Persoonsgegevens in ChatGPT en co: mag dat?
Typ je klantgegevens in ChatGPT of Copilot? Lees wanneer dat mag, wanneer je een verwerkersovereenkomst nodig hebt en wat er misgaat zonder.
Mag je persoonsgegevens invoeren in ChatGPT en vergelijkbare tools?
Zodra je een naam, e-mailadres of ander herleidbaar gegeven in een AI-tool invoert, verwerk je persoonsgegevens en geldt de AVG, inclusief de eis van een verwerkersovereenkomst met de AI-aanbieder.
Wanneer geldt de AVG bij AI-gebruik?
Zodra je een naam, e-mailadres, klantdossier of andere herleidbare informatie in een AI-tool zoals ChatGPT, Copilot of Gemini typt, verwerk je persoonsgegevens. Vanaf dat moment gelden dezelfde regels als bij elke andere verwerking: je hebt een grondslag nodig, moet passende maatregelen treffen en, als je een derde partij inschakelt, een verwerkersovereenkomst sluiten. De Autoriteit Persoonsgegevens is hier expliciet over: 'verwerken' is breed gedefinieerd en een AI-prompt valt daar gewoon onder.
Het probleem met gratis AI-tools
Voor de gratis consumentenversies van ChatGPT, Copilot en vergelijkbare tools sluiten de meeste aanbieders geen verwerkersovereenkomst. Verwerk je daar toch persoonsgegevens, dan mis je precies de afspraak die de AVG vereist. Zakelijke abonnementen, zoals ChatGPT Business of Enterprise, of toegang via de API, bieden die overeenkomst doorgaans wel.
Wanneer wordt dit een datalek?
De Autoriteit Persoonsgegevens waarschuwt dat het invoeren van persoonsgegevens in een AI-chatbot, tegen de interne afspraken in of zonder de juiste overeenkomsten, een datalek kan zijn. Een medewerker die op een gratis account een klantcontract laat samenvatten, deelt daarmee persoonsgegevens met een externe partij zonder de vereiste verwerkersovereenkomst. Onder de AVG ben jij als organisatie daarvoor verantwoordelijk, niet de medewerker.
Gegevens naar de Verenigde Staten
De grote AI-aanbieders zijn Amerikaanse bedrijven. Voor de doorgifte van persoonsgegevens naar de VS is een geldige overdrachtsgrond nodig, bijvoorbeeld via het EU-VS Data Privacy Framework of aanvullende contractuele waarborgen. Controleer dit bij de aanbieder die je gebruikt, zeker als je structureel persoonsgegevens verwerkt.
Wat kun je wel gewoon delen?
Niet alles is problematisch. Geanonimiseerde teksten waarin namen en herleidbare details zijn vervangen door labels, publieke informatie zoals websiteteksten en vacatures, en je eigen concepten en notities zonder klantgegevens, kun je in de regel gewoon in AI-tools gebruiken.
Hoe pak je dit praktisch aan?
Zorg voor een verwerkersovereenkomst met je AI-aanbieder als je persoonsgegevens verwerkt, controleer of je privacyverklaring dit gebruik dekt, en werk je verwerkingsregister bij. Leg daarnaast in je AI-gebruiksrichtlijn vast welke gegevens medewerkers wel en niet in AI-tools mogen invoeren.
Verder lezen
Bekijk het overzicht van wat je moet regelen als je AI gebruikt in je bedrijf.
Veelgestelde vragen
Is het invoeren van een naam of e-mailadres in ChatGPT al een AVG-kwestie?
Ja, zodra je een naam, e-mailadres, klantdossier of andere herleidbare informatie in een AI-tool typt, verwerk je persoonsgegevens en geldt de AVG onverkort. Het maakt niet uit of je dat 'even snel' doet of structureel; de regels gelden vanaf de eerste invoer.
Heb ik een verwerkersovereenkomst nodig voor ChatGPT of Copilot?
Meestal niet. Voor de gratis consumentenversie van ChatGPT en vergelijkbare tools sluit de aanbieder doorgaans geen verwerkersovereenkomst, terwijl de AVG die wel vereist zodra je persoonsgegevens laat verwerken. Zakelijke abonnementen zoals ChatGPT Business, Enterprise of de API bieden die overeenkomst meestal wel.
Kan het gebruik van AI met persoonsgegevens een datalek opleveren?
Ja, dat kan. De Autoriteit Persoonsgegevens waarschuwt dat het invoeren van persoonsgegevens in een AI-chatbot tegen de interne afspraken in, of zonder de juiste overeenkomsten, een datalek kan zijn. Vooral bij gratis consumentenversies zonder verwerkersovereenkomst loop je dit risico.
Hoe voorkom ik problemen als ik toch persoonsgegevens in AI wil gebruiken?
Gebruik geanonimiseerde of gefingeerde gegevens waar dat kan, zet informatie om in algemene beschrijvingen zonder namen, of gebruik alleen zakelijke versies van AI-tools met een verwerkersovereenkomst voor situaties waarin persoonsgegevens echt nodig zijn.
Is het een probleem dat mijn gegevens naar de Verenigde Staten gaan?
Meestal niet zonder aanvullende maatregelen. Amerikaanse AI-aanbieders vallen onder Amerikaans recht, en voor de doorgifte van persoonsgegevens naar de VS is een geldige overdrachtsgrond nodig. Controleer of je aanbieder is aangesloten bij het EU-VS Data Privacy Framework of andere passende waarborgen biedt.
Laat je e-mailadres achter
Wij nemen binnen één werkdag contact met je op om je verder te helpen.
✅ Vaste prijs vooraf
Je weet altijd vooraf wat het kost. Na je aanvraag ontvang je binnen één werkdag een vrijblijvende offerte op maat.
✅ Juridisch specialist
Je spreekt rechtstreeks met mr. René van der Horst. Een specialist die jouw situatie kent en met je meedenkt.
✅ Snel en betaalbaar
Geen ingewikkeld gedoe. Wij regelen het snel en in gewone taal, zodat jij weet waar je aan toe bent.
✅ Al duizenden klanten gingen je voor
EenvoudigRecht helpt al jaren ondernemers én particulieren met juridische zekerheid. Jij bent aan het juiste adres.
Wat onze klanten zeggen
⭐⭐⭐⭐⭐ — Martijn
Doet z’n naam recht aan; lekker eenvoudig. Het opgeleverde werk is allesbehalve eenvoudig maar van hoge kwaliteit.
⭐⭐⭐⭐⭐ — Rinus
Zeer prettig contact gehad met René. Kundige jurist, meedenkend en zeer behulpzaam. En niet onbelangrijk een top prijs kwaliteit verhouding!
⭐⭐⭐⭐⭐ — Anouk
Eenvoudig Recht heeft mij fantastisch geholpen. Ze zijn vlot, denken met je mee en als je nog een keer een vraag hebt zijn ze ook echt behulpzaam.