Is ChatGPT veilig voor bedrijven? AVG-checklist voor ChatGPT, Claude en Copilot

In bijna elk bedrijf gebruikt iemand inmiddels ChatGPT, Claude of Copilot. Om een mail te herschrijven, een offerte op te stellen of een document samen te vatten. Vaak zonder dat de directie het weet — en vaak met een gratis persoonlijk account.

Dat is precies waar het risico zit. Niet AI zelf is het probleem, maar welk account, welke gegevens en welke afspraken. In dit artikel lees je het verschil tussen gratis en zakelijke accounts, en krijg je een praktische checklist om AI veilig en AVG-proof in te zetten.

Het grootste verschil: gratis versus zakelijk

De belangrijkste vraag is wat de aanbieder met jouw invoer doet.

Concreet, op basis van de voorwaarden van de aanbieders:

• ChatGPT — OpenAI gebruikt data uit ChatGPT Business, Enterprise en de API standaard niet voor training. Voor Enterprise- en API-klanten is opslag in de EU mogelijk, maar die moet je expliciet aanzetten.
• Claude — Anthropic gebruikt data uit zakelijke producten (Claude for Work, Enterprise en de API) niet voor training. Bij consumentenaccounts (Free, Pro, Max) gebeurt dat sinds een wijziging in 2025 standaard wél, tenzij je het uitzet.
• Microsoft 365 Copilot — werkt binnen je eigen Microsoft 365-omgeving met de beveiliging en afspraken die daar al gelden; je bedrijfsdata wordt niet gebruikt om de onderliggende modellen te trainen.

Voorwaarden veranderen. Controleer altijd de actuele privacy- en datavoorwaarden van je aanbieder voordat je een tool bedrijfsbreed inzet.

Wat mag je wel en niet invoeren?

Ook met een zakelijk account is het verstandig om terughoudend te zijn. Een eenvoudige verdeling:

Prima:

• algemene teksten, zoals een blog, vacature of standaardmail;
• je eigen werk herschrijven of samenvatten zonder persoonsgegevens;
• brainstormen, structureren, vertalen.

Alleen met een zakelijk account en goede afspraken:

• klantmails en -documenten met naam en contactgegevens;
• interne documenten met bedrijfsgevoelige informatie;
• contracten en offertes.

Liever niet, of alleen met een zorgvuldige afweging en extra maatregelen:

• bijzondere persoonsgegevens, zoals gezondheid of strafrechtelijke gegevens;
• burgerservicenummers;
• gegevens van kinderen;
• informatie die onder een geheimhoudingsplicht valt.

AVG-checklist voor AI in je bedrijf

Loop deze lijst na voordat je AI breed inzet:

1. Kies zakelijke accounts. Geen persoonlijke gratis accounts voor werk met bedrijfs- of klantgegevens.
2. Sluit een verwerkersovereenkomst af met de aanbieder (bij zakelijke abonnementen is die er meestal standaard).
3. Check waar data wordt verwerkt en zet EU-opslag aan waar dat kan.
4. Zet training op je data uit, als dat niet al standaard is.
5. Stel een kort AI-beleid op: welke tools zijn toegestaan, waarvoor, en welke gegevens nooit.
6. Maak je team wegwijs. De Europese AI-verordening vraagt dat organisaties zorgen voor voldoende kennis bij medewerkers die met AI werken (AI-geletterdheid). Een korte training en een duidelijk beleid zijn een goede basis.
7. Laat een mens controleren. AI kan overtuigend klinken en toch fout zitten. Wat de deur uitgaat, wordt door een mens gecheckt.
8. Doe een DPIA bij grootschalige verwerking. Verwerk je met AI op grote schaal persoonsgegevens, of gevoelige gegevens, dan is een gegevensbeschermingseffectbeoordeling vaak verplicht.
9. Leg vast wat je doet. Neem AI-tools op in je verwerkingsregister.
10. Wees transparant. Gebruik je AI in contact met klanten, zoals een chatbot? Vertel dat.

Wat moet er in een AI-beleid?

Houd het kort en praktisch — een A4’tje is beter dan een rapport dat niemand leest:

• Welke tools zijn toegestaan (en met welk account).
• Waarvoor je ze mag gebruiken, met voorbeelden.
• Welke gegevens nooit in een AI-tool mogen.
• Controle: wat moet een mens altijd nalezen?
• Contactpersoon voor vragen of twijfelgevallen.

Van losse tools naar ingerichte AI

Losse chattools zijn handig voor individuele taken. Maar wie AI structureel wil inzetten — voor het verwerken van mail, documenten of klantvragen — doet dat beter via een ingerichte workflow: met een zakelijk API-account, duidelijke afspraken over data, alleen de gegevens die nodig zijn, en een mens in de lus bij uitzonderingen. Dan heb je zowel het gemak als de controle.

Conclusie

ChatGPT, Claude en Copilot zijn prima te gebruiken in je bedrijf — mits met het juiste account, duidelijke afspraken en een team dat weet wat wel en niet mag. Het grootste risico is niet de technologie, maar medewerkers die met persoonlijke gratis accounts klantgegevens invoeren.

Wil je AI inzetten op een manier die je kunt verantwoorden? Lees hoe wij AI-automatisering inrichten, of begin bij AI-automatisering voor het mkb.

Arnout de Boer is oprichter van Pixel Ploeg en bouwt AI-automatiseringen, websites en campagnes voor Nederlandse bedrijven.