Het korte antwoord
Met een gratis of persoonlijk account: nee. Met een zakelijke licentie waarbij je een verwerkersovereenkomst hebt gesloten, training op je gegevens uit staat en je weet waar de gegevens worden opgeslagen: ja, mits je ook een grondslag hebt, het in je verwerkingsregister staat en je mensen weten wat wel en niet mag. De tool is de makkelijkste van die vijf.
De vijf dingen die geregeld moeten zijn
| Wat | Waarom | Waar je het regelt |
|---|---|---|
| Verwerkersovereenkomst | Verplicht zodra een leverancier persoonsgegevens voor je verwerkt | Bij de aanbieder, standaard beschikbaar bij zakelijke licenties |
| Training uitgezet | Anders kunnen je gegevens in een volgend model belanden | Staat bij zakelijke licenties standaard uit; controleer het wel |
| Weten waar de gegevens staan | Voor doorgifte buiten de EU heb je een grondslag nodig | Opslag in Europa is bij de zakelijke varianten te kiezen |
| Grondslag en verwerkingsregister | Je moet kunnen uitleggen waarom je dit met deze gegevens doet | In je eigen administratie, niet bij de leverancier |
| Instructie aan je mensen | De meeste incidenten zijn een medewerker die iets plakt in een privaccount | Een korte werkinstructie en een plek waar het wel mag |
Het verschil tussen gratis en zakelijk
Bij ChatGPT Team en Enterprise sluit je een verwerkersovereenkomst, staat training op je gegevens standaard uit en kun je opslag in Europa kiezen. Bij een gratis of persoonlijk account heb je geen van die drie. Dat is het hele verschil, en het kost ongeveer twintig dollar per persoon per maand.
Dezelfde redenering geldt voor de zakelijke varianten van Claude en voor Microsoft 365 Copilot. Zie de vergelijking tussen ChatGPT en Copilot.
Waar het in de praktijk misgaat
- Een medewerker plakt een klantmail in zijn eigen gratis account omdat het kantoorcount te traag is aangevraagd.
- Een zakelijk account is er wel, maar niemand heeft de trainingsinstelling gecontroleerd.
- Er is een verwerkersovereenkomst met de AI-leverancier, maar de eigen klanten is nooit verteld dat er AI in het proces zit.
- Er is een beleid van een pagina dat niemand heeft gelezen, in plaats van een werkinstructie van vijf regels bij het werk zelf.
De praktische route
Regel eerst de zakelijke licentie en de verwerkersovereenkomst, want dat is een middag werk. Beschrijf daarna per proces welke gegevens erin mogen en welke niet, en geef mensen een plek waar het wel mag. Wie alleen verbiedt zonder alternatief, krijgt schaduwgebruik in privaccounts en dat is precies het risico dat je wilde vermijden.
Hoe die grens er per werkstroom uitziet, staat op de pagina over controle en veiligheid en in de Bankproof-methode.
Veelgestelde vragen
Mag ik klantgegevens in een gratis ChatGPT-account zetten?
Nee. Er is geen verwerkersovereenkomst, je hebt geen zekerheid over training en je weet niet waar de gegevens staan. Voor persoonsgegevens is dat drie keer een probleem.
Is een zakelijke licentie genoeg om AVG-proof te zijn?
Nee, het is de eerste van vijf dingen. Je hebt ook een grondslag nodig, een aantekening in je verwerkingsregister, duidelijkheid over opslag buiten de EU en een instructie aan je mensen.
Moet ik mijn klanten vertellen dat ik AI gebruik?
Als je persoonsgegevens van hen verwerkt, hoort dat in je privacyverklaring thuis. Los daarvan is het verstandig: klanten die het later zelf ontdekken, reageren anders dan klanten die het wisten.
Wat doe ik met medewerkers die toch hun eigen account gebruiken?
Geef ze een werkende zakelijke plek en een korte werkinstructie bij het werk zelf. Schaduwgebruik ontstaat vrijwel altijd omdat het officiele alternatief er niet of te laat is.
