Wat gebeurt er met je bedrijfsdata als je die in ChatGPT plakt?

· 9 min lezen

Een offerte laten nakijken, een klantmail laten samenvatten: het kost seconden. Maar waar blijft die tekst daarna? Dat hangt vooral af van één ding: gebruik je een gratis of een zakelijke versie?

Je hebt een lastige klantmail en weinig tijd. Je plakt hem in ChatGPT en vraagt om een net antwoord. Of je gooit een offerte in Copilot om de fouten eruit te halen. Het werkt, en het scheelt een kwartier.

Je collega doet hetzelfde, vaak met een eigen account. Daar komt niemand achter, want niets gaat stuk. Toch staat die offerte nu bij een bedrijf waar je misschien geen afspraken mee hebt.

De Autoriteit Persoonsgegevens ziet dit ook. Zij waarschuwde in 2024 dat medewerkers klant- en patiëntgegevens in chatbots zetten. Eind 2025 meldde de toezichthouder dat het aantal datalekmeldingen hierover snel oploopt. De gemeente Eindhoven ontdekte na een steekproef dat medewerkers in 30 dagen grote hoeveelheden vertrouwelijke documenten in openbare chatbots hadden gezet, waaronder cv's en jeugdzorgdossiers.

Dat betekent niet dat je moet stoppen met AI. Het betekent dat je moet weten welke versie je gebruikt.

Het verschil zit in de versie, niet in het merk

Bij alle vijf de grote tools zie je hetzelfde patroon. De gratis en persoonlijke versies zijn gemaakt voor consumenten. Daar kan je tekst worden gebruikt om het model te trainen, vaak standaard. De zakelijke versies vallen onder een contract met je bedrijf, en daar gebeurt dat niet zonder jouw toestemming.

Trainen betekent dat een leverancier je tekst gebruikt om het model te verbeteren. Dat is iets anders dan bewaren: ook zonder training blijft je tekst vaak nog een tijd op hun servers staan.

Dit is de stand van 30 oktober 2026. Voorwaarden veranderen, dus kijk bij twijfel op de pagina's onderaan dit artikel.

Versie Traint op je data? Hoe lang bewaard? Waar opgeslagen?
ChatGPT Free, Plus en Pro Ja, tenzij je Improve the model for everyone uitzet in de instellingen Tot je ze verwijdert, daarna binnen 30 dagen weg, tenzij de wet of beveiliging langer vraagt Niet te kiezen
ChatGPT Business en Enterprise Nee, standaard niet Verwijderde chats binnen 30 dagen weg, tenzij de wet langer vraagt. Enterprise kan een eigen termijn instellen Europa kan bij Enterprise, voor nieuwe werkruimtes. Niet bij Business
Claude Free, Pro en Max Alleen als de instelling Model Improvement aan staat Verwijderde chats binnen 30 dagen weg. Met Model Improvement aan tot 5 jaar Niet vermeld
Claude Team en Enterprise Nee, standaard niet Verwijderde chats binnen 30 dagen weg. Enterprise kan een eigen termijn instellen Verenigde Staten. Verkeer kan ook via andere landen lopen
Gemini, gratis account Ja, als Keep activity aan staat Standaard 18 maanden. Chats die mensen hebben beoordeeld tot 3 jaar Geen Europese keuze gevonden
Gemini in Google Workspace Nee, niet zonder toestemming, en geen menselijke beoordelaars Beheerder regelt dit Europa kan vanaf Business Standard. Ook de verwerking alleen bij Enterprise Plus en vergelijkbaar
Copilot met een persoonlijk account Voor Europa spreken Microsofts pagina's elkaar tegen. Ga ervan uit dat het kan Standaard 18 maanden, volgens de pagina over de vorige app Geen Europese keuze gevonden
Microsoft 365 Copilot met een werkaccount Nee Bij je andere Microsoft 365-gegevens, beheerder regelt dit Binnen de EU Data Boundary, met de uitzondering hieronder
Grok, persoonlijk account Ja, tenzij je Improve the model uitzet in de instellingen Verwijderde chats binnen 30 dagen weg, tenzij de wet of beveiliging langer vraagt Verenigde Staten
Grok Business en Enterprise Nee Enterprise kan een eigen termijn instellen Geen Europese keuze gevonden. Doorgifte naar de VS staat in de overeenkomst

Vier dingen die je niet uit de tabel haalt:

  • Bij gratis Gemini kunnen mensen meelezen. Google laat een deel van de chats door beoordelaars bekijken en vraagt je zelf om geen vertrouwelijke informatie in te voeren.
  • Een duimpje is ook delen. Geef je feedback op een antwoord, dan kan het hele gesprek alsnog voor training worden gebruikt, ook als je training hebt uitgezet. Dat geldt bij ChatGPT, Gemini en Grok. Bij Claude kan feedback tot 5 jaar worden bewaard.
  • Grok op X is weer anders. Gebruik je Grok via X, dan staat de instelling voor training in je X-instellingen en niet op grok.com. Zet hem dus op beide plekken uit als je beide gebruikt.
  • Copilot is niet één product. Log je in met je werkaccount, dan geldt de zakelijke bescherming. Met een persoonlijk Microsoft-account niet. Let ook op Claude-modellen binnen Microsoft 365 Copilot: die vallen buiten de EU Data Boundary. In de EU staan ze standaard uit. Laat je beheerder ze niet zomaar aanzetten.

Wat de AVG ervan vindt

Staat er een naam, mailadres of ander persoonsgegeven in je tekst? Dan geldt de AVG. Een klantmail heeft dat bijna altijd. Een offerte vaak ook.

Vier regels zijn hier belangrijk:

  • Jij blijft verantwoordelijk. Jouw bedrijf bepaalt waarom die gegevens worden gebruikt, niet de leverancier van de tool.
  • Je hebt een overeenkomst nodig. Laat je een ander bedrijf persoonsgegevens verwerken, dan moet dat in een contract staan, de verwerkersovereenkomst. In de bronnen voor dit artikel vonden we die alleen bij de zakelijke versies.
  • Gebruik niet meer dan nodig. Gegevens moeten beperkt blijven tot wat je echt nodig hebt voor je doel. Voor een nette formulering heb je de naam van de klant meestal niet nodig.
  • Buiten de EU gelden extra regels. Gaan gegevens naar een land buiten de EU, dan moet die doorgifte aan de voorwaarden van de AVG voldoen. Laat dit nakijken als je twijfelt.

De Autoriteit Persoonsgegevens maakt nog een onderscheid dat je moet kennen. Zet een medewerker persoonsgegevens in een chatbot terwijl dat tegen de afspraken ingaat, dan is dat een datalek. Past het wel binnen je eigen beleid, dan is het geen datalek, maar vaak alsnog niet toegestaan. Allebei wil je voorkomen. Een datalek moet je binnen 72 uur melden, tenzij het waarschijnlijk geen risico oplevert voor de mensen om wie het gaat.

Een zakelijk account lost dus veel op, maar niet alles. Je hebt ook afspraken nodig. Dit artikel is geen juridisch advies; bij een concrete vraag kijk je naar de bron of vraag je een specialist.

Hoe het wel kan

De oplossing is niet verbieden. Medewerkers gebruiken AI omdat het werkt, en een verbod maakt het alleen onzichtbaar. Wat wel helpt:

  1. Geef iedereen een zakelijk account. Dan hoeft niemand uit te wijken naar een eigen gratis account.
  2. Spreek af wat erin mag. De Autoriteit Persoonsgegevens adviseert vast te leggen welke gegevens wel en niet in een chatbot mogen. Eén A4 is genoeg. Je kunt met de aanbieder ook afspreken dat ingevoerde gegevens niet worden opgeslagen.
  3. Haal eruit wat niet nodig is. Vervang namen door "de klant" voordat je plakt. Het antwoord wordt er niet slechter van.
  4. Laat AI alleen zien wat nodig is. Dit is de stap die de meeste winst geeft.

Bij die laatste stap plakt niemand meer iets. Een AI-agent krijgt een eigen identiteit, met alleen de rechten die hij voor die ene taak nodig heeft. Vooraf spreek je af welke gegevens naar welke AI-dienst gaan, wat er wordt opgeslagen en wanneer een mens moet goedkeuren. Alles wat hij doet wordt gelogd. Zo behandelen wij een AI-agent: als software die je test en bewaakt, en niet als een chatvenster waar iedereen in plakt.

Vijf vragen voordat je data in een AI-tool zet

Print ze uit of hang ze in Teams:

  1. Staan er namen, mailadressen of andere persoonsgegevens in? Haal ze eruit als het kan.
  2. Is dit een zakelijk account van het bedrijf? Een eigen gratis account is geen goed idee voor bedrijfsdata.
  3. Is er een verwerkersovereenkomst met deze leverancier? Weet je het niet, vraag het dan na voordat je persoonsgegevens gebruikt.
  4. Wordt er getraind op wat je invoert? Kijk in de instellingen. Klik niet op feedback bij gevoelige gesprekken.
  5. Zou je dit zo ook naar een onbekend bedrijf mailen? Zo niet, dan hoort het niet in deze tool.

Kun je één van de eerste vier niet beantwoorden? Dan is dat je eerste klus, nog voor je volgende prompt.

Bronnen

Alle pagina's gecontroleerd op 30 oktober 2026.

OpenAI

Anthropic

Google

Microsoft

xAI (Grok)

AVG en toezichthouder

Welk werk moet vanzelf gaan? Beschrijf kort welk proces nu veel handwerk kost. Je krijgt binnen één werkdag een persoonlijk antwoord.

Bespreek je proces