AVG · EU AI Act

Mag ik ChatGPT zakelijk gebruiken?

Ja, mits u het AVG-proof inricht. Verbieden werkt niet: wie het niet mag, doet het toch, alleen buiten uw zicht.

Doe de gratis risicoscan Naar de checklist

Waar de risico's zitten

Zelden in de tool. Vrijwel altijd in hoe die gebruikt wordt.

Persoonsgegevens in promptsKlantgegevens, cv's of dossiers in een prompt is een verwerking. Dan geldt de AVG.
Training op uw dataGratis consumentenversies kunnen gesprekken gebruiken om modellen te trainen.
Geen verwerkersovereenkomstZonder DPA is de verwerking van persoonsgegevens contractueel niet geregeld.
Datalocatie buiten de EUControleer waar gegevens worden opgeslagen en verwerkt.
Shadow AIGebruik via privé-accounts, buiten elk beleid en elke logging. Het risico dat u niet ziet.

ChatGPT AVG-proof inrichten

Acht stappen, in deze volgorde.

  1. Geen persoonsgegevens in prompts — anonimiseer of laat weg wat niet nodig is.
  2. Kies een zakelijke omgeving — een enterprise-variant waarin uw data binnen de muren blijft.
  3. Zet training op uw data uit — controleer de instelling en leg vast dat uw invoer niet traint.
  4. Sluit een verwerkersovereenkomst — regel de verwerking contractueel met de aanbieder.
  5. Let op EU-datalocatie — kies waar mogelijk verwerking en opslag binnen de EU.
  6. Classificeer uw data — spreek af wat public, internal en confidential is.
  7. Leg afspraken vast in AI-beleid — welke tools mogen, waarvoor, en door wie.
  8. Train uw medewerkers — de regels, én waarom ze bestaan.

Wat de AI Act er bovenop eist

Twee verplichtingen zijn voor het MKB direct relevant.

AI-geletterdheid (Art 4)Verplicht sinds februari 2025 voor iedereen die met AI werkt. Er is een gratis e-learning.
Transparantie (Art 50)Chatbots en AI-content moeten als AI herkenbaar zijn. Geldt sinds augustus 2026.

Wanneer heeft u een AI-beleid of DPIA nodig? Zodra meer dan een handvol medewerkers AI gebruikt, wilt u de afspraken op papier. Verwerkt u met AI persoonsgegevens op grote schaal of gevoelige categorieën, dan is een DPIA vaak verplicht. De AI-Compliance Toolkit bevat beide als template.

FAQ

Veelgestelde vragen

Is ChatGPT verboden onder de AVG?
Nee. De AVG verbiedt ChatGPT niet, maar stelt eisen aan hoe u met persoonsgegevens omgaat. Zakelijk gebruik is prima mogelijk — mits u de juiste omgeving kiest, afspraken met de aanbieder vastlegt en uw team duidelijke regels meegeeft.
Mag ik klantgegevens in ChatGPT plakken?
Doe dat niet zomaar. Zodra een prompt persoonsgegevens bevat, verwerkt u die gegevens en gelden de AVG-eisen. Anonimiseer waar mogelijk, gebruik een zakelijke omgeving met verwerkersovereenkomst, en neem alleen gegevens op die echt nodig zijn.
Heb ik een verwerkersovereenkomst nodig voor ChatGPT?
Zodra u via ChatGPT persoonsgegevens laat verwerken, wilt u een verwerkersovereenkomst (DPA) met de aanbieder. Zakelijke abonnementen bieden die doorgaans wel; gratis consumentenversies zijn daar niet op ingericht. Dat is een belangrijke reden om zakelijk gebruik niet op privé-accounts te laten draaien.
Moet ik mijn team trainen voor ChatGPT-gebruik?
Ja. Artikel 4 van de EU AI Act verplicht sinds februari 2025 dat medewerkers die met AI-systemen werken voldoende AI-geletterd zijn — dat geldt ook voor een medewerker die ChatGPT gebruikt. Op onze AI-geletterdheid-pagina vindt u een gratis e-learning die dit afdekt.
Moet ik klanten vertellen dat ik AI gebruik?
Vanaf 2 augustus 2026 geldt de transparantieplicht uit de EU AI Act (Artikel 50): u moet kenbaar maken wanneer een klant met AI te maken heeft — bijvoorbeeld bij een chatbot. Een disclaimer of duidelijke melding volstaat vaak al.

ChatGPT veilig en compliant inzetten?

Start met de kant-en-klare templates uit de AI-Compliance Toolkit, of doe eerst de gratis risicoscan om te zien waar u staat.

Bekijk de AI-Compliance Toolkit Doe de gratis risicoscan