijziging van leverancier, model, accounttype, gegevensstroom, koppeling of doel vraagt vooraf een passende herbeoordeling.
Bij de toepassing hoort een actueel intern overzicht van doel, eigenaar, versie, gegevens, ontvangers, instellingen, bewaartermijnen, risico’s en controle. Belangrijke wijzigingen worden met datum en reden vastgelegd. Klanten en betrokkenen krijgen vooraf nieuwe informatie wanneer een wijziging hun gegevensverwerking of afspraken wezenlijk raakt; waar nodig vragen we nieuwe toestemming of maken we nieuwe afspraken.
Een websitewijziging maakt eerder gebruik niet met terugwerkende kracht toegestaan en wijzigt bestaande overeenkomsten niet automatisch.
12. Samenhang en bronnen
Lees deze policy samen met ons privacybeleid voor gegevens, grondslagen, ontvangers en rechten, en ons cookiebeleid voor websiteopslag, statistieken en uw keuze. De policies vullen elkaar aan; voor een concrete opdracht kunnen aanvullende afspraken nodig zijn.
De toetsing steunt op de officiële bronnen die hierboven zijn gekoppeld en op de GDPR-beginselen van de EDPB, de EDPB-uitleg over internationale doorgiften, de EDPB-uitleg over gegevensinbreuken en de actuele AI Act-tijdlijn. Bronnen gecontroleerd op 21 oktober 2026.