Stel: Leila werkt op een advieskantoor. Vrijdagmiddag, vier uur. Ze plakt een klantnotitie met namen en een paar privédetails in de gratis ChatGPT en vraagt om een nette samenvatting. In een paar tellen klaar. Handig. Tot een collega vraagt: mag dat eigenlijk wel, met de AVG?
Het eerlijke antwoord is niet zwart-wit. De versie die je gebruikt en wat je erin zet, maken samen het verschil tussen mag en liever niet. Hieronder lees je wat de AVG precies vraagt, waar ChatGPT wringt, en hoe je gesprekken wel veilig vastlegt.
Vooraf: dit is algemene uitleg op basis van de AVG, de Autoriteit Persoonsgegevens, de Europese privacytoezichthouders en het beleid van OpenAI zelf. Het is geen juridisch advies voor jouw situatie.
Wat betekent AVG-proof eigenlijk?
AVG-proof betekent dat je persoonsgegevens verwerkt volgens de Algemene Verordening Gegevensbescherming: met een grondslag, met de juiste afspraken, en zonder dat de gegevens ergens belanden waar je geen controle meer over hebt.
Persoonsgegevens zijn alle gegevens over een herkenbaar persoon: een naam, een e-mailadres, een dossier, een gezondheidsdetail. Zitten die niet in je invoer, dan is de AVG voor die ene vraag geen punt. Zitten ze er wel in, dan gelden de regels hieronder.
Wat vraagt de AVG als je AI gebruikt?
De AVG verandert niet omdat er AI op de doos staat. Zodra er persoonsgegevens in gaan, gelden dezelfde regels als altijd. Of je die partij nu ChatGPT noemt of gewoon een AI-tool: het zijn dezelfde vier eisen.
- Een grondslagEen geldige reden om de gegevens te verwerken (art. 6 AVG).
- DataminimalisatieJe verwerkt niet meer dan nodig is voor je doel.
- Een verwerkersovereenkomstMet de partij die de gegevens namens jou verwerkt (art. 28 AVG).
- Zicht op je dataJe weet waar de gegevens heen gaan en hoe lang ze bewaard blijven.
Wanneer wordt ChatGPT een AVG-probleem?
ChatGPT wringt vooral op twee punten: bij de gratis consumentenversie, en bij gevoelige inhoud. Drie dingen verdienen aandacht.
Training op je invoer
In de consumentenversies (Free, Plus en Pro) kan OpenAI je gesprekken standaard gebruiken om zijn modellen te verbeteren, tenzij je dat zelf uitzet via de instelling "Improve the model for everyone". Bij de zakelijke versies (Enterprise, Business en de API) staat dat standaard uit. Het uitzetten geldt voor nieuwe gesprekken, niet met terugwerkende kracht.
De verwerkersovereenkomst
Voor de gratis consumentenversie sluit OpenAI geen verwerkersovereenkomst. Verwerk je daar persoonsgegevens, dan mis je precies de afspraak die de AVG vereist. Voor Business, Enterprise en de API is die overeenkomst er wel. Wat er in een verwerkersovereenkomst hoort te staan, lees je apart.
Waar je data heen gaat
Verwijderde chats worden meestal binnen 30 dagen gewist, maar de verwerking loopt via een Amerikaans bedrijf. Zakelijke klanten kunnen EU-dataregio's instellen; wat datalocatie en Amerikaans recht voor je gegevens betekenen, lees je bij AI zonder data naar de VS.
De toezichthouder is hier duidelijk over. De Autoriteit Persoonsgegevens waarschuwt dat persoonsgegevens in een AI-chatbot plakken zelf al een datalek kan zijn, en kreeg hier de afgelopen jaren meldingen over. Hoe zo'n datalek ontstaat en wanneer je het moet melden, lees je bij een datalek door AI-tools. En de ChatGPT-taskforce van de Europese privacytoezichthouders legde in mei 2024 vast dat de verantwoordelijkheid voor AVG-naleving bij OpenAI ligt en niet op de gebruiker mag worden afgeschoven.
Wat kun je wel doen?
Je kunt AI prima AVG-proof gebruiken. Het vraagt alleen een paar keuzes vooraf.
- Laat persoonsgegevens eruitHet simpelst: zet geen persoonsgegevens in een gratis consumenten-chatbot. Haal namen en details eruit, of maak ze onherkenbaar, voordat je iets plakt.
- Of kies een zakelijke versieWil je wel met echte gegevens werken, gebruik dan een zakelijke versie met een verwerkersovereenkomst en zet de training uit.
- Of kies een tool die het geregeld heeftEen tool die in de EU verwerkt, niet op je data traint en een verwerkersovereenkomst meelevert. Er bestaan Europese alternatieven, van een Nederlands taalmodel als GPT-NL tot tools die voor één taak zijn gebouwd.
Zes mythes, naast de feiten.
Over ChatGPT en de AVG doen veel halve waarheden de ronde. Hieronder de populairste, naast wat er feitelijk klopt.
| Bewering | Klopt het? | Waarom |
|---|---|---|
| "ChatGPT is gewoon verboden voor werk." | Klopt niet | Het hangt af van de versie en wat je erin zet. Zonder persoonsgegevens, of met een zakelijke versie plus verwerkersovereenkomst, kan het prima. |
| "De betaalde versie (Plus) is daarom wel veilig genoeg." | Klopt niet | Plus is nog steeds de consumentenversie: training staat er standaard aan en er is geen verwerkersovereenkomst. Betalen is niet hetzelfde als zakelijk. |
| "OpenAI traint sowieso op alles wat je intypt." | Klopt deels | Bij de consumentenversies meestal wel, tenzij je het uitzet. Bij Enterprise, Business en de API staat training standaard uit. Het verschilt per versie. |
| "Mijn data is veilig zolang die in een EU-regio staat." | Klopt niet | Een EU-regio regelt waar je data staat, niet onder welk recht het bedrijf valt. Waarom dat uitmaakt, lees je bij AI zonder data naar de VS. |
| "Een AI mag van de AVG sowieso geen persoonsgegevens verwerken." | Klopt niet | Het mag, met een grondslag en de juiste afspraken. De AVG verbiedt AI niet, hij stelt voorwaarden. |
| "Als ik de chat verwijder, is mijn data weg." | Klopt deels | Verwijderde chats gaan er meestal binnen 30 dagen uit, maar wat al in een trainingsset zat haal je er niet meer uit. En het plakken zelf telt al als mogelijk datalek. |
Onder al die mythes zit één patroon: het probleem is zelden AI op zichzelf. Het zit in de versie, en in wat je erin zet.
Is jouw AI-gebruik AVG-proof?
Loop deze vijf vragen langs voordat je iets in een AI-tool plakt. Vijf keer ja, en je zit waarschijnlijk goed. Eén keer nee, en er is werk aan de winkel.
- Zitten er persoonsgegevens in wat ik invoer (een naam, een dossier, een gezondheidsdetail)? Zo ja, lees door.
- Gebruik ik een zakelijke versie, geen gratis consumentenaccount?
- Heb ik een verwerkersovereenkomst met de aanbieder?
- Staat de training op mijn invoer uit?
- Weet ik waar mijn data wordt verwerkt en hoe lang die bewaard blijft?
Dit is de korte versie. Hoe je een tool stap voor stap beoordeelt op verwerker, techniek en bewaartermijn, lees je bij veilig notuleren. Wil je vooraf weten waarop je let, dan helpt onze uitleg over een AVG-proof AI-tool kiezen.
ChatGPT is geen ding, het zijn er twee.
Dit is wat de meeste mensen missen. Dezelfde naam, dezelfde interface, maar de gratis consumentenversie en de zakelijke versie behandelen je data tegenovergesteld. Bij de een staat training standaard aan en is er geen verwerkersovereenkomst; bij de ander staat training uit en is die overeenkomst er wel.
Daarom heeft de vraag "is ChatGPT AVG-proof" geen ja of nee als antwoord. De echte vraag is: welke ChatGPT, en waarvoor.
Wanneer ChatGPT juist prima is.
Voor heel veel werk is ChatGPT een prima keuze, en daar zijn we eerlijk over. Een blogtekst herschrijven, een openbaar rapport samenvatten, code uitleggen, een mailtje netter formuleren, brainstormen zonder gevoelige inhoud: daar is de AVG geen punt, simpelweg omdat er geen persoonsgegevens in gaan.
Ook de zakelijke ChatGPT (Enterprise) is technisch sterk en goed beveiligd, met een verwerkersovereenkomst, instelbare bewaartermijnen en EU-dataregio's. Het wringt op één plek: vertrouwelijke gesprekken en persoonsgegevens in de gratis versie. Daar past ander gereedschap.
Wil je ChatGPT gebruiken om van een gesprek een verslag te maken, dan komt er meer kijken dan de AVG alleen. Die vergelijking maken we apart in ChatGPT voor verslagen.
Zo leg je gesprekken wel veilig vast.
Voor een gevoelig gesprek wil je je druk maken om het gesprek, niet om de techniek eronder. Daarom hebben we Notuly zo gemaakt: dé AI-notulist voor elk gesprek, discreet fysiek, hybride en online. Aan tafel leg je je telefoon in het midden; voor meetings via Teams, Zoom of Google Meet gebruik je de desktop-app voor macOS en Windows.
Zo ziet dat er op een dinsdag uit. Half drie, een gesprek aan tafel. De telefoon ligt ertussen, Daniël drukt op opnemen en het gesprek gaat gewoon door. Een uur later stopt de opname, en binnen tien minuten staat het verslag in ieders mail: samenvatting, besluiten en actiepunten met eigenaar en moment ("Sam stuurt vrijdag het voorstel naar Daniël", "Leila plant dinsdag het vervolggesprek in"). En als je dat kiest, komt de transcriptie als .txt-bestand mee. Notuly verstaat 90+ gesproken talen en levert het verslag in het Nederlands of Engels.
Wat je niet ziet, is de route eronder. De hele AI-stap, van spraak naar tekst tot de samenvatting, draait op onze eigen modellen op servers in Amsterdam. Geen OpenAI, geen Microsoft, geen Big Tech die meekijkt. We trainen niet op je gesprekken en de audio wordt binnen een minuut na verwerking gewist: geen archief, geen doorzoekbare opslag. Wat jij zegt, blijft van jou.
Loop je de zelftest hierboven na, dan is elke vraag vooraf beantwoord. De verwerkersovereenkomst (AVG art. 28) is beschikbaar vanaf een Team-licentie, precies het document dat de AVG van je organisatie vraagt. Geen instelling die je zelf goed moet zetten.
Lees hoe Notuly veilig notuleert →
Bronnen.
Gebaseerd op publieke, gezaghebbende bronnen, geraadpleegd juni 2026. Wet- en bedrijfsbeleid kunnen veranderen; check de bron voor de actuele stand.
- European Data Protection Board (EDPB), Report of the work undertaken by the ChatGPT Taskforce, 23 mei 2024.
- Autoriteit Persoonsgegevens, Pas op: gebruik AI-chatbot kan leiden tot datalekken.
- Autoriteit Persoonsgegevens, AP vraagt om opheldering over ChatGPT.
- OpenAI, How your data is used to improve model performance, over consument-training en de instelling "Improve the model for everyone".
- OpenAI, Business data privacy, security, and compliance, over geen training op zakelijke data, verwerkersovereenkomst en dataregio's.
- OpenAI, Enterprise privacy, over verwerkersovereenkomst en bewaartermijnen voor zakelijke versies.
- European Data Protection Board (EDPB), International data transfers, over doorgifte naar derde landen onder de AVG.
Algemene uitleg op basis van de genoemde bronnen, geen juridisch advies.