AI in je organisatie: waar het tijd wint, en waar je een mens nodig hebt
AI belooft veel. Wat kun je er vandaag echt mee, en waar gaat het mis als niemand meekijkt?
Lees verderEen mail herschrijven, een offerte samenvatten, een lastige vraag uitzoeken: ChatGPT en Claude zijn op veel werkplekken al gewoon gereedschap. Vaak zonder dat iemand er afspraken over heeft gemaakt. Dat is begrijpelijk, want het werkt en het scheelt tijd. Maar alles wat je in zo'n chatbot typt, gaat naar de servers van een ander bedrijf. De vraag is dus niet óf je AI gebruikt, maar hoe.
Wat er gebeurt met wat je intypt
Een vraag aan een AI-chatbot is geen gesprek in de lucht. Je tekst, en elk bestand dat je uploadt, wordt opgeslagen bij de aanbieder. Afhankelijk van je abonnement en je instellingen kan de aanbieder die gegevens gebruiken om nieuwe modellen te trainen, en bewaart hij ze een tijd.
Dat gaat in de praktijk mis. De Autoriteit Persoonsgegevens kreeg meldingen van datalekken doordat medewerkers persoonsgegevens in een chatbot plakten, tegen de afspraken in: een medewerker van een huisartsenpraktijk met medische gegevens van patiënten, en een medewerker van een telecombedrijf met een bestand vol klantadressen (AP). In 2025 kwamen er meer van zulke meldingen binnen dan het jaar ervoor, vooral door het gebruik van gratis versies (ICT Magazine).
Gratis of zakelijk: daar zit het verschil
Voor zowel ChatGPT als Claude geldt: de privacy hangt vooral af van het abonnement.
ChatGPT (OpenAI)
- Free, Plus en Pro zijn bedoeld voor persoonlijk gebruik. Je gesprekken kunnen worden gebruikt om modellen te verbeteren, tenzij je dat uitzet in de instellingen bij gegevensbeheer. Een tijdelijke chat wordt niet gebruikt voor training en hooguit 30 dagen bewaard (OpenAI).
- ChatGPT Business, Enterprise en de API zijn voor organisaties. Je gegevens worden standaard niet gebruikt voor training, en OpenAI sluit een verwerkersovereenkomst met je af. Bij Enterprise kun je kiezen voor opslag in Europa (OpenAI, OpenAI).
Claude (Anthropic)
- Free, Pro en Max zijn voor persoonlijk gebruik. Sinds eind 2025 kies je zelf of je gesprekken gebruikt mogen worden om Claude te verbeteren. Zeg je ja, dan worden ze tot vijf jaar bewaard; zeg je nee, dan blijft het bij 30 dagen (Anthropic).
- Claude Team en Enterprise, Education en de API vallen daar buiten. Wat je daar invoert, wordt niet gebruikt voor training (Anthropic).
Uitzetten in een persoonlijk account is dus beter dan niets, maar het lost niet alles op. Je hebt geen verwerkersovereenkomst, geen beheer over wie wat gebruikt, en als iemand vertrekt, gaat de geschiedenis mee in een privéaccount.
Wat de wet ervan vindt
De AVG. Plak je persoonsgegevens in een chatbot, dan verwerk je die gegevens, en de aanbieder verwerkt ze voor jou. Daarvoor heb je een verwerkersovereenkomst nodig, en die krijg je alleen bij een zakelijk abonnement. Gaat het toch mis, bijvoorbeeld met klantgegevens in een gratis account, dan kan het een datalek zijn dat je binnen 72 uur moet melden bij de Autoriteit Persoonsgegevens. Gezondheidsgegevens, BSN's en andere gevoelige gegevens horen in geen enkele gratis chatbot thuis.
De AI Act. Sinds februari 2025 moeten organisaties die AI gebruiken zorgen dat hun mensen er verstandig mee omgaan: AI-geletterdheid. Sinds de aanpassing van de AI Act in juli 2026 is dat een inspanningsverplichting: je neemt maatregelen, zoals uitleg en afspraken, en je legt vast wat je doet. Een vast niveau of certificaat is niet verplicht (Lewis Silkin).
Zo regel je het in vijf stappen
- Kies een zakelijk abonnement voor het werk, zoals ChatGPT Business of Claude Team, en sluit de verwerkersovereenkomst af.
- Maak het gratis alternatief overbodig. De AP raadt aan om gratis AI-sites te blokkeren en een veilig alternatief aan te bieden. Wie een goed zakelijk account heeft, grijpt niet meer naar een privéaccount.
- Leg afspraken vast op één A4: waarvoor je AI gebruikt, en wat er nooit in gaat. Denk aan namen en adressen van klanten, BSN's, medische gegevens, wachtwoorden en vertrouwelijke contracten. Twijfel je? Haal namen en details eruit voordat je iets plakt.
- Leg het uit aan je team en schrijf op dat je dat gedaan hebt. Daarmee voldoe je meteen aan de AI-geletterdheid uit de AI Act.
- Laat een mens het laatste woord hebben. AI kan zich vergissen en verzint soms feiten. Controleer wat eruit komt, zeker als het naar een klant gaat.
Samengevat
- Wat je in een chatbot typt, wordt opgeslagen bij de aanbieder. Bij gratis en persoonlijke versies kan het voor training worden gebruikt.
- Zakelijke abonnementen van ChatGPT en Claude trainen standaard niet op je gegevens en komen met een verwerkersovereenkomst.
- Persoonsgegevens in een gratis chatbot kunnen een datalek zijn.
- Een zakelijk account, een A4 met afspraken en een korte uitleg aan je team dekken het grootste deel van het risico.
AI versnelt. Mensen beslissen. Wil je AI veilig inzetten in je organisatie, of een toepassing bouwen die binnen je eigen omgeving blijft? We denken graag mee.
Bronnen
- Autoriteit Persoonsgegevens: Caution: use of AI chatbot may lead to data breaches
- ICT Magazine: Autoriteit Persoonsgegevens: meer datalekken door ongeoorloofd gebruik gratis chatbots
- OpenAI: Enterprise privacy
- OpenAI: Introducing data residency in Europe
- OpenAI: Temporary chat FAQ
- Anthropic: Updates to our consumer terms
- Lewis Silkin: The Digital Omnibus on AI enters into force (juli 2026)
Hier helpen we bij
Benieuwd wat dit voor jouw organisatie betekent?
We denken graag vrijblijvend mee.
Plan een kennismaking