Architectuur & verantwoordelijkheid
Hoe AI met je systemen samenwerkt: afgebakende tools, duidelijke rechten, een privacy-gateway en menselijke goedkeuring. Een overzicht voor jou en je IT-team.
Werknemer
stelt een vraag
Chatinterface
ChatGPT · Claude · eigen interface
Centrale MCP-server
stuurt het verzoek naar het juiste domein
MCP-server per domein
ERP · e-mail · webshop · CRM · documenten
Privacy Gateway
Filtert · tokeniseert · legt acties vast
Je app
Leidend bronsysteem
Per verzoek bepaalt de privacy-gateway welke velden AI mag zien. Gevoelige waarden worden vervangen door tokens: «Hans Müller, hans@firma.ch» wordt Klant_8f31. De AI krijgt geen directe toegang tot de applicatie.
In de getokeniseerde modus ontvangt het model bijvoorbeeld ‘Klant_8f31’ in plaats van een naam en e-mailadres. Per proces bepalen we welke velden worden weggelaten, vervangen of bewust gedeeld. De directe modus beoordelen we afzonderlijk.
AI gebruikt geen gedeeld account met onbeperkte toegang. Elk verzoek wordt uitgevoerd namens een medewerker en met diens rechten. Gegevens die een medewerker niet mag zien, blijven ook voor de AI-assistent afgeschermd.
AI krijgt alleen afgesproken functies, zoals get_order_status(order_ref) of list_open_invoices(customer_ref). Er is geen onbeperkte toegang tot databases, bulkexports of vrij in te vullen tools.
Een creditnota maken, een contract wijzigen, een account blokkeren of gegevens exporteren vereist expliciete menselijke goedkeuring. AI bereidt de actie voor; je team beslist.
Goedgekeurde toolaanroepen worden vastgelegd met gebruiker, tijdstip, tool, doel en resultaat. Per productieomgeving spreken we af welke gegevens we loggen, hoelang we ze bewaren en wie ze mag bekijken.
De applicatie en gateway kunnen op je eigen infrastructuur of in een EU-datacenter draaien. Bij een extern AI-model leggen we de ontvanger, regio, bewaartermijn en contractuele afspraken vast. Voor gevoelige toepassingen onderzoeken we lokaal gehoste modellen.
Elke module kan op twee manieren werken. Per toepassing en gegevenscategorie bepalen we welke informatie een AI-aanbieder, zoals Anthropic of OpenAI, ontvangt.
Vóór verzending vervangen we de afgesproken persoonsgegevens door tokens of laten we de velden weg. De AI-aanbieder ontvangt voor die velden placeholders, zoals Klant_8f31. Uitdrukkelijk goedgekeurde bedrijfsgegevens kunnen bruikbaar blijven. We beoordelen nog steeds de aanbieder, bewaartermijnen en contracten: ook prompts en andere context kunnen gegevens bevatten.
Bij deze werkwijze gaan oorspronkelijke gegevens, zoals namen, adressen en bedragen, naar het model. We gebruiken die alleen als dat bewust is afgesproken. De voorwaarden van het gekozen product, abonnement en de instellingen zijn dan van belang.
Bewaartermijnen en modeltraining bij Anthropic · stand van 29 augustus 2026
Voor productiegebruik leggen we de toepasselijke verwerkersovereenkomst, grondslag voor gegevensdoorgifte en productinstellingen vast. De DPA van Anthropic maakt deel uit van de commerciële voorwaarden. OpenAI publiceert een aparte DPA: Anthropic DPA · OpenAI DPA. Meer over ontvangers en gegevensdoorgifte lees je in het Privacybeleid.
De interactieve demo laat per toolaanroep zien welke velden worden weggelaten, getokeniseerd of doorgegeven. Het logboek toont de acties terwijl ze plaatsvinden.