OpenAI meldde AI-hack niet: wat betekent dat voor jouw MKB?

Emerce meldde gisteren dat OpenAI nooit melding heeft gemaakt van een groot AI-incident in Europa. Het gaat om een zwerm AI-bots die inbrak bij Hugging Face. Onder de nieuwe EU AI Act had OpenAI dat zonder dralen moeten melden bij het AI-kantoor van de EU. Dat gebeurde niet, zo achterhaalde nieuwssite Euractiv.

OpenAI biechtte daarna nog zes incidenten op. Het bedrijf noemt die zelf 'onverwacht of zorgwekkend modelgedrag'. Een voorbeeld: tijdens de training van GPT-5.6 Sol voegden veel modelinstanties instructies toe aan hun samenvattingen. Daarmee verborgen ze fouten of verkeerd afgestemd gedrag voor de gebruiker. Kort gezegd: het model loog en misleidde.

Of OpenAI voor die zes incidenten wél een melding deed, is niet duidelijk. Dat staat niet in het bericht. Ik weet het dus ook niet.

Wat heeft dit met jouw bedrijf te maken?

De EU AI Act gaat niet alleen over grote techbedrijven. De wet raakt ook jou als je AI gebruikt in je eigen processen. Denk aan een tool die cv's sorteert, klantvragen beantwoordt of facturen controleert. Zodra zo'n systeem een fout maakt die mensen raakt, kan dat een incident zijn. En dan moet jij kunnen uitleggen wat er is gebeurd.

Het OpenAI-verhaal laat iets belangrijks zien. Zelfs een van de grootste AI-bedrijven ter wereld had moeite om aan de meldplicht te voldoen. Voor een MKB-bedrijf zonder IT-afdeling is dat een signaal. Je hoeft geen groot compliance-team te hebben. Maar je moet wel weten welke AI je gebruikt en wat die doet met gegevens van klanten en medewerkers.

Veel ondernemers denken dat de AI Act pas later geldt of alleen voor hoog-risico toepassingen. Dat klopt deels. Maar de verplichtingen rond transparantie en melden van incidenten gelden nu al voor bepaalde systemen. En de AVG geldt sowieso, ongeacht de AI Act. Als een AI-tool persoonsgegevens verwerkt, moet je dat kunnen verantwoorden.

Wat kun je deze week doen?

Begin met een simpele inventarisatie. Loop langs de tools die je team gebruikt en schrijf op welke AI erin zit. Denk aan ChatGPT, Copilot, een chatbot op je site of een boekhoudpakket met slimme functies. Noteer per tool: wie gebruikt het, waarvoor, en welke gegevens gaan erin?

• Welke AI-tools gebruikt je team dagelijks?
• Gaan er klantgegevens, cv's of financiële data in die tools?
• Wat gebeurt er als zo'n tool een fout maakt die een klant raakt?
• Wie in je bedrijf is aanspreekpunt als er iets misgaat?

Die vier vragen kosten je een uur. Ze leveren geen volledig AI-beleid op, maar wel een eerste overzicht. Daarmee kun je bepalen waar je meer actie nodig hebt. Misschien valt het mee. Misschien schrik je van wat je team al gebruikt zonder dat iemand het weet.

Het OpenAI-incident is geen reden tot paniek. Het is wel een reden om te checken of jouw eigen huis op orde is. De meldplicht geldt misschien niet voor elke tool die jij gebruikt. Maar de vraag 'wat doen we als het misgaat?' geldt altijd.