Of je het nu doorhebt of niet, AI is al in gebruik binnen jouw organisatie. Maar ben jij voorbereid op de cybersecurityrisico’s die daarbij komen kijken? Op dinsdag 14 oktober 2025 zoomen we samen met experts van Toreon in op de vaak onzichtbare gevaren van AI, tonen we praktijkvoorbeelden en reiken we jou een concrete roadmap aan om AI veilig én succesvol te integreren in je organisatie.
Jullie vragen beantwoord
Kan Voka ons ondersteunen in de kwaliteit van de applicaties die AI gebruiken? Bijvoorbeeld exact zodat niet elke KMO dit afzonderlijk moet bekijken?
Er bestaan vandaag duizenden — zo niet miljoenen — applicaties die AI gebruiken, en er komen er dagelijks nieuwe bij. Het is voor Voka helaas niet haalbaar om al die toepassingen individueel te evalueren of te certificeren. Wat wél kan helpen, is om AI-modellen zelf in te zetten om de kwaliteit of betrouwbaarheid van tools te toetsen — bijvoorbeeld door automatisch de terms & conditions of privacy policies te laten analyseren.
Zijn er (juridische) afspraken die je kan maken zodat leveranciers en klanten jouw bedrijfsgegevens en persoonsgegevens niet gebruiken in AI-toepassingen?
Uiteraard, het is zelfs aangeraden om steeds informatieveiligheidsvereisten op te nemen in de contracten met de leverancier. Normaliter wordt dit al deels opgenomen in de verwerkingsovereenkomsten in kader van de GDPR, alleen focust dit uiteraard voornamelijk op persoonsgegevens, niet op andere bedrijfsgegevens. Typisch wordt steeds een Non-Disclosure Agreement ondertekend wanneer gevoelige (bedrijfs)informatie gedeeld word. Hier kan dan bijvoorbeeld een clausule toegevoegd worden rond het acceptabel gebruik van de informatie die verkregen werd tijdens de overeenkomst, waaronder het gebruik van AI.
Als leveranciers en klanten ook een invloed hebben op onze veiligheid, is het dan niet risicovol om systemen zoals PEPPOL of ITSME te gebruiken? Kunnen we ons extra beveiligen?
Een bedrijf hangt in de huidige tijdsgeest helaas af van verschillende externe stakeholders. Vaak heb je hier ook weinig keuze in zoals PEPPOL of ITSME. Deze moet je bekijken als elke andere leverancier. Dit wil zeggen dat je deze moet evalueren, risico's identificeren, contractuele afspraken maken, aanvullende securitymaatregelen nemen waar nodig én monitoren.
Kan je als bedrijf nog iets doen wanneer er bepaalde al of niet gevoelige data toch al tot bij AI is geraakt? Kan je er nog voor zorgen dat AI die data niet meer gebruikt?
Als er gevoelige informatie toch in een prompt terechtkomt, dan zijn de opvolgacties de chat history waarin de data is gelekt verwijderen. Als er tokens of passworden zijn gelekt, dan moet je deze veranderen. Eens de data in de promt is gelekt is er geen directe manier om de data te verwijderen aan provider kant (hoe ze dit gebruiken is afhankelijk van de licentie). Het kan ook afhankelijk van praktijken aan de provider zijn kant gebeuren dat deze informatie in de logs terechtkomt.
Hoe kan je voorkomen dat personen geen persoonlijke of gratis accounts gaan gebruiken?
Technisch gezien is het zeker mogelijk. Als medewerkers enkel gebruik mogen maken van bedrijfstoestellen kan filtering en monitoring geïmplementeerd worden om zo bepaalde AI systemen te verbieden, of om te controleren hoe hierop wordt aangemeld. Alleen moet dit natuurlijk afgestemd worden met de Data Protection Officer gezien monitoring van medewerkers onder meer wordt gereguleerd via de GDPR wetgeving. Alleen zijn deze technische maatregelen uiteindelijk niet 100% waterdicht. Een medewerker die op zijn eigen computer, met een eigen AI account bedrijfsgeheimen deelt kan helaas moeilijk technisch tegengehouden worden. Daarvoor bestaan dan weer andere middelen zoals bewustwordingstrainingen, acceptable use / AI policy en een disciplinair proces.
Als je een betalend abonnement hebt op Chat GPT, worden opgeladen documenten dan veilig(er) behandeld dan in de gratis versie? Ook: als je chats verwijdert uit de historiek, kunnen medewerkers dan nog inhoud ervan als resultaat krijgen bij bepaalde vraagstellingen?
Op vlak van beveiliging is er geen echt verschil tussen de gratis en de betaalde versie, alle communicatie loopt via geëncrypteerde kanalen voor beiden. Het verschil is dat de betaalde versies bedoeld voor enterprise use extra data governance controls worden geïmplementeerd. Voor de gratis versie worden de prompts automatisch gebruikt als trainingsdata. Voor de betalende versies is er de mogelijkheid om dit uit te zetten, voor de enterprise versies worden de prompts niet gebruikt als trainingsdata. Ook laat deze versie toe om access control te beheren, SSO implementatie, en mogen de werknemers van OpenAI ook niet zomaar aan de data, i.e enkel in geval van incidenten. Ook is de enterprise versie van chat GPT SOC2 compliant
Thomas Dejagere, Senior GRC Consultant, Toreon
Thomas heeft al een tijdje een passie voor cybersecurity en wil deze kennis graag overdragen binnen governance-opdrachten. Hij heeft al ervaring als CISO bij verschillende middelgrote en grote organisaties. De focus lag hierbij steeds op het verhogen van de cybersecurity-maturiteit op maat van de organisatie.
Naast CISO voert Thomas ook GRC-opdrachten uit zoals ISO 27001, de bijbehorende implementaties, CIS-assessment en risicobeheer. Dit voor klanten in verschillende marktsegmenten.
Als consultant geeft Thomas no-nonsense advies op maat van de klant. Hij haalt voldoening uit het verhogen van het bewustzijn rond de huidige cyberrisico's in organisaties en het begeleiden bij het nemen van maatregelen om deze risico's te beperken.
Robbe Van Roey, Ethisch hacker, Toreon
Robbe Van Roey is een ervaren security consultant met meer dan 7 jaar ervaring in het cybersecurity-vakgebied.
Hij staat bekend om het ontdekken van impactvolle kwetsbaarheden in veelgebruikte open-source projecten en heeft meerdere CVE's gerapporteerd die technologieën met honderden miljoenen gebruikers beïnvloeden.
Robbe heeft wereldwijd meer dan 100.000 ethische hackers opgeleid en geïnspireerd via zijn cursussen en content.
Van bug bounties bij Google en Amazon tot het leiden van Toreon bij het worden van een CVE Numbering Authority, hij gedijt in de voorhoede van security-innovatie.
Op het podium deelt hij praktijkverhalen over hacken, verdediging en de toekomst van cybersecurity—waarbij hij het publiek uitdaagt om anders te denken over digitaal vertrouwen.
