Mag dit in ChatGPT?
Klantgegevens, offertes, tekeningen: niet alles hoort in elke AI-tool. Beantwoord hooguit zes vragen en je ziet welke route past bij wat je wilt invoeren. Een gratis tool, een zakelijk account, een eigen EU-omgeving of je eigen server.
- Uitkomst direct in beeld
- Online check zonder e-mailadres
- Complete beslisboom als PDF
Sedat Ayar, Forgexe
Richt AI in voor MKB-bedrijven en geeft AI-trainingen
Vraag 1 van max. 6
Zitten er gegevens in die niet openbaar zijn?
Denk aan namen of gegevens van klanten en medewerkers, prijzen, offertes, tekeningen, contracten of cijfers.
Hooguit 6 vragen, uitkomst direct in beeld.
Vraag 2 van max. 6
Kun je de vraag ook stellen zonder die gegevens?
Vaak heb je alleen de kern nodig, niet de namen en details.
Vraag 3 van max. 6
Heb je met een klant afgesproken dat gegevens binnen blijven?
Een NDA, een geheimhoudingsclausule of inkoopvoorwaarden over clouddiensten.
Vraag 4 van max. 6
Werk je in een zakelijke versie met verwerkersovereenkomst?
Zoals ChatGPT Business, Claude Team, Copilot in Microsoft 365 of Gemini in Workspace. Plus, Pro en Max tellen niet.
Vraag 5 van max. 6
Gaat het om gevoelige persoonsgegevens of je kroonjuwelen?
Gezondheid en verzuim, BSN, personeelsdossiers. Of rekenregels, recepturen, broncode en strategische plannen.
Vraag 6 van max. 6
Moet AI dit elke dag doen, gekoppeld aan je systemen?
ERP, CRM, mailbox of dossiers: dan is het geen losse vraag meer, maar een proces.
Elke tool mag, ook een gratis versie.
Route 1
Er zit niets in wat niet openbaar is. Een algemene vraag, een openbare tekst of een eerste opzet kun je in elke AI-tool kwijt.
- Werk je vaker met vaste teksten van je bedrijf, zoals huisstijl of productinfo? Zet die dan in een zakelijke versie.
- Controleer wat eruit komt: AI levert een concept, jij blijft verantwoordelijk.
Gebruiken collega’s AI ook voor klantwerk? Met een AI-scan zie je waar het gebeurt.
Stel de vraag zonder die gegevens.
Route 1
Dan mag elke tool. Vraag bijvoorbeeld “hoe reageer ik op een klant die te laat betaalt?” in plaats van de mail van die klant te plakken.
- Haal namen, bedragen en details eruit die je niet nodig hebt.
- Hele documenten anonimiseren raden we af: het is veel werk en gaat snel mis.
Heb je de gegevens toch nodig? Loop de check opnieuw door en kies “nee” bij vraag 2.
Lees eerst de afspraak met je klant.
Eerst checken
Een NDA of inkoopvoorwaarden kunnen bepalen waar gegevens wel en niet heen mogen. Die afspraak gaat voor.
- Sluit de afspraak elke externe dienst uit? Dan kan alleen route 4: een model op je eigen server.
- Mag het met afspraken over locatie en toegang? Dan route 3: een eigen EU-omgeving.
- Twijfel je? Dan niet met AI, of vraag het de klant.
Werk je vaak onder NDA? Bekijk hoe Private AI werkt.
Niet invoeren.
Stop
Een gratis of privé-abonnement, ook Plus, Pro of Max, heeft geen verwerkersovereenkomst. Dan horen er geen klant- of bedrijfsgegevens in, ook niet met training uit.
- Regel een zakelijk account, bijvoorbeeld binnen Microsoft 365 of Google Workspace als je dat al hebt.
- Al gebeurd met persoonsgegevens? Mogelijk een datalek: risico inschatten, vastleggen, en bij risico binnen 72 uur melden bij de AP.
Wil je dit bedrijfsbreed regelen? Zo helpen we met AI-beleid.
Een eigen omgeving: in de EU of op je eigen server.
Route 3 of 4
Gevoelige persoonsgegevens en je kroonjuwelen horen niet in een standaard chat, ook niet in een zakelijke.
- Route 3: een model in een EU-regio, met vastgelegde toegang en bewaartermijn.
- Route 4: een open model op je eigen server, als niets je netwerk uit mag.
- Voer alleen in wat nodig is voor de taak.
Een AI-agent in je eigen omgeving.
Route 3
Moet AI dit elke dag doen, gekoppeld aan je systemen, dan is kopiëren en plakken in een chat foutgevoelig en niet te controleren.
- Een agent die in een EU-omgeving draait en met je ERP, CRM of mailbox werkt.
- Toegang, logging en bewaartermijnen vastgelegd, zodat je het kunt uitleggen aan klant of toezichthouder.
Je zakelijke account volstaat.
Route 2
Dit is de standaardroute: een zakelijke versie met verwerkersovereenkomst. Verdedigbaar, maar niet risicoloos.
- Werk in het bedrijfsaccount, niet in een privé-account.
- Geen duimpjes of feedbackknoppen bij gevoelige gesprekken.
- Leg in een AI-beleid vast welk werk wel en niet in AI mag.
Nog geen AI-beleid? Zo pakken we dat aan.
Vier routes, van gratis tot eigen server
Welke route past, hangt af van wat je invoert, niet van welk model je gebruikt. Het verschil zit in de versie en het contract.
Route 1: Gratis of privé
ChatGPT Free, Plus en Pro, Claude Free, Pro en Max, gratis Copilot of Gemini.
- Waarvoor
- Algemene vragen, openbare teksten, een eerste opzet.
- Let op
- Geen verwerkersovereenkomst, dus nooit klant- of bedrijfsgegevens.
Route 2: Zakelijk account
ChatGPT Business of Enterprise, Claude Team of Enterprise, Copilot in Microsoft 365, Gemini in Google Workspace.
- Waarvoor
- Het meeste dagelijkse werk. De standaardroute.
- Let op
- Invoer wordt meestal tot 30 dagen bewaard, en de aanbieder is Amerikaans.
Route 3: Eigen EU-omgeving
Een model via een EU-regio (AWS Bedrock, Google Vertex, Azure) of een Europese aanbieder, met de automatisering erbij.
- Waarvoor
- Gevoelige gegevens en koppelingen met je eigen systemen.
- Let op
- Vraagt inrichting en beheer. Bij een Amerikaans bedrijf blijft de CLOUD Act gelden.
Route 4: Eigen server
Een open model op je eigen hardware, binnen je eigen netwerk.
- Waarvoor
- NDA’s die externe diensten uitsluiten, en je kroonjuwelen.
- Let op
- Hardware en beheer nodig, en open modellen zijn minder krachtig.
ChatGPT en Claude: privé of zakelijk?
Ook het duurste privé-abonnement blijft een consumentenversie. Het verschil met zakelijk zit in wie er over je gegevens beslist.
Privé-abonnement
ChatGPT Free, Plus, Pro. Claude Free, Pro, Max.
- De aanbieder beslist zelf wat er met je gegevens gebeurt.
- Training uitzetten is een schuifje dat ieder zelf moet omzetten. ChatGPT: via Instellingen naar Gegevensbeheer. Claude: via Instellingen naar Privacy.
- Geen verwerkersovereenkomst, ook niet met training uit.
Niet voor klant- of bedrijfsgegevens
Zakelijk account
ChatGPT Business, Enterprise. Claude Team, Enterprise.
- De aanbieder werkt voor jou, als verwerker (art. 28 AVG).
- Geen training op je gegevens: vastgelegd in het contract, voor het hele bedrijf.
- Centraal beheer: jij bepaalt wie erin mag en haalt iemand eruit bij vertrek. Claude Team kan al vanaf 2 gebruikers.
De standaardroute voor werk met bedrijfsgegevens
Geen duimpjes bij gevoelige gesprekken. Bij Claude mag de aanbieder een gesprek waarop je feedback geeft gebruiken voor training, ook in een zakelijk account. Bij Enterprise kan de beheerder de knoppen uitzetten.
Zit je echt in het bedrijfsaccount? Het grootste risico is de collega die thuis even het eigen privé-account pakt. Voor Copilot en Gemini geldt hetzelfde: alleen met je werkaccount val je onder het zakelijke contract.
Wat je altijd regelt, welke route je ook kiest
Verwerkersovereenkomst getekend en bewaard
De Autoriteit Persoonsgegevens kan erom vragen.Iedereen werkt in het bedrijfsaccount
Niet in een privé-account, ook niet thuis.Een AI-beleid
Welke tool voor welk werk, en wat nooit.AI-geletterdheid voor wie ermee werkt
Verplicht onder de AI Act (art. 4), sinds februari 2025.Afspraken met klanten naast je AI-gebruik gelegd
Vooral NDA’s en inkoopvoorwaarden.Afgesproken wie een mogelijk datalek beoordeelt
Melden bij de AP moet binnen 72 uur als er risico is.
De complete beslisboom als PDF
Gratis download. Twee pagina’s: de zes vragen per taak, en wat je als bedrijf inricht, met de checklist en de vier routes op een rij. Om op te hangen of te delen met je collega’s.
Dit is een algemene richtlijn, stand oktober 2026, en geen juridisch advies. Voorwaarden van aanbieders veranderen geregeld. Twijfel je over een specifieke situatie, leg die dan voor aan je functionaris gegevensbescherming of een jurist.
Veelgestelde vragen
Mag ik klantgegevens in ChatGPT zetten?
Alleen in een zakelijke versie met verwerkersovereenkomst, zoals ChatGPT Business of Enterprise, en dan nog niet meer dan nodig. In de gratis versie, Plus of Pro niet: daar is geen verwerkersovereenkomst, en dat los je niet op door training uit te zetten.
Is ChatGPT Plus of Claude Pro zakelijk genoeg?
Nee. Plus, Pro en Max zijn privé-abonnementen onder consumentenvoorwaarden. Je betaalt voor meer gebruik, niet voor andere afspraken over je gegevens. Voor werk met klant- of bedrijfsgegevens heb je ChatGPT Business of Enterprise, of Claude Team of Enterprise nodig.
Is training uitzetten niet genoeg?
Het lost één probleem op. Je invoer wordt dan niet gebruikt om modellen te verbeteren, maar er is nog steeds geen verwerkersovereenkomst en de aanbieder beslist zelf over je gegevens. Bovendien moet elke collega het schuifje zelf omzetten. Bij een zakelijk account staat het in het contract, voor iedereen.
Is een zakelijk account dan AVG-proof?
Het is de basis, niet het hele verhaal. Daarnaast heb je een AI-beleid nodig, collega’s die weten wat wel en niet mag, en bij gevoelige of veel persoonsgegevens een DPIA. De aanbieder bewaart je invoer meestal nog tot 30 dagen voor misbruikdetectie. Een juridisch oordeel over jouw situatie geven we niet; dat doet je functionaris gegevensbescherming of een jurist.
Wat is het verschil tussen een EU-regio en een Europese aanbieder?
Bij een EU-regio staan de servers in Europa, bijvoorbeeld in Frankfurt, maar de aanbieder kan Amerikaans zijn (AWS, Google, Microsoft). Die valt onder de Amerikaanse CLOUD Act, waar de servers ook staan. Alleen een Europese aanbieder of een model in eigen beheer haalt dat weg. Voor data die de EU niet uit mag, is er Private AI.
Een collega heeft al klantgegevens in een gratis tool gezet. Wat nu?
Dan is het mogelijk een datalek. Schat het risico in voor de mensen om wie het gaat en leg die inschatting vast. Is er risico, dan meld je het zonder onredelijke vertraging, en zo mogelijk binnen 72 uur, bij de Autoriteit Persoonsgegevens. Registreer het lek altijd intern, ook als je niet meldt. Regel daarna een zakelijk account en een AI-beleid, zodat het niet opnieuw gebeurt.
Moeten mijn medewerkers een AI-training volgen?
Sinds februari 2025 moet je volgens de AI Act (artikel 4) zorgen voor voldoende AI-geletterdheid bij iedereen die namens je bedrijf met AI werkt. Een vaste vorm schrijft de wet niet voor. Een korte training met deze beslisboom is een goede start.
Weet je welke AI je collega’s nu al gebruiken?
De beslisboom helpt per taak. Met een AI-scan zie je wat er in je hele bedrijf gebeurt, en wat je moet regelen.