Wat geef jij weg om AI slimmer te maken?

AI-tools worden bruikbaarder naarmate je ze meer relevante context geeft. Een generiek model geeft generieke antwoorden. Zodra je het model voedt met informatie over je organisatie, processen, systemen en eerdere beslissingen, wordt de uitkomst specifieker en waardevoller.

Bij AI gaat de discussie vaak over de vraag of data wordt gebruikt om een model te trainen. Dat is relevant, maar slechts één onderdeel van de datastroom. Minstens zo belangrijk is welke informatie het model tijdens gebruik kan verwerken, uit welke bronnen die informatie komt, waar de verwerking plaatsvindt en welke afspraken daarover zijn gemaakt.

De scope van de data is vaak groter dan de scope van de vraag

De kwaliteit van generatieve AI hangt sterk samen met de context die tijdens een interactie beschikbaar is. Daardoor stel je voor een relatief beperkte vraag soms een veel bredere dataset beschikbaar.

Neem een forecast. Je wilt misschien weten waardoor een afwijking ontstaat of welk scenario het meest waarschijnlijk is. Daarvoor upload je een spreadsheet met omzetverwachtingen, marges, klantgegevens, interne doelstellingen en aannames.

Hetzelfde gebeurt wanneer je een projectplanning laat optimaliseren of broncode laat analyseren. De vraag is afgebakend, maar het model verwerkt ook de context waarin die vraag staat.

De informatie die je beschikbaar stelt is vaak omvangrijker en gevoeliger dan de taak die je wilt laten uitvoeren.

Bij geïntegreerde AI-toepassingen wordt dat nog relevanter. In plaats van bestanden handmatig te uploaden, kan een AI-toepassing via een API of connector direct gekoppeld worden aan bestaande bedrijfssystemen.

Denk aan een CRM. Afhankelijk van de inrichting kan een toepassing toegang krijgen tot klantgegevens, contacthistorie, notities en commerciële informatie. Dan verschuift de vraag van wat voert iemand in? naar welke informatie kan de toepassing benaderen?

Welke data kan de integratie ophalen? Welke gegevens worden daadwerkelijk naar de AI-provider gestuurd? Wordt informatie opgeslagen? Welke andere partijen zijn onderdeel van de verwerkingsketen? En zijn daar passende contractuele afspraken voor gemaakt, bijvoorbeeld via een verwerkersovereenkomst?

Verwerken is iets anders dan trainen

Een taalmodel moet de context die je meegeeft verwerken om een antwoord te kunnen genereren. Dat betekent niet automatisch dat die informatie onderdeel wordt van de training van het onderliggende model.

Verwerking tijdens inference, opslag van prompts en output, en gebruik voor modeltraining of -verbetering zijn verschillende processen.

Een leverancier kan bijvoorbeeld afspreken dat bedrijfsdata niet wordt gebruikt voor training, terwijl de data nog steeds door de dienst moet worden verwerkt om een antwoord te produceren.

Daarom zegt “onze data wordt niet gebruikt voor training” op zichzelf onvoldoende. Je wilt de hele keten begrijpen: vanaf de gebruiker of het bronsysteem, via eventuele integraties, tot aan de modelprovider en andere partijen die onderdeel zijn van de dienstverlening.

Waar staat jouw data?

Voor Europese organisaties komt daar de GDPR bij zodra persoonsgegevens onderdeel zijn van die datastroom. Dan is niet alleen relevant welke partij de gegevens verwerkt, maar ook waar dat gebeurt en onder welke juridische afspraken persoonsgegevens eventueel buiten de Europese Economische Ruimte worden verwerkt.

Daarbij is het nuttig om onderscheid te maken tussen opslag en daadwerkelijke modelverwerking. Gegevens kunnen bijvoorbeeld binnen een bepaalde regio worden opgeslagen, terwijl verwerking elders plaatsvindt. Welke mogelijkheden hiervoor beschikbaar zijn, verschilt per aanbieder, product en abonnementsvorm.

Ook een zakelijk of Enterprise-abonnement is daarom meer dan een licentiekeuze. Afhankelijk van de leverancier kan de abonnementsvorm invloed hebben op beschikbare opties voor privacy, data residency en verwerking.

De relevante vraag is uiteindelijk: welke informatie verlaat de organisatie, waar wordt die verwerkt en onder welke voorwaarden?

Je deelt niet alleen data, je deelt kennis

De gevoeligheid zit niet alleen in persoonsgegevens, documenten of individuele records.

Stel dat je een AI-toepassing steeds beter laat aansluiten op de manier waarop je organisatie werkt. Je geeft voorbeelden, corrigeert antwoorden, definieert uitzonderingen en legt uit welke factoren zwaar meewegen in een beslissing. Daarmee voeg je een nieuwe informatielaag toe.

Bij een forecast zijn de cijfers één laag. Maar zodra je uitlegt waarom bepaalde aannames niet kloppen, wanneer verwachtingen moeten worden bijgesteld en welke signalen intern belangrijk zijn, deel je kennis die niet rechtstreeks uit de spreadsheet is af te leiden.

Hetzelfde geldt voor processen. Een procesbeschrijving laat zien hoe iets formeel is ingericht. Feedback, uitzonderingen en correcties laten zien hoe de organisatie in de praktijk beslist.

Juist die context maakt AI waardevoller. Tegelijk kan het kennis zijn die een organisatie in jaren heeft opgebouwd en zorgvuldig wil beschermen.

Meer context vraagt om meer controle

De conclusie is niet dat AI zo min mogelijk informatie moet krijgen. Zonder relevante context blijft de praktische waarde beperkt, maar welke context is daadwerkelijk nodig voor de toepassing?

Een AI-toepassing die informatie uit een CRM gebruikt, hoeft misschien niet ieder veld te kunnen benaderen. Een forecastanalyse heeft mogelijk geen klantnamen nodig. En een AI-assistent voor interne documentatie hoeft niet automatisch toegang te krijgen tot iedere kennisbron. Het least privilege-principe geldt ook hier: geef een toepassing alleen toegang tot wat nodig is voor zijn functie.

De koppeling zelf is technisch vaak relatief snel geregeld, bijvoorbeeld via OAuth, een API-token of service-account. De complexiteit zit vooral in de autorisatie: welke informatie mag de AI-toepassing benaderen, namens welke gebruiker en binnen welke context?

Daarvoor moet je begrijpen hoe rechten in het bronsysteem zijn ingericht en hoe die doorwerken in de AI-laag. Een gebruiker moet via AI niet ineens informatie kunnen benaderen die in het bronsysteem buiten zijn rechten valt.

Meer context kan de output verbeteren, maar vergroot ook de hoeveelheid informatie die je beschikbaar stelt. De technische uitdaging is daarom om voldoende context te ontsluiten voor de taak, zonder standaard meer toegang te geven dan daarvoor nodig is.

Gemak verlaagt ook de drempel om informatie te delen

Generatieve AI haalt veel traditionele frictie uit het verwerken van informatie. Een bestand uploaden naar een chatbot voelt nauwelijks als het delen van bedrijfsinformatie met een externe dienst. Een CRM of kennisbank koppelen kan technisch snel geregeld zijn. Daarna is bovendien niet bij iedere prompt zichtbaar welke informatie op de achtergrond wordt geraadpleegd.

Juist dat gemak vraagt om bewustzijn.

Niet iedere medewerker hoeft te begrijpen hoe inference of internationale gegevensoverdracht technisch is ingericht. Wel moet duidelijk zijn dat een prompt, bestand of koppeling onderdeel is van een bredere informatiestroom.

Bewust AI-gebruik gaat daarom verder dan afspraken over wat medewerkers wel en niet mogen uploaden. Het vraagt ook om bewuste keuzes over welke tools worden gebruikt, welke bronnen worden gekoppeld, welke toegang daarbij nodig is en welke afspraken gelden voor verwerking en opslag.

Informatiebeveiliging begint bij begrijpen hoe het werkt

Dat sluit aan bij hoe we bij MSML naar informatiebeveiliging kijken. MSML is ISO 27001-gecertificeerd. Dat betekent niet dat AI-gebruik daarmee automatisch veilig is. De overeenkomst zit in de systematische benadering.

Informatiebeveiliging gaat om de samenhang tussen informatie, technologie, leveranciers, processen en mensen. Bij AI hoort daar ook de context bij die we beschikbaar stellen om een toepassing goed te laten functioneren.

Daarom kijken we niet alleen naar welk model wordt gebruikt of hoe goed het presteert. We willen ook begrijpen welke informatie daarvoor nodig is, welke toegang een toepassing krijgt en hoe die informatie door de keten beweegt.

Dat zijn geen argumenten tegen AI. Het zijn voorwaarden voor een volwassen inzet ervan. De waarde van AI groeit met de context die je geeft. De kunst is de balans te vinden tussen wat AI nodig heeft en wat je daarvoor beschikbaar maakt.