Is ChatGPT AVG-proof voor uw organisatie?

Waar het om draait

De AVG verbiedt geen AI. Ze vraagt dat u weet welke persoonsgegevens u verwerkt, waarom, bij wie, en dat u dat kunt aantonen. De vraag “is ChatGPT AVG-proof?” is daarom eigenlijk een andere vraag: kunt u aantonen dat de verwerking van persoonsgegevens via ChatGPT rechtmatig, veilig en beperkt is?

Voor de meeste organisaties hangt het antwoord af van welke versie wordt gebruikt en wie hem gebruikt: de organisatie, met afspraken, of een medewerker, op eigen initiatief.

Gratis, Plus of zakelijk: het verschil onder de AVG

Een zakelijke versie lost dus veel op: u hebt een contract, een verwerkersovereenkomst en beheer. Wat het niet oplost, is dat een externe partij uw gegevens verwerkt, met een moederbedrijf in de Verenigde Staten. Voor doorgifte naar de VS vertrouwen veel organisaties op het EU-US Data Privacy Framework. Het Gerecht van de EU heeft dat kader in september 2025 overeind gehouden, maar de zaak ligt in hoger beroep bij het Hof van Justitie. Wie zijn AI-gebruik daarop bouwt, bouwt op een kader waarvan de toekomst nog niet vaststaat.

Wanneer is ChatGPT-gebruik een datalek?

De Autoriteit Persoonsgegevens (AP) is daar duidelijk over. In 2024 meldde de AP meerdere datalekken waarbij medewerkers persoonsgegevens in een AI-chatbot hadden ingevoerd. Een medewerker van een huisartsenpraktijk had medische gegevens van patiënten ingevoerd; bij een telecombedrijf ging het om een bestand met onder meer adressen van klanten.

De redenering van de AP: als een medewerker op eigen initiatief, en tegen de afspraken in, persoonsgegevens in een chatbot zet, krijgt de aanbieder van die chatbot onbevoegd toegang tot die gegevens. Dat is een inbreuk in verband met persoonsgegevens. Dan geldt de meldplicht: binnen 72 uur bij de AP als er risico is voor de betrokkenen, en bij hoog risico ook bij de betrokkenen zelf.

In de praktijk betekent dat: elk geplakt klantbestand, elk dossierfragment en elke e-mail met namen kan een meldingsplichtig datalek zijn. En u weet het meestal niet, omdat het gebeurt in privéaccounts waar u geen zicht op hebt. Hoe u dat aanpakt, staat in Shadow AI: wat te doen als medewerkers zelf ChatGPT gebruiken.

Wat moet u regelen als u ChatGPT toestaat?

Kiest u ervoor ChatGPT zakelijk in te zetten, regel dan in elk geval:

1. Een zakelijk contract en een verwerkersovereenkomst (artikel 28 AVG). Zonder die overeenkomst mag u geen persoonsgegevens laten verwerken.
2. Een DPIA als de verwerking waarschijnlijk een hoog risico oplevert, bijvoorbeeld bij bijzondere persoonsgegevens, grootschalige verwerking of nieuwe technologie (artikel 35 AVG). Bij generatieve AI is dat vaak het geval.
3. Een AI-beleid dat zegt welke gegevens wel en niet in de tool mogen, met concrete voorbeelden per afdeling.
4. Afspraken over doorgifte buiten de EU, en een oordeel over de risico’s daarvan.
5. Het blokkeren van privéaccounts op het netwerk, anders blijft het oude gebruik gewoon doorgaan.
6. AI-geletterdheid: medewerkers moeten begrijpen wat ze wel en niet in een model stoppen. De AI Act vraagt u dat te ondersteunen. Zie AI Act in 2026.

Het alternatief: AI die uw organisatie niet verlaat

Voor een deel van uw werk is een zakelijk AI-abonnement met goede afspraken genoeg. Voor gegevens die u niet bij een externe partij wilt hebben (patiëntdata, cliëntdossiers, HR-gegevens, klantbestanden) is de verdedigbare route dat de AI naar de data komt, in plaats van andersom.

Met private AI draait het taalmodel op een eigen node in uw serverruimte. Er is geen externe AI-leverancier in de verwerking, dus geen doorgifte en geen verwerker die toegang heeft tot de inhoud. Uw IT-afdeling stelt in werqly AI Control in welke gegevens worden tegengehouden, wie welk model gebruikt en wat er wordt gelogd. Medewerkers krijgen wat ze zochten in ChatGPT, en u behoudt het zicht dat u nodig hebt.