ChatGPT op het werk: wat er privacyrechtelijk werkelijk geldt

ChatGPT draait in de meeste bedrijven allang mee — vaak zonder contract, zonder regel en zonder medeweten van de directie. Verboden is zakelijk gebruik niet. Het is aan voorwaarden gebonden, en die zijn op één ochtend te vervullen.

Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op 2 augustus 2026

Het uitgangspunt: toegestaan, maar niet voorwaardeloos

Er is geen bepaling die de inzet van generatieve AI in bedrijven verbiedt. Wat geldt, is het gewone gegevensbeschermingsrecht — en dat stelt drie vragen. Op welke grondslag verwerkt u? Wie verwerkt in wiens opdracht? En zijn de gegevens daarbij passend beveiligd?

Zolang er geen persoonsgegevens in de tool terechtkomen, is de AVG niet van toepassing. Dat is het normale geval bij formuleerhulp, brainstormen, uitleg van code of het samenvatten van openbare teksten. Zodra een klantnaam, een e-mailadres, een sollicitatiebrief of een gespreksverslag erin gaat, geldt zij onverkort.

Gratis account of zakelijk contract — het beslissende verschil

De meest voorkomende fout is niet het gebruik, maar het account. Een privé aangemaakt gratis account is voor zakelijke inhoud in de regel ongeschikt, en wel om vier redenen tegelijk.

Criterium	Privé gratis account	Zakelijk contract (Team/Enterprise/API)
Verwerkersovereenkomst	doorgaans niet gesloten	af te sluiten, soms voorgeschreven bijgevoegd
Gebruik van invoer voor modelverbetering	afhankelijk van de instelling, standaard vaak actief	in zakelijke tarieven gebruikelijk uitgesloten
Zeggenschap van de onderneming	geen — het account is van de persoon	centraal beheer, intrekken bij uitdiensttreding mogelijk
Aantoonbaarheid	geen logboeken, geen contractstukken	contract, configuratie en gebruikerslijst te overleggen

Controleer de concrete voorwaarden van uw tarief in de contractdocumenten van de aanbieder, niet in een blogbericht. Leveranciersvoorwaarden veranderen, en ze verschillen tussen productlijnen van hetzelfde huis aanzienlijk.

Verwerkersovereenkomst: artikel 28 AVG

Komen er persoonsgegevens in een AI-tool, dan verwerkt de aanbieder die gegevens voor u. Daarmee is er in de regel sprake van verwerking in opdracht, en artikel 28 lid 3 AVG verlangt een overeenkomst met vastgelegde inhoud: onderwerp, duur, aard en doel, categorieën gegevens, gebondenheid aan instructies, vertrouwelijkheid, beveiliging, subverwerkers, bijstand bij rechten van betrokkenen, verwijdering na afloop en controleplichten.

De meeste grote aanbieders stellen een bijbehorend document beschikbaar dat in de accountomgeving wordt gesloten of gedownload. Twee punten worden daarbij stelselmatig over het hoofd gezien:

• Wie is uw contractspartij? Bij meerdere concernvennootschappen bepaalt dat welk recht geldt en of er sprake is van doorgifte naar een derde land. Noteer de naam in het AI-register.
• Subverwerkers. AI-aanbieders werken met datacenterdienstverleners. Ga na of de lijst inzichtelijk is en of u over wijzigingen wordt geïnformeerd.

Artikel 32 AVG: de bepaling die de dagelijkse praktijk bestuurt

Artikel 32 verlangt technische en organisatorische maatregelen die passend zijn bij het risico. Dat klinkt abstract, maar is in de AI-context zeer concreet. Tot de organisatorische maatregelen behoort in belangrijke mate dat medewerkers weten welke gegevens zij mogen invoeren.

Daarmee hangt de instructievraag niet alleen aan de AI-verordening. Artikel 4 van die verordening kent geen eigen boete — waarom dat zo is, staat hier. Artikel 32 AVG kent die wel: overtredingen vallen onder artikel 83 lid 4 AVG, en daar handhaaft de Autoriteit Persoonsgegevens op. Wie naar het werkelijke risico vraagt, vindt het op deze plek, niet bij de AI-verordening.

Praktisch verlangt artikel 32 in een AI-omgeving:

• een schriftelijke regel welke soorten gegevens wel en niet mogen worden ingevoerd
• zakelijke accounts in plaats van privé-accounts, met centraal beheer en intrekking bij vertrek
• tweefactorauthenticatie op die accounts
• een vastgelegde instructie van de gebruikers
• een meldroute voor verkeerde invoer die gevolgloos blijft

Grondslag: wanneer hebt u welke nodig?

Een verwerking heeft een grondslag uit artikel 6 AVG nodig. In de AI-praktijk komen er drie in aanmerking.

Geval	Grondslag	Aandachtspunt
Contractgebonden klantcorrespondentie bewerken	Art. 6 lid 1 onder b — uitvoering van de overeenkomst	Alleen voor zover het AI-gebruik voor die uitvoering noodzakelijk is; vaak eerder onder f
Interne analyses, tekstconcepten met klantverwijzing	Art. 6 lid 1 onder f — gerechtvaardigd belang	Belangenafweging vastleggen, drie zinnen volstaan meestal
Gegevens van werknemers	zie kader	toestemming draagt hier zelden

Register, DPIA, rechten van betrokkenen

Verwerkingsregister

Gebruikt u een AI-tool voor persoonsgegevens, dan hoort die verwerking op grond van artikel 30 AVG in uw verwerkingsregister — als eigen regel of als aanvulling op de bestaande activiteit waarbinnen de AI wordt ingezet. Dat laatste is meestal schoner, omdat het doel hetzelfde blijft.

Gegevensbeschermingseffectbeoordeling

Een DPIA op grond van artikel 35 AVG is niet automatisch nodig alleen omdat er AI in het spel is. Zij wordt verplicht wanneer de verwerking waarschijnlijk een hoog risico oplevert — bijvoorbeeld bij systematische beoordeling van personen, bij grootschalige verwerking van bijzondere categorieën of bij stelselmatige observatie. Voor tekstformulering met af en toe een klantnaam is zij dat in de regel niet.

Kijk daarnaast in de lijst van de Autoriteit Persoonsgegevens: op grond van artikel 35 lid 4 AVG houdt zij een lijst bij van verwerkingen waarvoor een DPIA altijd verplicht is.

Rechten van betrokkenen

Inzage, rectificatie en verwijdering moet u kunnen uitvoeren — ook voor gegevens die in een AI-tool terecht zijn gekomen. Klaar daarom vóór de vrijgave drie dingen uit: zijn chatgesprekken gericht te verwijderen? Bestaat er een bewaartermijn? Is bewaren uit te zetten? Die drie antwoorden horen in het AI-register.

Het tweede risico: bedrijfsgeheimen

Gegevensbescherming is maar de helft. De andere helft betreft calculaties, recepturen, offertestrategieën en broncode. Komen zulke inhouden in een tool zonder vertrouwelijkheidstoezegging, dan kan de beschermingsstatus als bedrijfsgeheim vervallen. De Wet bescherming bedrijfsgeheimen — de Nederlandse uitvoering van richtlijn (EU) 2016/943 — beschermt informatie alleen wanneer zij is onderworpen aan redelijke maatregelen om haar geheim te houden. Het verband staat uitgewerkt onder bedrijfsgeheimen en AI-tools.

De regel die u schriftelijk nodig hebt

Eén alinea in het AI-beleid dekt het privacydeel af, mits die concreet is. Abstracte formuleringen als „geen gevoelige gegevens” worden niet nageleefd, omdat niemand weet wat ermee wordt bedoeld.

De zin over plaatsaanduidingen is het meest effectieve deel. Hij verbiedt het werk niet, maar wijst de toegestane route — en wordt daarom gevolgd.

Wat u uitdrukkelijk niet nodig hebt

• Geen toestemming van uw klanten alleen omdat u op de achtergrond een AI-tool inzet. Bepalend is de grondslag van de betreffende verwerking, niet het gebruikte programma.
• Geen algeheel verbod. Verboden veroorzaken schaduw-AI. Wat wel werkt, staat onder schaduw-AI in het bedrijf.
• Geen DPIA voor elk AI-gebruik. Alleen bij een waarschijnlijk hoog risico.
• Geen zin in de privacyverklaring dat „wij AI gebruiken” — te vermelden zijn op grond van artikel 13 en 14 AVG doelen, grondslagen en ontvangers. Een aanbieder waar gegevens naartoe gaan is een ontvanger en hoort daar genoemd; het woord „AI” op zichzelf is geen verplichte vermelding.
• Geen AI-label onder elke e-mail. Wat werkelijk moet worden gelabeld, staat onder transparantieplicht artikel 50; gratis labels voor de gevallen die zich echt voordoen, vindt u onder AI-labels.

Uitvoering op één ochtend

1. Inventarisatie: wie gebruikt welk account? Privé-accounts in beeld brengen.
2. Zakelijk tarief afsluiten, gebruikers centraal aanmaken, privé-accounts voor zakelijke inhoud blokkeren.
3. Verwerkersovereenkomst sluiten en archiveren, contractspartij en datum noteren.
4. Instellingen controleren: gebruik van invoer voor modelverbetering, bewaartermijn, logging.
5. Regel in het verwerkingsregister aanvullen.
6. Regel schrijven, in het team presenteren, kennisname vastleggen.
7. Uitkomst met datum vastleggen — dat is uw bewijs.

Hoe ver u daarmee bent, laat de gratis quick-check in twee minuten zien.

Veelgestelde vragen

Is zakelijk gebruik van ChatGPT volgens de AVG toegestaan?

Ja, onder voorwaarden. Zonder persoonsgegevens is de AVG niet van toepassing. Zodra er persoonsgegevens worden ingevoerd, hebt u een grondslag uit artikel 6 nodig, in de regel een verwerkersovereenkomst op grond van artikel 28, passende maatregelen op grond van artikel 32 en een grondslag voor een eventuele doorgifte naar een derde land.

Volstaat een gratis ChatGPT-account voor het werk?

Voor zakelijke inhoud in de regel niet. Er ontbreekt een verwerkersovereenkomst, de invoer kan voor modelverbetering worden gebruikt, de onderneming heeft geen zeggenschap over het account en kan niets aantonen. Voor puur privégebruik zonder bedrijfsverband is dat niet van belang.

Hebben wij een verwerkersovereenkomst met de AI-aanbieder nodig?

Zodra er persoonsgegevens in de tool terechtkomen, ja. Artikel 28 lid 3 AVG bepaalt wat erin moet staan. De grote aanbieders stellen een document beschikbaar; ga na welke concernvennootschap uw contractspartij is en of de lijst met subverwerkers inzichtelijk is.

Moeten wij een DPIA uitvoeren?

Niet alleen omdat er AI wordt ingezet. Verplicht wordt zij op grond van artikel 35 AVG bij een waarschijnlijk hoog risico, bijvoorbeeld bij systematische beoordeling van personen of grootschalige verwerking van bijzondere categorieën. Kijk daarnaast in de lijst van de Autoriteit Persoonsgegevens op grond van artikel 35 lid 4.

Mogen medewerkers klantgegevens in ChatGPT invoeren?

Alleen als grondslag, verwerkersovereenkomst en beveiligingsmaatregelen staan — en het interne beleid het toelaat. Werkbaarder is de plaatsaanduiding: namen, adressen en contractnummers vóór de invoer vervangen. Daarmee vervalt de privacyvraag grotendeels.

Wat geldt er voor gegevens van werknemers?

Gewoon artikel 6 AVG, met de openingsclausule van artikel 88 AVG die in Nederland via de Uitvoeringswet AVG is ingevuld. Belangrijk: toestemming draagt in een arbeidsverhouding zelden, omdat een vrije toestemming door de gezagsverhouding en de economische afhankelijkheid moeilijk aantoonbaar is. Werkbaar is meestal het gerechtvaardigd belang met een vastgelegde afweging, plus instemming van de ondernemingsraad wanneer het systeem het functioneren of gedrag van personeel raakt.

Moeten wij in de privacyverklaring vermelden dat wij AI gebruiken?

Het woord AI is geen verplichte vermelding. Te vermelden zijn op grond van artikel 13 en 14 AVG doelen, grondslagen, ontvangers en eventuele doorgiften naar derde landen. Een aanbieder waar persoonsgegevens naartoe gaan, is een ontvanger en hoort daar genoemd.