AI privacy: ChatGPT en AI zakelijk gebruiken onder de AVG
Je mensen gebruiken waarschijnlijk al ChatGPT of Copilot. Maar wat mag je erin zetten, en hoe zit het met de AVG? Hier lees je wat je moet regelen voordat klantgegevens, adressen of personeelszaken in een AI-tool belanden.
In het kort
- Zet geen persoonsgegevens in gratis consumentenversies van AI-tools.
- Gebruik zakelijke accounts op naam van je bedrijf, met training op je gegevens uit.
- Sluit een verwerkersovereenkomst met de aanbieder als er persoonsgegevens in gaan.
- Weet waar de gegevens worden opgeslagen en verwerkt.
- Leg vast welke gegevens wel en niet in een AI-tool mogen, en vertel het je mensen.
Dit artikel is praktische uitleg, geen juridisch advies. Twijfel je over jouw situatie, vraag het een privacyjurist.
Waarom AI en privacy botsen
De AVG gaat over persoonsgegevens: alles wat iets zegt over een herkenbaar persoon. Op het kantoor van een technisch bedrijf is dat meer dan je denkt. Naam en adres van een particuliere klant op een werkbon. Een telefoonnummer in een mail. De uren en het ziekteverzuim van een monteur.
Zodra je zo’n werkbon of mail in een AI-tool zet, geef je die gegevens aan een andere partij. De Autoriteit Persoonsgegevens wijst erop dat de meeste aanbieders van chatbots alles opslaan wat je invoert. Dan moet je weten wat die partij ermee doet, waar het staat en of je dat mag.
De AP kreeg meerdere meldingen van datalekken doordat medewerkers op eigen initiatief klant- of patiëntgegevens in een chatbot zetten. Het advies van de AP: maak als werkgever duidelijke afspraken over wat wel en niet mag. Lees het bericht van de AP op autoriteitpersoonsgegevens.nl.
Veilig AI gebruiken: wat je moet regelen
1. Geen persoonsgegevens in gratis consumententools
Het gratis account dat iemand thuis heeft aangemaakt, is geen werkplek. Je hebt er geen afspraken over, en bij consumentenversies kunnen gesprekken worden gebruikt om modellen te verbeteren, tenzij de gebruiker dat zelf uitzet. Bij ChatGPT heet die instelling “Improve the model for everyone”, onder Data controls.
2. Zakelijke accounts op naam van het bedrijf
Bij de zakelijke abonnementen van ChatGPT gebruikt OpenAI je gegevens standaard niet om modellen te trainen. Bij Microsoft 365 Copilot Chat geldt de zakelijke gegevensbescherming als je inlogt met je werkaccount; dat herken je aan het groene schildje. Controleer bij elk abonnement de actuele voorwaarden, want die veranderen.
3. Een verwerkersovereenkomst
Verwerkt een aanbieder persoonsgegevens voor jouw bedrijf, dan is die aanbieder een verwerker en heb je een verwerkersovereenkomst nodig. Grote aanbieders bieden die bij zakelijke abonnementen standaard aan, vaak onder de naam Data Processing Addendum of DPA. Bewaar hem bij je privacyadministratie.
4. Weten waar de data staat
Staat de data in de EU of daarbuiten? Bij sommige zakelijke abonnementen kun je kiezen voor opslag in Europa, maar niet bij elk abonnement en niet altijd voor elke functie. Microsoft verwerkt Copilot-gegevens van EU-klanten in principe binnen de EU Data Boundary, met uitzonderingen zoals zoekopdrachten op het web. Vraag het na en leg het vast.
5. Afspraken met je mensen
Schrijf op één A4 welke tools mogen, met welk account, en welke gegevens er nooit in gaan. Bijvoorbeeld: geen BSN, geen medische gegevens, geen personeelsdossiers, en klantgegevens alleen in tools met een verwerkersovereenkomst. Vertel het en herhaal het.
En bij een AI-agent of automatisering?
Een AI-agent die werkbonnen of inkoopfacturen verwerkt, leest per definitie gegevens van klanten en leveranciers. Dan gelden dezelfde vragen, alleen in een keten: de werkbon-app, het automatiseringsplatform, het AI-model en de boekhouding. Elke schakel die persoonsgegevens verwerkt, hoort in je overzicht.
- Minimaliseer. Stuur alleen de velden naar het AI-model die nodig zijn voor de taak.
- Accounts op je eigen naam. Dan beslis jij over de instellingen, de verwerkersovereenkomsten en wat er gebeurt als je stopt.
- Logboek. Houd bij wat de agent heeft gedaan, zodat je kunt nagaan waar gegevens zijn geweest.
- Zelf hosten waar dat helpt. Een platform als n8n kan op een server die jij kiest. De aanroep naar het AI-model loopt dan nog steeds via de aanbieder.
De EU AI-verordening in het kort
Naast de AVG geldt sinds 1 augustus 2024 de Europese AI-verordening (AI Act). Die gaat in stappen in. De verboden toepassingen gelden sinds februari 2025, en de transparantieregels (bijvoorbeeld laten weten dat iemand met een chatbot praat) sinds augustus 2026. De zware regels voor hoog-risico AI, zoals AI die sollicitanten of personeel beoordeelt, zijn in 2026 met de zogeheten Digital Omnibus uitgesteld naar december 2027. Voor gewoon kantoorwerk in een technisch bedrijf zijn de verplichtingen beperkt, maar de AVG blijft volledig gelden. De actuele stand staat bij de AP op de pagina over de AI-verordening op autoriteitpersoonsgegevens.nl.
Hoe wij het regelen
Bij Bouwtomation staan alle accounts, voor software en voor AI, op naam van jouw bedrijf. Daarmee heb jij de verwerkersovereenkomsten en de instellingen in handen, en houd je je data en een export als je stopt. Per proces kijken we welke gegevens echt nodig zijn. Lees hoe we dat aanpakken op bedrijfsprocessen automatiseren, of plan een kennismaking en neem je vragen mee.
Veelgestelde vragen
Is ChatGPT AVG-proof?
Dat hangt af van welke versie je gebruikt en hoe. Een gratis consumentenaccount waarin medewerkers klantgegevens plakken, is een risico. Een zakelijk abonnement met een verwerkersovereenkomst, waarbij je data niet wordt gebruikt om modellen te trainen, en duidelijke afspraken over wat erin mag, komt een stuk verder. AVG-proof is geen eigenschap van de tool, maar van hoe je hem inzet.
Is het een datalek als een medewerker klantgegevens in ChatGPT plakt?
Volgens de Autoriteit Persoonsgegevens kan dat een datalek zijn, vooral als het gebeurt buiten de afspraken van de werkgever om. Dan moet je beoordelen of je het moet melden. Zie het bericht hierover op autoriteitpersoonsgegevens.nl.
Wat is veilig AI gebruiken in een klein bedrijf?
Gebruik zakelijke accounts op naam van je bedrijf, zet training op je gegevens uit, sluit een verwerkersovereenkomst en spreek op papier af welke gegevens wel en niet in een AI-tool mogen. Laat persoonsgegevens weg als het niet nodig is. En houd bij welke tools er in gebruik zijn.
Is n8n veiliger voor privacy dan Zapier of Make?
n8n kun je zelf hosten, waardoor de gegevens van je workflows op een server staan die jij kiest. Dat helpt, maar zodra een workflow een AI-model aanroept, gaan de gegevens alsnog naar die aanbieder. Kijk dus naar de hele keten. Meer in n8n, Zapier of Make.
Geldt de AI-verordening ook voor mijn bedrijf?
Als je AI gebruikt, ben je in de termen van de wet meestal een “gebruiksverantwoordelijke”. Voor gewoon kantoorwerk zoals mails, offertes en werkbonnen zijn de verplichtingen beperkt. Zwaardere regels gelden voor hoog-risico toepassingen, zoals AI die sollicitanten of personeel beoordeelt.