Het risico van een Gemini-upload tijdens het vertrek van een werknemer

Een uitspraak uit Amsterdam laat zien waarom duidelijke grenzen rond bedrijfsgegevens nodig zijn voordat het vertrouwen onder druk komt te staan.

Stel u de ochtend voor van een moeizaam vertrek van een werknemer. De onderhandelingen lopen, het vertrouwen neemt af en een senior medewerker heeft nog steeds ruime toegang tot bedrijfsgegevens. Nog voor het ontbijt signaleert het beveiligingssysteem een poging om de inhoud van een zakelijke computer naar Gemini over te brengen.

Dat is het scenario achter een uitspraak van de Rechtbank Amsterdam van 9 juni 2026, gepubliceerd als ECLI:NL:RBAMS:2026:8257. De rechtbank oordeelde dat het ontslag op staande voet van een senior directeur rechtsgeldig was. Tijdens de onderhandelingen over het einde van zijn dienstverband had hij verschillende bedrijfsbestanden naar een privé-e-mailadres gestuurd en geprobeerd materiaal vanaf zijn zakelijke computer naar Gemini te uploaden.

De werkgever had een duidelijke grens getrokken. Zowel de arbeidsovereenkomst als de Code of Business Conduct Policy verbood dit gedrag. Het beveiligingssysteem blokkeerde de voorgenomen overdracht. Toen de directeur vragen kreeg over de bestanden die hij naar zijn privémail had gestuurd, meldde hij de poging met Gemini niet. De rechtbank zag ook dat gebrek aan openheid als onderdeel van de vertrouwensbreuk.

AI verandert de uitweg

Het is verleidelijk om dit een AI-zaak te noemen. De diepere kwestie is echter de zeggenschap over bedrijfsinformatie wanneer een arbeidsrelatie onder druk komt te staan.

Tien jaar geleden zou het management vooral hebben gelet op een USB-stick, uitgeprinte klantenlijsten of e-mails aan een concurrent. Een externe AI-dienst biedt een andere route. Een gebruiker kan in enkele minuten grote hoeveelheden materiaal bijvoegen, plakken of uploaden. Dat voelt misschien niet als het weghalen van bedrijfsdocumenten, terwijl het praktisch hetzelfde effect kan hebben.

Voor een klein bedrijf is dat onderscheid belangrijk. Een vertrekkende manager kan offertes, contactlijsten of werkaantekeningen als ‘mijn documenten’ beschouwen, omdat hij ze heeft gemaakt of gebruikt. Het bedrijf ziet daarin klantgeschiedenis, prijslogica, contracten en correspondentie die binnen een gecontroleerde omgeving horen te blijven. Het verschil tussen die twee perspectieven kan snel kostbaar worden.

Voor ontslag op staande voet geldt in Nederland een hoge drempel. Er moet een dringende reden zijn, de werkgever moet voortvarend handelen en de reden moet eveneens onverwijld worden meegedeeld. De werknemer kan de kantonrechter vragen het ontslag te beoordelen en een vergoeding verzoeken. Iedere zaak hangt af van de concrete omstandigheden, waaronder de regel, de functie, het gedrag en de reactie van de werkgever.

Regels moeten in de praktijk standhouden

Ook het bredere beeld op de werkvloer verdient aandacht. In onderzoek van Alert Online waarnaar de Nederlandse overheid in 2025 verwees, zei 36 procent van de werknemers zeer of buitengewoon bekend te zijn met generatieve AI. Slechts 26 procent vond dat de eigen organisatie duidelijke richtlijnen had voor risico’s zoals gegevensbeveiliging.

Die kloof is herkenbaar. Werknemers weten hoe ze de hulpmiddelen moeten gebruiken, terwijl de werkgever niet heeft uitgelegd welke informatie erin mag worden ingevoerd. ‘Gebruik AI verantwoord’ biedt weinig houvast aan iemand die een klacht wil samenvatten, een contract wil vertalen of een spreadsheet met klantgegevens wil analyseren.

Een werkbare grens benoemt de goedgekeurde hulpmiddelen en de informatie die erbuiten moet blijven. Klantgegevens, personeelsinformatie, prijzen, marges, juridische correspondentie en interne geschillen vragen om extra zorg. Medewerkers moeten ook weten wie toestemming kan geven voor een uitzondering. Zonder die duidelijkheid wordt het werkelijke beleid bepaald door wat ieder afzonderlijk achter het toetsenbord besluit.

De handreiking van de Nederlandse overheid voor generatieve AI, opgesteld voor publieke organisaties, volgt dezelfde beheerslogica. Zij benadrukt het belang van duidelijke verantwoordelijkheden, regels voor eindgebruikers en een deugdelijke juridische grondslag voordat persoonsgegevens of gevoelige informatie in een generatief AI-systeem terechtkomen. Voor private werkgevers gelden andere omstandigheden, maar de discipline is herkenbaar.

Wanneer het beveiligingssignaal binnenkomt

Het moeilijke moment begint nadat een systeem ongebruikelijke activiteit signaleert. De directie kan zich verraden voelen en onmiddellijk antwoord willen. Snelheid zonder structuur kan de reactie van de werkgever echter verzwakken.

Een technisch signaal legt vast wat het systeem heeft waargenomen. De werkgever moet nog steeds duidelijk vaststellen wat er is gebeurd, welke regel gold, om welke informatie het ging, wie de regel kende en hoe de werknemer reageerde toen daar vragen over werden gesteld. Juridische, technische en bestuurlijke vastleggingen moeten dezelfde gebeurtenis beschrijven.

Daarom is de Amsterdamse uitspraak van belang. Het bedrijf kon wijzen op een uitdrukkelijk verbod, een werknemer in een senior functie, systeemgegevens, de gevoelige timing en de reactie van de directeur. De rechtbank kon de grens zien en vaststellen hoe die was overschreden.

Voor een ondernemer begint het werk ruim vóór een incident. Arbeidsvoorwaarden, het personeelshandboek, toegangsinstellingen en de dagelijkse praktijk moeten met elkaar in overeenstemming zijn. Een regel die verstopt staat in een ongelezen beleidsdocument kan niet alle gewicht dragen. Software biedt evenmin een oplossing voor een werkomgeving waarin medewerkers uit gemak geregeld documenten naar privéadressen sturen.

Bescherm het bedrijf achter de gegevens

Ga terug naar die moeilijke ochtend rond het vertrek. Terwijl de aandacht naar de laptop gaat, draait het gewone bedrijf door. Klanten verwachten nog steeds antwoord. Projecten moeten worden overgedragen. Facturen moeten worden goedgekeurd. Leveranciers wachten op betaling.

Wanneer één senior medewerker te veel toegang of kennis bezit, kan een gegevensincident uitgroeien tot een continuïteitsprobleem. Dan gaat het niet meer alleen om het bestand dat mogelijk is verdwenen. Werk kan stilvallen wanneer toegangsrechten veranderen, klantgeschiedenis in één mailbox staat of financiële taken afhankelijk zijn van het geheugen van één persoon.

Een vertrekprocedure gaat daarom verder dan het inleveren van apparatuur. Zij verbindt toegangsrechten, klantwerk, gedeelde mailboxen, vertrouwelijke informatie en onafgeronde financiële taken. Ruime toegangsrechten opnieuw beoordelen wanneer een functie verandert of onderhandelingen beginnen, is gewone zorgvuldigheid tegenover beide partijen.

Dezelfde rustige discipline geldt voor AI. Een algemeen verbod kan het gebruik uit het zicht duwen. Onbeperkte toegang laat te veel over aan persoonlijk inzicht. Het werkbare midden is duidelijk: goedgekeurde hulpmiddelen, afgeschermde gegevens, benoemde verantwoordelijkheden en een plek waar medewerkers vooraf vragen kunnen stellen.

De Amsterdamse zaak bevat een heldere waarschuwing zonder reden voor paniek. De technologie heeft de route veranderd, maar de centrale vragen zijn vertrouwd. Van wie is de informatie? Wie mag haar verplaatsen? Wat is duidelijk afgesproken? Wat kan het bedrijf aantonen wanneer het vertrouwen breekt?

Een kleine werkgever heeft geen omvangrijk AI-programma nodig om die vragen te beantwoorden. Wel zijn begrijpelijke regels nodig, controles die aansluiten bij het werk en een vertrekprocedure die klanten, medewerkers en cashflow beschermt. Het beste moment om die grenzen vast te leggen, is wanneer het vertrouwen nog intact is.

De data, bronnen en analyse achter dit artikel zijn uitgevoerd door Paolo Maria Pavan. AI is niet gebruikt om bronnen te identificeren, de feitelijke basis op te bouwen of het analytische oordeel te vormen. AI is alleen gebruikt als schrijfhulp. De uiteindelijke Nederlandse tekst is persoonlijk beoordeeld, bewerkt en goedgekeurd door Paolo Maria Pavan vóór publicatie.

Bronnen

• Rechtbank Amsterdam / Rechtspraak — ECLI:NL:RBAMS:2026:8257
• Ontslag op staande voet voor werkbestanden sturen naar privémail en uploaden bestand zakelijke computer · Salaris Vanmorgen
• Rijksoverheid — Dutch framework for summary dismissal
• Rijksoverheid — Confidentiality breaches as an employment-law issue
• Rijksoverheid — Workplace use of generative AI and missing internal rules
• Rijksoverheid — Responsible handling of confidential information in generative-AI tools
• Rijksoverheid — Current AI regulatory setting