AI, AVG en privacy: wat mag je met klantgegevens?

Mag je klantgegevens in een chatbot plakken?

Het korte antwoord: het hangt af van welke tool je gebruikt en wat je erin zet. Algemene vragen — hoe schrijf ik een pakkende intro, vat deze publieke tekst samen — zijn nooit een probleem. Het wordt oppassen zodra er persoonsgegevens in het spel komen: namen, e-mailadressen, telefoonnummers, klantdossiers, cv's, de opname van een gesprek.

Onder de AVG ben jij verantwoordelijk voor de persoonsgegevens die je verwerkt, ook als je ze aan een AI-dienst doorgeeft. Doe je dat met een gratis, persoonlijke chatbot, dan geef je die gegevens in feite aan een derde partij zonder duidelijke afspraken over wat ermee gebeurt. Voor een zakelijke gebruiker is dat een risico dat je bewust wilt afwegen, niet iets wat je per ongeluk doet omdat het net zo makkelijk was.

Wordt je invoer gebruikt om AI te trainen?

De grootste zorg bij gratis AI is dat je invoer gebruikt kan worden om het model verder te trainen. In de praktijk betekent dat: wat jij typt, kan meegaan in de data waarmee toekomstige versies leren. Bij persoonlijke, gratis accounts staat dat vaak standaard aan.

Het goede nieuws: je kunt het meestal uitzetten. Bij de grote aanbieders vind je in de instellingen een optie in de trant van Verbeter het model voor iedereen of onder Data controls die je kunt uitschakelen. Zoek daarvoor in de instellingen op 'privacy' of 'data'. Twee kanttekeningen:

• Uitzetten geldt meestal alleen vanaf dat moment — eerdere gesprekken kunnen al verwerkt zijn.
• Ook met training uit worden je gesprekken vaak nog een tijd bewaard, bijvoorbeeld voor misbruikdetectie. 'Uit' is dus niet hetzelfde als direct verwijderd.

Wil je transcripties van gesprekken of vergaderingen laten maken, let dan extra op: daar zitten bijna altijd persoonsgegevens in. Zie onze uitleg over AI-notuleren en transcriptie voor de aandachtspunten.

Gratis versus zakelijk: het echte verschil

Het belangrijkste onderscheid loopt niet tussen merken, maar tussen abonnementsvormen. Een gratis of consumentenaccount is iets heel anders dan een zakelijk Team- of Enterprise-abonnement. Bij de zakelijke varianten van de grote aanbieders geldt als regel dat ze je invoer niet gebruiken voor training, en kun je aanvullende afspraken maken.

De precieze voorwaarden verschillen per aanbieder en veranderen regelmatig — lees dus altijd de actuele voorwaarden. Maar als vuistregel: voor werk met klantdata wil je minimaal een zakelijk abonnement, niet de gratis versie. Wil je zien welke aanbieder verder bij je past, vergelijk ze dan in ChatGPT vs Claude vs Gemini.

EU-hosting en dataresidentie

Een aparte vraag is waar je data staat en verwerkt wordt. Veel AI-diensten draaien standaard op servers in de Verenigde Staten. Voor gewone teksten maakt dat weinig uit, maar voor gevoelige of gereguleerde gegevens willen organisaties vaak dat de verwerking binnen de EU blijft — de zogeheten dataresidentie.

De grote aanbieders bieden daar in hun zakelijke lagen steeds vaker opties voor: EU-datacenters, of contractuele garanties over waar en hoe lang data wordt bewaard. Voor de meeste zzp'ers en kleine bedrijven is dit geen dagelijkse zorg. Maar werk je met bijzondere persoonsgegevens — denk aan de zorg, of aan dossiers met gevoelige inhoud — dan is EU-hosting een punt om expliciet naar te vragen vóórdat je begint.

Praktische privacyregels

Los van welke tool je kiest, gelden er een paar praktische regels die je altijd kunt toepassen. Ze kosten weinig moeite en dekken het grootste deel van de risico's af.

• Anonimiseer eerst. Vervang echte namen door 'Klant A', laat adressen en nummers weg. Vaak heeft de AI de persoonsgegevens helemaal niet nodig om je te helpen.
• Nooit bijzondere gegevens. Geen BSN, geen medische informatie, geen gegevens over ras, geloof of strafblad in een chatbot — dat zijn bijzondere persoonsgegevens met extra bescherming.
• Regel een verwerkersovereenkomst. Verwerk je structureel klantdata via een AI-tool, dan hoort daar een verwerkersovereenkomst (DPA) bij. Zakelijke abonnementen bieden die; gratis versies niet.
• Wees transparant. Laat je klanten desgevraagd weten dat je AI-hulpmiddelen gebruikt, en neem het op in je privacyverklaring als je hun gegevens erdoor haalt.

Wat te doen bij twijfel

Kom je er niet uit? Loop dan deze korte checklist langs vóórdat je iets in een AI-tool plakt:

• Zitten er persoonsgegevens in? Zo nee — geen probleem, ga je gang.
• Kan ik ze weglaten of anonimiseren? Zo ja — doe dat, en het risico is grotendeels weg.
• Moet de echte data er tóch in? Gebruik dan een zakelijk abonnement met training uit en een DPA.
• Gaat het om bijzondere of grootschalige gegevens? Stop, en zoek eerst juridisch of AVG-advies.

In de meeste dagelijkse situaties eindig je bij de eerste of tweede vraag — en kun je gewoon met een gerust hart aan de slag. Verantwoord met AI werken hoeft niet ingewikkeld te zijn; het vraagt vooral dat je even nadenkt vóórdat je iets plakt. Meer over de bredere spelregels lees je in de AI Act uitgelegd, en over de dagelijkse inzet in AI voor zzp en mkb.