Dag 0 · de basis
De Kluis
Voordat je iets met AI doet, zet je je sloten goed. Eén keer goed doen, jaren profijt. En eerlijk: dit had je sowieso moeten doen, AI of geen AI.
Waarom dit eerst komt
Dit geldt voor iedereen, of je nu iets met AI doet of niet. Want jij hoeft AI niet te gebruiken om er last van te krijgen, de mensen die het op jouw gegevens gemunt hebben, doen dat allang.
Dat is de oneerlijke kant van de zaak. Jij twijfelt nog of je AI wel durft te proberen, terwijl de oplichter er vol op draait. AI heeft hun werk sneller, goedkoper en overtuigender gemaakt. De phishingmail met kromme zinnen waaraan je het vroeger herkende, bestaat niet meer: AI schrijft foutloos en persoonlijk. Een bekende stem aan de telefoon kan nagemaakt zijn. Een nepwebsite staat in minuten online. De trucs zijn niet nieuw, ze zijn alleen niet meer te herkennen aan de buitenkant.
Hoe snel het misgaat
Van één oud wachtwoord naar een nachtmerrie, in een middag
Je hoeft zelf niets verkeerd te doen. Zo verloopt het bijna altijd:
- Een oude webshop waar je ooit een account maakte, wordt gehackt. Je wachtwoord ligt op straat. Dit gebeurt constant, buiten jouw schuld.
- Datzelfde wachtwoord, of iets dat erop lijkt, gebruik je voor je e-mail. Binnen minuten zit er iemand in je mailbox.
- In je mail staat alles: je bank, je verzekeraar, je webshops. En elk "wachtwoord vergeten" loopt via je mail.
- Ze resetten je wachtwoorden één voor één. Jij bent buitengesloten van je eigen accounts vóór je doorhebt dat er iets mis is.
- Tegen de tijd dat je een vreemde mail of een onbekende afschrijving ziet, is de schade al gedaan.
Twee dingen breken deze ketting al bij stap twee: een uniek wachtwoord voor je mail, en tweestapsverificatie. Precies wat hieronder staat. Daarom is dit geen bijzaak, maar het eerste dat je doet.
Daarom begint alles met de Kluis: twintig tot dertig minuten waarin je je digitale sloten controleert. Eén keer goed doen, jaren profijt. En eerlijk: dit had je sowieso moeten doen, AI of geen AI.
De vijf sloten
1
Je e-mail is je hoofdsleutel. Beveilig die eerst.
Wie in jouw mailbox kan, kan overal in: elk "wachtwoord vergeten" loopt via je mail. Dus voordat je ook maar één AI-account aanmaakt, controleer je: heeft je mailaccount een sterk, uniek wachtwoord dat je nergens anders gebruikt? En staat tweestapsverificatie aan?
Wat is wat, in gewone taal
- Alleen een wachtwoord is anno nu niet genoeg, hoe sterk ook. Wachtwoorden lekken bij datalekken en worden geraden door AI.
- Tweestapsverificatie betekent: wachtwoord plus een tweede bewijs, meestal een code uit een app. Gebruik een authenticator-app (Google of Microsoft Authenticator); codes per sms zijn beter dan niets maar te onderscheppen.
- Een passkey is de nieuwste en veiligste optie: inloggen zonder wachtwoord, met je vingerafdruk of gezicht. Niet te phishen, niet te lekken, niet weg te geven. Dit is het sterkste slot dat er nu bestaat.
Van goed naar best: wachtwoord alleen → wachtwoord + sms-code → wachtwoord + authenticator-app → passkey.
Onthoud deze regel: overal waar je een passkey kunt instellen, doe je dat. Gmail, Outlook, Apple, WhatsApp, je betaalaccounts. Op de aparte uitlegpagina laten we per dienst zien hoe.
Zo stel je passkeys in
2
Eén wachtwoordmanager, nul hergebruikte wachtwoorden
Het echte gevaar is niet een zwak wachtwoord maar een hergebruikt wachtwoord: één gelekt webshop-account en ze proberen hetzelfde op je mail, je bank en straks je AI-account. Installeer een wachtwoordmanager (bijvoorbeeld Bitwarden of 1Password), laat die voor elk account een uniek wachtwoord genereren, en onthoud zelf nog maar één hoofdwachtwoord.
3
Je AI-account zelf op slot
Maak je AI-account aan met je beveiligde mailadres, een uniek wachtwoord uit je manager, en zet ook dáár tweestapsverificatie aan. Je AI-chatgeschiedenis bevat straks hoe jij werkt en denkt; behandel dat account even serieus als je mail.
4
Scheid werk en privé, en check het beleid
Gebruik voor werkopdrachten niet zomaar je privéaccount en andersom. Werk je in loondienst: check het AI-beleid van je werkgever vóór je werkdocumenten gebruikt, en is er geen beleid, stel de vraag. Heb je een eigen zaak: jij bént het beleid, dus besluit nu wat er wel en niet in een AI-chat mag.
5
Herken de andere kant
Dezelfde AI die jou helpt, helpt oplichters. Drie dingen om vanaf vandaag scherp op te zijn:
- Phishing is niet meer krom. De taalfouten waaraan je nepmails herkende, bestaan niet meer. Vertrouw niet op je taalgevoel maar op gedrag: urgentie, betaalverzoeken, inloglinks. Bij twijfel: zelf naar de site gaan, nooit via de link.
- Stemmen zijn na te maken. Een "dochter in nood" of "directeur die een spoedbetaling vraagt" kan een AI-kloon zijn. Spreek met familie en je team een controlevraag of codewoord af voor geldzaken via telefoon.
- Niet elke "AI-tool" is een tool. Installeer geen AI-tools die om toegang tot je mail, contacten of betaalgegevens vragen zonder glasheldere reden. In jouw Opdracht werk je met één gevestigde tool en niets anders.
De Kluisregels
Deze gelden tijdens je hele Opdracht en daarna.
- Echte namen en gegevens blijven in de kluis. Geen namen van collega's of klanten, geen adressen, BSN's, financiële of medische gegevens in een AI-chat. Anonimiseer eerst: [naam], [klant], [bedrag]. Het resultaat is exact even goed.
- Beleid eerst. In loondienst: check het AI-beleid van je werkgever. Eigen zaak: jouw Kluisregels zíjn het beleid.
- AI kan overtuigend fout zitten. Alles wat naar een collega, klant of het MT gaat, controleer je zelf. In elke Opdracht zit daarom een vaste controledag.
- De vreemde-op-een-feestje-toets. Wat je niet aan een vreemde zou vertellen, plak je niet in een chatbot.
- Wachtwoorden nooit. Geen inlog- of betaalgegevens in een chat, voor niemand, nooit.
- Thuis: weet wat je erin stopt. Een goed beveiligd account (sterk wachtwoord, tweestapsverificatie, trainen op je gesprekken uit) is de voorwaarde, niet de vrijbrief. Wat je typt gaat naar de servers van de aanbieder en valt onder hún regels; dat verandert niet door jouw slot. Daarom drie kleuren.
- Groen, gewoon doen: weekmenu, boodschappen, planning, brieven en formulieren, abonnementen, je eigen administratie. Namen van gezinsleden zijn hier niet nodig: "[kind 1], 7 jaar, geen noten" werkt net zo goed als de echte naam.
- Oranje, alleen met je sloten goed en trainen uit: een planning met voornamen van gezinsleden, een brief aan school, een lijst met afspraken. Vraag je bij elk stuk af: zou ik dit een vreemde vertellen? Zo nee, plaatshouder.
- Rood, nooit: medische gegevens, schoolrapporten en zorgdossiers van je kinderen, BSN's, rekeningnummers, inloggegevens, adressen in combinatie met namen, en alles over iemand anders dat die persoon zelf niet zou delen. Ook niet "even snel", ook niet met een betaald account.
Kinderen kunnen niet zelf beslissen wat er over hen in een AI-chat komt. Jij beslist dat voor ze. Daarom is de lat thuis hoger, niet lager.
Je AI zelf goed instellen? De Kluisregels gaan over wat je deelt. In onze gids Je AI veilig instellen zet je in een paar minuten de juiste knoppen goed, welke AI je ook kiest: datagebruik, toegang en menselijke controle. Met een afvinkbare checklist.
Voor ondernemers: je zaak in drie extra stappen
- Aparte accounts, eigen toegang. Geen gedeelde inlogs met personeel; wie weggaat, lever je toegang in. Eén gedeeld wachtwoord is geen toegang maar een gat.
- Updates en back-ups zijn beveiliging. Automatische updates aan op alle apparaten, en één back-up die niet aan je computer vastzit.
- Spreek een betaalprotocol af. Geen spoedbetalingen op basis van alleen een telefoontje, appje of mail, ook niet "van jou". Altijd via een tweede kanaal bevestigen. Dit ene afspraakje voorkomt de duurste AI-fraude die er nu is.
Waar wij open kaart over spelen
Je Opdracht werkt met elke gangbare AI-assistent, zoals Claude, ChatGPT, Gemini of Copilot; een gratis account volstaat meestal. Wij bouwen zelf met Claude en zeggen dat eerlijk, maar jij kiest wat voor jou werkt (nog geen keuze? één vraag en je weet het). Wij verdienen niets aan welke keuze dan ook: geen commissie, geen partnerdeal. En de tools die we hier noemen (authenticator-apps, wachtwoordmanagers) zijn voorbeelden, geen sponsors; kies gerust een alternatief dat hetzelfde doet.