Mag je klantgegevens in ChatGPT zetten?

Niet in een gratis of persoonlijk account: dan deel je persoonsgegevens met een partij waar je bedrijf geen afspraken mee heeft, en dat kan een datalek zijn. Wel in een zakelijke AI-dienst waarmee je een verwerkersovereenkomst hebt, die niet op je data traint, en als je er niet meer gegevens in zet dan nodig. Gezondheidsgegevens en BSN’s horen er vrijwel nooit in.

Bijgewerkt op 7 minuten lezen

Regels en privacy

Waarom het misgaat.

Het risico zit niet in AI zelf, maar in waar de gegevens terechtkomen.

Plakt een medewerker een klantmail in een persoonlijk chatbot-account, dan staan die gegevens bij een partij waar jouw bedrijf geen afspraken mee heeft. De Autoriteit Persoonsgegevens kreeg daar meldingen over, onder meer van een huisartsenpraktijk waar een medewerker patiëntgegevens in een chatbot invoerde, en van een telecombedrijf waar een bestand met adressen werd ingevoerd2.

In december 2025 meldde de AP dat het aantal meldingen over datalekken door AI-gebruik in 2025 hoger lag dan in 20243. De toezichthouder wijst vooral op gratis versies, waar ingevoerde gegevens mogelijk worden opgeslagen en gebruikt om modellen te trainen3. Ondernemers voelen het ook: 48% vindt het spannend om medewerkers met bedrijfsdata in AI te laten werken6.

Mag dit erin?

Beantwoord drie vragen over wat je wilt invoeren en waar.

    Staan er persoonsgegevens in?

    Alles waarmee je iemand kunt herkennen: naam, mailadres, telefoonnummer, adres, klantnummer, ook in combinatie. Een mail van een klant bevat bijna altijd persoonsgegevens.

    Ja: ga naar Gaat het om gezondheid, een BSN of andere gevoelige gegevens?. Nee: ga naar Dat kan.

    Gaat het om gezondheid, een BSN of andere gevoelige gegevens?

    Gezondheid, geloof, etniciteit, strafrecht en het BSN zijn extra beschermd.

    Ja: ga naar Vrijwel nooit. Nee: ga naar Is het een zakelijke dienst met een verwerkersovereenkomst, waarbij niet op je data wordt getraind?.

    Is het een zakelijke dienst met een verwerkersovereenkomst, waarbij niet op je data wordt getraind?

    Dus niet het gratis of persoonlijke account van een medewerker.

    Ja: ga naar Dat kan, met minimale gegevens. Nee: ga naar Niet doen.

    Uitkomst

    Dat kan

    Zonder persoonsgegevens loop je geen AVG-risico. Let wel op bedrijfsgeheimen, zoals prijzen, marges of plannen: zet die alleen in een zakelijke dienst.

    Uitkomst

    Dat kan, met minimale gegevens

    Zet er niet meer in dan voor de taak nodig is1. Vervang namen door initialen of “de klant” als dat kan. Zorg dat medewerkers weten welke dienst ze mogen gebruiken.

    Uitkomst

    Niet doen

    Je deelt persoonsgegevens met een partij zonder verwerkersovereenkomst4. Haal de persoonsgegevens eruit, of gebruik een zakelijke dienst. Is het al gebeurd, lees dan hieronder wat je doet.

    Uitkomst

    Vrijwel nooit

    Gezondheidsgegevens en andere bijzondere persoonsgegevens mag je alleen verwerken als een van de uitzonderingen in de AVG van toepassing is1, en een BSN alleen als de wet dat toestaat7. Voor een samenvatting of conceptmail zijn ze bijna nooit nodig. Laat ze weg of laat ze automatisch zwartlakken.

    Een hulpmiddel, geen juridisch advies. Twijfel je, vraag het je functionaris gegevensbescherming of een privacyjurist.

    Zo gebruik je AI wel veilig met klantdata.

    1. Kies een zakelijke dienst. Bij ChatGPT Business en Enterprise traint OpenAI volgens eigen zeggen standaard niet op je data, en is een verwerkersovereenkomst mogelijk5. Andere aanbieders hebben vergelijkbare zakelijke versies; vraag het na.
    2. Sluit een verwerkersovereenkomst. Verwerkt een partij persoonsgegevens voor jou, dan verplicht de AVG een verwerkersovereenkomst14. Zie verwerkersovereenkomst.
    3. Weet waar de data staat. Doorgifte buiten de EU mag alleen onder voorwaarden1. Vraag waar de gegevens worden opgeslagen én waar de AI ze verwerkt.
    4. Spreek af wat erin mag. De AP adviseert duidelijke afspraken met medewerkers over welke gegevens wel en welke niet in AI-chatbots mogen2. Een voorbeeld staat in AI-afspraken met medewerkers.
    5. Minder gegevens, minder risico. Laat namen, adressen en nummers weg als de taak ze niet nodig heeft. Software kan gevoelige gegevens automatisch zwartlakken voordat de AI ze ziet.

    Als het al gebeurd is.

    Een datalek meld je binnen 72 uur bij de AP, tenzij het waarschijnlijk geen risico oplevert voor de mensen om wie het gaat.

    Dat staat in artikel 33 van de AVG1. Lekt er via een chatbot informatie uit, dan moet dat volgens de AP in veel gevallen gemeld worden, ook aan de mensen om wie het gaat2.

    1. Breng het in kaart. Welke gegevens, van hoeveel mensen, in welk account, bij welke aanbieder en wanneer.
    2. Beperk de schade. Verwijder het gesprek en vraag de aanbieder om verwijdering als dat kan. Zet training op je data uit.
    3. Beoordeel het risico. Gaat het om een naam en mailadres, of om medische gegevens of een BSN? Hoe gevoeliger, hoe eerder melden.
    4. Meld en leg vast. Meld binnen 72 uur bij de AP als er risico is. Leg ook een lek dat je niet meldt vast in je eigen register.

    Hoe Traze met persoonsgegevens omgaat, onder meer waar de verwerking plaatsvindt en welke gegevens worden zwartgelakt, staat bij veiligheid en AVG.

    Veelgestelde vragen

    Is klantdata in ChatGPT plakken een datalek?

    Het kan. De Autoriteit Persoonsgegevens kreeg meldingen van datalekken doordat medewerkers persoonsgegevens in AI-chatbots invoerden, onder meer bij een huisartsenpraktijk. Gebeurde het in een persoonlijk account zonder afspraken met de aanbieder, dan kan het een datalek zijn. Brengt dat risico mee voor de mensen om wie het gaat, dan meld je het binnen 72 uur bij de AP.

    Mag ik ChatGPT gebruiken voor klantmails?

    Met een zakelijk account waarvoor je een verwerkersovereenkomst hebt en waarbij niet op je data wordt getraind, kan het. Zet er niet meer gegevens in dan nodig, haal gevoelige gegevens zoals een BSN eruit, en spreek met je team af wat wel en niet mag.

    Traint ChatGPT op wat ik invoer?

    Bij ChatGPT Business, Enterprise en de API volgens OpenAI niet standaard. Bij gratis versies kunnen ingevoerde gegevens worden opgeslagen en gebruikt om modellen te trainen; daar wees de AP ook op.

    Wat moet ik doen als een medewerker klantdata in een chatbot heeft gezet?

    Zoek uit welke gegevens het waren, in welk account en bij welke aanbieder. Probeer ze te laten verwijderen. Beoordeel of het een risico is voor de mensen om wie het gaat; zo ja, meld het binnen 72 uur bij de AP en informeer zo nodig de betrokkenen. Leg het in elk geval vast.

    Bronnen

    1. Verordening (EU) 2016/679, de AVG: artikel 5 (minimale gegevensverwerking), 6 (grondslag), 9 (bijzondere persoonsgegevens), 28 (verwerker), 33 (melding datalek binnen 72 uur) en 44 (doorgifte buiten de EU): eur-lex.europa.eu/eli/reg/2016/679/oj
    2. NOS, Privacywaakhond: pas op met gebruik AI-chatbots, ging mis bij huisarts (7 augustus 2024): nos.nl/l/2532234
    3. Accountant.nl, AP slaat alarm over datalekken door AI (30 december 2025): www.accountant.nl/nieuws/2025/12/ap-slaat-alarm-over-datalekken-door-ai/
    4. Autoriteit Persoonsgegevens, Verwerkersovereenkomst: www.autoriteitpersoonsgegevens.nl/themas/basis-avg/avg-algemeen/verwerkersovereenkomst
    5. OpenAI, Business data privacy, security, and compliance: openai.com/business-data/
    6. Accountant.nl, Ook mkb omarmt massaal AI, maar strategische inzet blijft nog achter (3 augustus 2026; MKB Barometer van Exact): www.accountant.nl/nieuws/2026/8/ook-mkb-omarmt-massaal-ai-maar-strategische-inzet-blijft-nog-achter/
    7. Wet algemene bepalingen burgerservicenummer (BSN alleen gebruiken als de wet dat toestaat): wetten.overheid.nl/BWBR0022428

    Lees verder

    VerwerkersovereenkomstVerwerkt een partij persoonsgegevens in jouw opdracht, zoals een AI-dienst of cloudsoftware, dan is een verwerkersovereenkomst verplicht. Met checklist.Lees meerAI-afspraken met medewerkersEen AI-beleid voor je team past op één A4: welke tools, welke gegevens wel en niet, wie beslist en wat je doet bij een fout. Met een voorbeeld om te kopiëren.Lees meerChatGPT of AI-collega’s?ChatGPT is sterk voor losse schrijfklussen. Moet AI in je systemen werken, met rechten per rol en een akkoord, dan heb je meer nodig. Een eerlijke vergelijking.Lees meerVeiligheid en AVGTraze draait in de EU, ook de AI. Iedereen ziet alleen wat hij in je eigen systemen mag zien, BSN en IBAN worden zwartgelakt, het logboek gaat 12 maanden terug.Lees meer

    Zie wat AI voor
    jouw bedrijf doet.

    In een demo van 15 of 45 minuten laten we Traze zien met jullie eigen voorbeelden: welke collega's, welke taken, hoeveel uur.

    Scan je website