Mag je klantgegevens in ChatGPT zetten? De AVG uitgelegd

Een medewerker plakt een klantmail in ChatGPT om een nette reactie te laten opstellen. Handig, begrijpelijk, en afhankelijk van de instellingen een overtreding van de AVG. Dit artikel legt uit waar de grens ligt en wat je moet regelen om hem niet te overschrijden.

Waarom is dit een AVG-vraag?

Zodra je informatie over een identificeerbaar persoon invoert, verwerk je persoonsgegevens. Dat geldt voor meer dan je denkt:

• naam, e-mailadres, telefoonnummer, adres
• een klantmail waarin iemand zijn situatie beschrijft
• een CV of sollicitatiebrief
• een factuur of dossiernummer dat naar een persoon leidt
• gespreksnotities over een klant

Je voert die gegevens in bij een externe partij. Daarmee wordt die partij een verwerker en jij blijft verwerkingsverantwoordelijke. De AVG stelt dan drie eisen: er moet een geldige grondslag zijn, er moet een verwerkersovereenkomst liggen, en de verwerking moet beperkt blijven tot wat nodig is.

Wat is het verschil tussen de gratis en zakelijke versie?

Dit is de kern van de vraag, en het verschil is groot:

Met een gratis of persoonlijke versie mis je dus precies de twee dingen die de AVG eist: de verwerkersovereenkomst en de garantie dat je data niet voor andere doeleinden wordt gebruikt. Dat maakt het invoeren van klantgegevens daar niet "een beetje risicovol" maar simpelweg niet in orde.

De zakelijke varianten van de grote aanbieders zijn hier wel op ingericht. Belangrijk: je moet de instellingen vaak actief controleren. Een zakelijk abonnement waarin training niet is uitgezet, geeft je niet de bescherming die je denkt te hebben.

Wat kan wel, en wat niet?

Dit kan doorgaans zonder problemen:

• Werken met geanonimiseerde tekst: "een klant" in plaats van naam en adres.
• Algemene vragen stellen: "hoe formuleer ik een nette afwijzing van een garantieclaim?"
• Je eigen teksten laten verbeteren: voorwaarden, websitecopy, standaardantwoorden.
• Interne documenten zonder persoonsgegevens samenvatten.

Dit kan met een zakelijke oplossing en vastgelegde afspraken:

• Klantmails laten samenvatten of beantwoorden.
• Dossiers doorzoeken via een chatbot op je eigen bedrijfsdata.
• Aanvragen classificeren en voorbereiden.

Dit hoort niet in een algemene AI-tool:

• Bijzondere persoonsgegevens: gezondheid, religie, politieke voorkeur, vakbondslidmaatschap, biometrie, strafrechtelijke gegevens. Hier geldt een verbod met beperkte uitzonderingen.
• BSN-nummers.
• Gegevens van kinderen.
• Gegevens waarvoor je zelf een geheimhoudingsplicht hebt.

Het stappenplan: zo regel je het

1. Kies één tool en maak die de standaard

Het grootste risico in kleine bedrijven is niet de verkeerde tool maar vijf verschillende tools die iedereen zelf gekozen heeft. Kies één zakelijke oplossing, regel die goed, en spreek af dat die gebruikt wordt.

2. Controleer de instellingen

Loop concreet na:

• Staat training op jouw data uit?
• Is de bewaartermijn ingesteld op wat je nodig hebt?
• Is de verwerkingsregio ingesteld op de EU, als dat voor jou relevant is?
• Zijn de accounts op naam, zodat je weet wie wat doet?

3. Sluit de verwerkersovereenkomst

Bij zakelijke abonnementen is dit meestal onderdeel van de voorwaarden of met één klik te accepteren. Bewaar hem waar je je andere verwerkersovereenkomsten bewaart.

4. Werk je register bij

Je verwerkingsregister moet deze verwerking bevatten: welk doel, welke categorieën gegevens, welke verwerker, welke bewaartermijn.

5. Pas je privacyverklaring aan

Als je AI gebruikt bij het verwerken van klantgegevens, hoort dat in je privacyverklaring te staan. Noem het doel en het feit dat er een verwerker bij betrokken is.

6. Leg vast wat medewerkers mogen

Dit is de stap met het meeste effect en de minste kosten. Eén A4 met: welke tool, wat mag erin, wat nooit, en bij wie je terecht kunt bij twijfel. Uitgewerkt in AI-beleid opstellen.

7. Minimaliseer standaard

Anonimiseer waar het kan. Een systeem dat automatisch namen en adressen weghaalt voordat tekst naar een AI-dienst gaat, verkleint je risico structureel in plaats van per geval.

Vier misvattingen

"Het is maar een hulpmiddel, dus de AVG geldt niet." De AVG kijkt naar de verwerking, niet naar het doel. Gegevens invoeren bij een externe partij is een verwerking.

"Ik heb een betaald abonnement, dus het is goed geregeld." Betaald is niet hetzelfde als zakelijk met verwerkersovereenkomst. Controleer welk type account je hebt en wat er in de voorwaarden staat over training.

"De data staat in Europa, dus het mag." Lokatie is één aspect. Grondslag, dataminimalisatie, bewaartermijn en de verwerkersovereenkomst blijven onverkort gelden.

"Mijn klant heeft toestemming gegeven voor onze dienstverlening." Toestemming voor dienstverlening is geen toestemming voor elke verwerking. In veel gevallen is bovendien "gerechtvaardigd belang" of "uitvoering van de overeenkomst" een betere grondslag dan toestemming — laat dat bepalen, ga er niet van uit.

Wat als het toch is misgegaan?

Een medewerker heeft een klantdossier in een gratis tool geplakt. Dan:

1. Breng in kaart wat er is ingevoerd en over hoeveel personen.
2. Verwijder wat te verwijderen is en zet training uit in dat account.
3. Beoordeel of het een datalek is. Dat hangt af van de aard van de gegevens en het risico voor de betrokkenen. Bij een hoog risico moet je binnen 72 uur melden bij de Autoriteit Persoonsgegevens, en soms ook de betrokkenen informeren.
4. Leg het incident vast in je register, ook als je niet meldt — dat is verplicht.
5. Dicht het gat. Als iemand het kon doen, was de afspraak niet duidelijk genoeg of ontbrak een goede tool.

Bij twijfel over de meldplicht: schakel een privacyjurist in. De afweging is situatieafhankelijk en de termijn is kort.