zeropiiNaar de demo

Mag je ChatGPT gebruiken met persoonsgegevens? AVG-uitleg voor organisaties (2026)

Geoffrey Roof · 6 juni 2026 · 3 min lezen

Het korte antwoord: ja, je mag ChatGPT (of Claude, Gemini, Copilot) gebruiken met persoonsgegevens. Maar niet zomaar. De AVG verbiedt AI niet, maar stelt voorwaarden: een geldige grondslag, dataminimalisatie en passende technische maatregelen. De kern is simpel: zorg dat persoonsgegevens die er niet toe doen, het externe model nooit bereiken.

Waarom het gevoelig ligt

Wanneer een medewerker een klantmail, dossier of CV in ChatGPT plakt om het te laten samenvatten, verlaten die persoonsgegevens je organisatie. Bij een consumenten-AI-dienst kan die invoer bovendien worden gebruikt om modellen te trainen. Dat is precies het scenario waar toezichthouders, in Nederland de Autoriteit Persoonsgegevens, kritisch op zijn: persoonsgegevens die zonder grondslag bij een externe partij belanden.

Het gaat zelden mis door kwade opzet. Het gaat mis door gemak: een snelle prompt waar net iets te veel in staat. En dat gebeurt vaker dan je denkt. Uit een UpGuard-onderzoek (2025) onder 1.500 mensen gebruikt ruim 80% AI-tools die hun werkgever niet heeft goedgekeurd.

Wat de AVG concreet van je vraagt

De AVG noemt AI niet bij naam, maar de bekende beginselen gelden onverkort:

  • Grondslag (artikel 6). Je hebt een geldige reden nodig om persoonsgegevens te verwerken, en het doorsturen naar een AI-model is een verwerking.
  • Dataminimalisatie (artikel 5). Verwerk alleen wat noodzakelijk is. Een model dat een tekst moet herschrijven, heeft de naam en het BSN van de betrokkene meestal niet nodig.
  • Verwerkersovereenkomst (artikel 28). Verwerkt de AI-leverancier persoonsgegevens namens jou, dan heb je een verwerkersovereenkomst nodig. De gratis consumentenversie biedt die doorgaans niet.
  • Passende maatregelen (artikel 32). Je moet technische en organisatorische maatregelen treffen die passen bij het risico, en die bewijsbaar maken richting de toezichthouder.

De EU AI Act komt er nog bij

Naast de AVG geldt sinds augustus 2024 de EU AI Act, die gefaseerd in werking treedt en vanaf augustus 2026 volledig van toepassing is. Voor de meeste organisaties die generatieve AI gebruiken draait het om transparantie en zorgvuldig gebruik, niet om een verbod. De AVG blijft de scherpste eis als het om persoonsgegevens gaat; de AI Act legt daar een laag governance bovenop. Een organisatie die haar AVG-huishouding op orde heeft, staat ook voor de AI Act sterker.

Hoe je AI tóch veilig inzet

De oplossing is geen verbod op AI. Dat is in 2026 niet realistisch. Het is dataminimalisatie aan de bron: zorg dat persoonsgegevens de prompt verlaten vóórdat die naar het model gaat.

Dat is het principe achter zeropii: een filter dat tussen je medewerker en het AI-model staat. Elke prompt wordt eerst gescand op persoonsgegevens; gevonden gegevens (BSN, IBAN, KvK-nummers, namen, adressen) worden vervangen door surrogaten zoals <PERSOON_1>. Alleen de geschoonde prompt gaat naar het model, en in het antwoord worden de echte waarden hersteld. Zo blijft het werk productief, terwijl de persoonsgegevens binnen de organisatie blijven.

Belangrijk om eerlijk te zijn over wat zo'n maatregel wél en niet doet: persoonsgegevens blijven intern en het risico op een datalek via AI daalt aantoonbaar. De geschoonde prompt (zonder persoonsgegevens, met de overige inhoud) gaat nog steeds naar het model. zeropii is dus een technische maatregel die helpt voldoen aan de AVG. Compliance blijft een eigenschap van je organisatie in haar rol, niet van een tool op zichzelf.

Praktische checklist

  • Kies voor werkdata een zakelijke AI-variant met verwerkersovereenkomst, of filter persoonsgegevens eruit vóór verzending.
  • Pas dataminimalisatie toe: stuur alleen wat het model echt nodig heeft.
  • Leg in een AI-gebruiksbeleid vast wie wat mag, en maak het bruikbaar in plaats van verbiedend.
  • Houd een audit trail bij van wat er gefilterd is, zodat je het richting de toezichthouder kunt aantonen.
  • Behandel de gratis consumentenversie als ongeschikt voor persoonsgegevens.

AI gebruiken met persoonsgegevens mag, zolang je voorkomt dat de gegevens die er niet toe doen je organisatie verlaten.

Bronnen

Veelgestelde vragen

Mag je ChatGPT gebruiken met persoonsgegevens?

Ja, maar niet zomaar. De AVG verbiedt het gebruik van AI met persoonsgegevens niet, maar verplicht je tot een geldige grondslag, dataminimalisatie en passende technische en organisatorische maatregelen. In de praktijk betekent dat: voorkom dat onnodige persoonsgegevens naar een extern model gaan.

Is de gratis versie van ChatGPT veilig voor werkdata?

Voor persoonsgegevens is de consumentenversie risicovol. Bij de gratis en Plus-versie worden gesprekken standaard gebruikt om modellen te verbeteren (je kunt dit uitzetten in de instellingen), en je hebt geen verwerkersovereenkomst. Zakelijke varianten (Business, Enterprise en de API) trainen standaard niet op je invoer. Voor werkdata met persoonsgegevens kies je zo'n zakelijke variant met verwerkersovereenkomst, of je filtert persoonsgegevens eruit voordat ze het model bereiken.

Wat is een verwerkersovereenkomst en heb ik die nodig?

Als een AI-leverancier persoonsgegevens namens jou verwerkt, vereist de AVG een verwerkersovereenkomst (artikel 28). Zonder zo'n overeenkomst deel je persoonsgegevens zonder juridische basis met die leverancier.

Hoe voorkom ik dat persoonsgegevens naar een AI-model lekken?

Met dataminimalisatie aan de bron: detecteer en maskeer persoonsgegevens vóórdat de prompt het model bereikt. Een filter zoals zeropii vervangt BSN, IBAN, namen en adressen door surrogaten, stuurt alleen de geschoonde tekst naar het model en zet de echte waarden terug in het antwoord.

Wil je zien hoe zeropii persoonsgegevens uit je prompts filtert vóór ze naar het AI-model gaan?

Probeer de demo →