Een accountmanager van een installatiebedrijf krijgt op dinsdagmiddag een aanvraag binnen van een grote afnemer. Hij plakt de calculatie van vorig jaar, de inkoopprijzen van drie toeleveranciers en de conceptofferte in een gratis chatbot, met de vraag of de opbouw klopt en of de tekst wat strakker kan. Antwoord binnen twintig seconden, offerte om vijf uur de deur uit. Er is niets geforceerd, niets meegenomen en niets te melden. Wat er die middag gebeurde komt pas een jaar later ter sprake, wanneer diezelfde afnemer met een concurrent in zee gaat die opvallend dicht bij de prijsopbouw zit en de directie wil weten wat zij kan ondernemen.
Het eerste onderzoek in zo'n dossier gaat over de eigen onderneming. Voordat er een inbreukmaker in beeld komt, moet vaststaan dat die prijsopbouw op dat moment nog een bedrijfsgeheim was. Die drempel staat in artikel 1 van de Wet bescherming bedrijfsgeheimen, en de derde eis daarvan gaat over gedrag binnen de eigen muren.
De drie eisen van artikel 1 Wbb, en waarom alleen de derde in uw eigen hand ligt
De Wet bescherming bedrijfsgeheimen is de wet van 17 oktober 2018, in werking getreden op 23 oktober 2018, waarmee Nederland Richtlijn (EU) 2016/943 van 8 juni 2016 heeft uitgevoerd. Artikel 1 noemt drie voorwaarden, en ze gelden cumulatief. De informatie moet geheim zijn in de zin dat zij, in haar geheel of in de juiste samenstelling en ordening van haar bestanddelen, niet algemeen bekend of gemakkelijk toegankelijk is voor degenen binnen de kringen die zich gewoonlijk met dergelijke informatie bezighouden. Zij moet handelswaarde bezitten omdat zij geheim is. En zij moet door degene die er rechtmatig over beschikt zijn onderworpen aan redelijke maatregelen, gezien de omstandigheden, om haar geheim te houden.
De eerste twee eisen zijn eigenschappen van de informatie zelf. Een calculatiemodel dat de marge per productgroep laat zien, kan daaraan voldoen, al blijven geheimhouding, toegankelijkheid en handelswaarde ook dan feitelijke vragen. De derde eis stelt een voorwaarde aan uw eigen handelen, en de wet formuleert die als een redelijkheidstoets: redelijke maatregelen, gezien de omstandigheden. De rechter beoordeelt het samenstel van uw maatregelen en hun feitelijke werking, en niet elk incident afzonderlijk. Eén ongeoorloofde invoer maakt daarom niet automatisch een einde aan de bescherming. Wat zo'n invoer wel doet, is het samenstel ondergraven, en bij een patroon van ongecontroleerde verspreiding kan de rechter oordelen dat de maatregelen tekortschoten. Daarin verschilt het bedrijfsgeheim van een octrooi of een merk, waar de aanspraak in een register vastligt en slordigheid overleeft; hier moet de houder de bescherming blijven onderhouden, en informatie die feitelijk breed bekend raakt, is niet meer geheim in de zin van onderdeel a.
De dichtstbijzijnde figuur in het Nederlandse recht staat in een heel andere hoek. Bij een preventieve garantie in een verzekeringspolis kijkt de verzekeraar na schade naar de vraag of de afgesproken maatregel op dat moment feitelijk werkte, en niet naar de bedoeling van de verzekerde. De vergelijking gaat maar ten dele op, want zo'n garantie is een harde voorwaarde terwijl artikel 1 onderdeel c juist een weging is. Wat zij goed weergeeft, is de richting waarin de bewijslast wijst: de vraag gaat over wat er in uw organisatie feitelijk gebeurde, en de dinsdagmiddag uit het voorbeeld hoort bij dat feitencomplex.
Wat redelijke maatregelen betekent zodra er AI-tools op de werkvloer staan
Rechters beoordelen deze eis naar de omstandigheden: de omvang van de onderneming, de waarde van de informatie en wat in de sector gebruikelijk is. Een mkb-onderneming hoeft geen beveiligingsafdeling te hebben. Wat wel wordt verwacht, is een samenhangend geheel van geheimhoudingsafspraken, toegangsbeperking tot de gevoelige mappen, een instructie die mensen kennen, en een procedure bij uitdiensttreding.
Sinds er tools met kunstmatige intelligentie op elk bureau staan — artificiële intelligentie in de terminologie van de Europese wetgever — is daar een categorie bijgekomen die in de meeste bedrijfsreglementen nog ontbreekt. Wie een document in zo'n tool plakt, verplaatst het naar de infrastructuur van een derde partij, en de voorwaarden van die partij bepalen wat er daarna mee gebeurt. Daarbij lopen vier variabelen door elkaar: of invoer wordt gebruikt om modellen te trainen, hoe lang gesprekken worden bewaard, of medewerkers van de aanbieder invoer mogen inzien, en welke contractuele bescherming daarbij hoort. Elk van die vier is per product en per accounttype anders geregeld, en aanbieders wijzigen die regimes zo vaak dat oudere hulppagina's naar opvolgers verwijzen; Google beschrijft dat voor zijn assistent in de eigen privacyhub en Microsoft beschrijft voor zakelijke accounts de bescherming van invoer in zijn documentatie over Enterprise Data Protection. Een organisatie kan hier dus niet volstaan met de vuistregel dat gratis onveilig is en betaald veilig; wat telt, is welk product met welke instellingen is toegestaan en of dat op de datum van gebruik is vastgelegd. Die vastlegging weegt mee bij artikel 1 onderdeel c.
Een organisatie die op dit punt geen keuze heeft gemaakt, komt in een geschil in een lastige positie. Het eerste verweer van de wederpartij luidt dan dat gevoelige documenten routinematig in publieke tools werden ingevoerd, zodat het samenstel van maatregelen de toets van onderdeel c niet haalt. Slaagt dat verweer, dan kan de zaak op de definitie eindigen voordat het gedrag van de ander aan de orde komt.
De maatregelen tellen twee keer: bij artikel 1 en opnieuw bij artikel 7 Wbb
Haalt u de drempel wel, dan geeft de wet een stevig instrumentarium. De voorzieningenrechter kan op grond van artikel 5 Wbb voorlopig staking of een verbod bevelen en verlof geven tot beslag op inbreukmakende goederen. In de bodemzaak kan de rechter op grond van artikel 6 Wbb staking bevelen, goederen van de markt laten terugroepen of vernietigen, en de gehele of gedeeltelijke vernietiging of afgifte van de bestanden bevelen die het bedrijfsgeheim onrechtmatig bevatten, met de kosten daarvan voor rekening van de inbreukmaker.
Daar staat een weging tegenover die minder bekend is. Artikel 7 lid 1 Wbb draagt de rechter op de evenredigheid van die maatregelen te beoordelen aan de hand van acht omstandigheden, en onderdeel b daarvan is: de maatregelen die zijn genomen om het bedrijfsgeheim te beschermen. Uw beleid wordt dus twee keer gewogen. Eén keer als toegangseis bij de definitie, en daarna nog een keer bij de vraag hoe ver een verbod of een terugroeping mag gaan. Een onderneming die haar toolgebruik op orde heeft, vraagt om zwaardere maatregelen met een sterker verhaal.
Er is nog een reden om aan de voorkant te sturen. Artikel 3 lid 1 Wbb bepaalt dat onafhankelijke ontdekking of onafhankelijk ontwerp geen onrechtmatig verkrijgen oplevert. Hetzelfde geldt voor observatie, onderzoek, demontage of testen van een product dat ter beschikking van het publiek is gesteld of dat rechtmatig in het bezit is van degene die de informatie verwerft, maar alleen wanneer die persoon niet gebonden is aan een rechtsgeldige verplichting om het verkrijgen van het bedrijfsgeheim te beperken. Wie zo'n beperking heeft aanvaard, kan zich er dus niet op beroepen. Tegen een concurrent die zelf op dezelfde prijsopbouw uitkomt, bestaat op grond van de Wbb geen vordering wegens die onafhankelijke ontdekking. De wet richt zich op een andere kring: onder meer wie zich onbevoegd toegang verschaft of bestanden kopieert, wie een geheimhoudingsplicht of een contractuele gebruiksbeperking schendt, wie verkrijgt van iemand van wie hij wist of behoorde te weten dat die onrechtmatig handelde, en wie inbreukmakende goederen produceert of verhandelt terwijl hij dat wist of behoorde te weten.
Wat uw eigen NDA aan uw klant belooft, en waarom een AI-leverancier daar niet onder valt
De meeste geheimhoudingsovereenkomsten die mkb-ondernemingen tekenen bevatten dezelfde bepaling: de ontvangende partij mag de vertrouwelijke informatie uitsluitend delen met werknemers en adviseurs die daarvan kennis moeten nemen en die aan een gelijkwaardige geheimhoudingsplicht zijn gebonden. Een aanbieder van een AI-dienst valt doorgaans niet onder werknemers en evenmin onder adviseurs. Ruimere NDA's noemen daarnaast dienstverleners, onderaannemers of vertegenwoordigers, en dan is de vraag of de tool binnen die omschrijving past en of de doorgifteverplichting van gelijkwaardige geheimhouding is nagekomen. Wanneer een medewerker een klantdocument in een tool plakt zonder dat die toets is gemaakt, loopt uw onderneming een reële kans haar eigen NDA te schenden, ook als er verder niets misgaat.
Artikel 2 lid 2 onderdeel b Wbb maakt het gebruiken of openbaar maken van een bedrijfsgeheim onrechtmatig wanneer daarmee inbreuk wordt gemaakt op een geheimhoudingsovereenkomst. In dat scenario draait de rol om: uw onderneming staat dan aan de kant van de inbreukmaker, tegenover een klant die zelf de maatregelen van artikel 5 en 6 Wbb kan inroepen. Boetebedingen in commerciële NDA's lopen doorgaans per overtreding, met een dagbedrag zolang de schending voortduurt.
Staan er persoonsgegevens in het document, dan komt de AVG erbij. De rol van de aanbieder volgt dan uit doel, middelen en feitelijke zeggenschap: hij kan verwerker zijn, zelfstandig verwerkingsverantwoordelijke, of per verwerking het een of het ander, zoals de EDPB-richtsnoeren 07/2020 uitwerken. Traint de aanbieder op uw invoer voor eigen doeleinden, dan past de rol van verwerker daar juist slecht bij. Dat spoor is eerder uitgewerkt in het stuk over AI-functies en de verwerkersketen onder artikel 28 AVG. Voor de bedrijfsgeheimen die hier aan de orde zijn — calculaties, klantlijsten, broncode, conceptovereenkomsten — loopt de vraag langs de Wbb, en een verwerkersovereenkomst dekt die toets niet automatisch af. Wat daarin staat over geheimhouding, beveiliging, verwijdering en de controle op subverwerkers kan wel meetellen als maatregel onder artikel 1 onderdeel c.
Het geheimhoudingsbeding, het instructierecht van artikel 7:660 BW en de grenzen van artikel 7:650 BW
Binnen de arbeidsverhouding is de route korter dan werkgevers denken. Op grond van artikel 7:660 BW mag u voorschriften geven over het verrichten van de arbeid en over de goede orde in de onderneming, en een lijst van toegestane tools met een verbod op de rest past binnen die bevoegdheid. Het artikel begrenst haar wel: het voorschrift moet binnen de grenzen van algemeen verbindende voorschriften en van de arbeidsovereenkomst blijven, en het moet redelijk zijn in de gegeven omstandigheden. Blijft het daarbinnen, dan is een wijziging van de arbeidsovereenkomst niet nodig en telt een gedateerde, aantoonbaar verstrekte instructie. Zodra het beleid ook persoonsgegevens van personeel verwerkt of controle op werknemers inhoudt, komt daarnaast het instemmingsrecht van de ondernemingsraad in beeld, en dan is de volgorde eerst instemming en daarna invoeren. Het bekendmaken van bijzonderheden aangaande het bedrijf die de werknemer behoorde geheim te houden staat bovendien met zoveel woorden in de opsomming van dringende redenen in artikel 7:678 lid 2 onderdeel i BW.
Bij het boetebeding is de wet strenger. Artikel 7:650 BW eist dat de arbeidsovereenkomst zowel het voorschrift als het bedrag van de boete noemt (lid 1) en schriftelijk is aangegaan (lid 2), dat de bestemming van de boete nauwkeurig is vermeld en niet strekt tot persoonlijk voordeel van de werkgever (lid 3), dat elke boete op een bepaald bedrag is gesteld (lid 4), en dat lid 5 twee grenzen stelt: binnen een week mag het totaal aan opgelegde boetes het in geld vastgestelde loon voor een halve dag niet overschrijden, en ook geen afzonderlijke boete mag hoger dan dat bedrag worden gesteld. Lid 6 verklaart strijdige bedingen nietig en staat daarop één uitzondering toe: bij werknemers met een uurloon boven het voor hen geldende minimumloon kan schriftelijk van de leden 3, 4 en 5 worden afgeweken, waarna de rechter de boete altijd kan matigen als zij hem bovenmatig voorkomt. Lid 7 schorst die afwijking zodra het loon onder het gewijzigde minimumloon zakt. Artikel 7:651 BW voegt daaraan toe dat de werkgever ter zake van hetzelfde feit niet zowel boete mag heffen als schadevergoeding vorderen. Een boetebeding uit een commercieel NDA dat ongewijzigd in een arbeidsovereenkomst wordt overgenomen, voldoet daarom zelden aan deze eisen.
Zes controles op uw eigen documenten en uw eigen toolgebruik
- Welke tools zijn toegestaan, en onder welk product en accounttype? Leg een korte lijst vast met per regel het product, het accounttype en de datum, en controleer in de documentatie van die aanbieder hoe training, bewaring en inzage voor precies dat product zijn geregeld.
- Welke informatie mag er nooit in? Benoem categorieën die iedereen herkent: calculaties en marges, klant- en prijslijsten, broncode, concepten van overeenkomsten, en alles wat onder een NDA van een klant valt.
- Kunt u aantonen dat de instructie is verstrekt? Datum, versie, ontvangers en een bevestiging bij indiensttreding. Deze administratie is het bewijs waarmee u later de derde eis van artikel 1 Wbb invult.
- Wat staat er in de NDA's die u zelf hebt getekend? Loop de bepaling over toegestane ontvangers na en beoordeel of verwerking door een externe dienst daar redelijkerwijs onder valt. Zo niet, dan is een aanvullende afspraak met die klant de nette route.
- Sluit uw arbeidsovereenkomst hierop aan? Een geheimhoudingsbeding dat naar het reglement verwijst, een boetebeding dat de eisen van artikel 7:650 BW haalt, en een bepaling over teruggave en verwijdering van bestanden bij einde dienstverband.
- Wie merkt het wanneer er toch iets uitgaat? Beperk de toegang tot de gevoelige mappen per rol en houd bij welke accounts de exportfunctie hebben. Zonder dat is de omvang van een incident later niet vast te stellen.
Deze zes punten zijn te reconstrueren uit papier dat er al ligt en dat aansluit op de vraag wat een ingehuurde partij na afloop mag hergebruiken, zoals eerder besproken bij de kennisclausule: het personeelsreglement, de arbeidsovereenkomsten en de NDA's die met klanten zijn getekend. De contractscan legt die stukken naast elkaar en markeert waar de bepaling over toegestane ontvangers, het boetebeding en de teruggaveregeling uiteenlopen. Op de dinsdagmiddag zelf staat er niets in de agenda; het dossier dat een jaar later telt, bestaat op dat moment al.
Wetteksten geraadpleegd via wetten.overheid.nl op 3 september 2026, de richtlijntekst via EUR-Lex, en de aangehaalde leverancierspagina's en EDPB-richtsnoeren op dezelfde datum.
