ChatGPT en klantgegevens: mag dat onder de AVG?
Met een gratis of Plus-account van ChatGPT: nee, zet daar geen klantgegevens in. Er is geen verwerkersovereenkomst en je invoer kan gebruikt worden om het model te trainen. Met een zakelijk abonnement en een verwerkersovereenkomst kan veel meer, als je ook de rest van de AVG regelt: een grondslag, je klanten informeren en afspraken met je mensen.
Een verwerkersovereenkomst is het contract waarin een dienst belooft jouw gegevens alleen voor jou te verwerken, zoals de AVG in artikel 28 vraagt. Zonder zo’n overeenkomst mag je geen persoonsgegevens aan die dienst geven.
Laatst bijgewerkt: · door Paul Moens
Dit is uitleg, geen juridisch advies. Twijfel je, vraag het een jurist of de functionaris gegevensbescherming.
ChatGPT en privacy: welk abonnement heeft een verwerkersovereenkomst?
Opgezocht bij de aanbieders zelf op 11 oktober 2026. Voorwaarden veranderen; kijk bij twijfel op de pagina van de aanbieder (link per regel). Op je telefoon schuif je de tabel opzij.
| Dienst | Verwerkersovereenkomst | Traint op je invoer | Opslag in de EU | Prijs |
|---|---|---|---|---|
| ChatGPT Free, Go, Plus of ProNiet voor klantgegevens | Nee | Ja, tenzij je het uitzet (Settings › Data controls) | Nee | €0 / €8 / €23 / vanaf €103 per maand bron |
| ChatGPT BusinessZakelijk | Ja, via het DPA-formulier van OpenAI (niet automatisch) | Nee, standaard niet | Nee | €21 per gebruiker per maand (jaarlijks), €26 maandelijks; vanaf 2 gebruikers bron |
| ChatGPT EnterpriseZakelijk | Ja, via het DPA-formulier | Nee, standaard niet | Ja, voor nieuwe werkruimtes (EER en Zwitserland) | Op aanvraag bron |
| Claude Free, Pro of MaxNiet voor klantgegevens | Nee | Ja, tenzij je het uitzet (privacy-instellingen › modelverbetering) | Niet gevonden bij de bron | $0 / $17 (jaarlijks) of $20 / vanaf $100 per maand bron |
| Claude Team of EnterpriseZakelijk | Ja, zit automatisch in de zakelijke voorwaarden | Nee, standaard niet | Niet gevonden bij de bron | Team €18 per gebruiker per maand (jaarlijks), €21,04 maandelijks bron |
| Gemini in Google WorkspaceZakelijk | Ja, valt onder de verwerkersvoorwaarden van Workspace (CDPA) | Nee, niet zonder je toestemming | Ja, met datalocaties: opslag vanaf Business Standard, verwerking pas vanaf Enterprise Plus | Zie aanbieder bron |
| Microsoft 365 CopilotZakelijk | Ja, valt onder de verwerkersvoorwaarden van Microsoft | Nee | Ja, binnen de EU Data Boundary (niet voor de Anthropic-modellen in Copilot) | Zie aanbieder bron |
“Zakelijk” betekent: er is een verwerkersovereenkomst en de dienst traint standaard niet op je invoer. Daarmee ben je er nog niet: de rest van de AVG blijft gelden (zie hieronder). Ook met opslag in de EU kan een deel buiten de EU verwerkt worden. Geen opslag in de EU? Dan moet de verwerkersovereenkomst de doorgifte regelen (AVG art. 44–46); bij OpenAI en Anthropic gebeurt dat met standaardcontractbepalingen.
AI en de AVG: wat de wet vraagt, in zes regels
- Art. 4 lid 1
- Persoonsgegevens: alles over iemand die je kunt herkennen, ook indirect (naam, nummer, mailadres).
- Art. 6
- Je hebt een grondslag nodig, bijvoorbeeld omdat het nodig is voor de overeenkomst met je klant. Of AI daarbij nodig is, moet je kunnen uitleggen.
- Art. 28
- Laat je een ander gegevens verwerken, dan leg je dat vast in een verwerkersovereenkomst.
- Art. 32
- Je neemt maatregelen die bij het risico passen, zoals beperken wat erin gaat.
- Art. 35
- Bij een hoog risico, zeker met nieuwe technologie, doe je eerst een DPIA.
- Art. 44–46
- Gaan gegevens buiten de EU, dan alleen met een adequaatheidsbesluit of afspraken zoals standaardcontractbepalingen.
Wat je er nooit in zet
Ook niet met een zakelijk abonnement. Voor gezondheidsgegevens en een BSN gelden extra strenge regels; die horen hier niet in.
- Gezondheidsgegevens, zoals medische informatie over een klant of medewerker.
- BSN, paspoort- of rijbewijsnummers, bankrekeningnummers.
- Hele klantdossiers of mailwisselingen “om even samen te vatten”.
- Gegevens over kinderen.
- Wachtwoorden, inlogcodes en sleutels.
De Autoriteit Persoonsgegevens kreeg meldingen van datalekken doordat medewerkers gegevens van patiënten en klanten in een chatbot zetten. Het bericht van de AP (6 augustus 2024).
Zes afspraken met je mensen
Kopieer ze in een mail of je personeelshandboek. Dat is het begin van een AI-beleid. Een compleet AI-beleid op één A4, met voorbeeld en sjabloon.
- We gebruiken alleen de zakelijke versie, met een verwerkersovereenkomst. Geen privé-accounts voor werk.
- Klantgegevens gaan er niet in, tenzij het staat in een vastgelegde werkwijze. Liever namen en nummers weglaten.
- Wat de AI schrijft, lezen we na voordat het naar een klant gaat.
- Gaat er per ongeluk iets in dat er niet in hoort, dan melden we dat meteen intern. Dat kan een datalek zijn.
- Eén persoon houdt bij welke AI-diensten we gebruiken en waarvoor.
- We kijken één keer wie welk AI-account gebruikt, en zetten privé-accounts voor werk stop.
Hoe ik het zelf doe
Je gegevens blijven in je eigen account, op jouw naam. Klantgegevens gaan niet naar ChatGPT of een andere AI-dienst, tenzij apart afgesproken — en dan alleen via een zakelijke AI-dienst met opslag en verwerking in de EU, die niet van de data leert. Pace8 werkt in de omgeving van de klant en is daarmee verwerker: bij een betaalde opdracht sluiten we vóór de start een verwerkersovereenkomst, ook zonder AI. Bij Bureau Dromenland zit er geen AI in de aanmelding: er gaat geen klantgegeven naar een AI-dienst. Daar was een vaste regel genoeg.
Wil je wel AI op klantgegevens, bijvoorbeeld een conceptantwoord op klantvragen? Dan zoeken we vooraf uit welke dienst past en wat er op papier moet. Wat een AI-agent is · Wat een AI-agent bij mij is, en waar jij beslist · mijn eigen privacyverklaring · hoe je AI stap voor stap invoert.
Bronnen
- AVG (Verordening (EU) 2016/679), EUR-Lex
- Autoriteit Persoonsgegevens: gebruik AI-chatbot kan leiden tot datalekken (6 augustus 2024)
- De voorwaarden per dienst: de link in elke regel van de tabel, gezien op 11 oktober 2026.
Geschreven door Paul Moens, 25 jaar procesmanagement in de financiële wereld. Geen jurist; dit is geen juridisch advies.