Mag je klantgegevens in ChatGPT invoeren?
Niet zomaar. Namen, e-mailadressen en andere klantgegevens zijn persoonsgegevens onder de GDPR. In de gratis versie en het persoonlijke abonnement van ChatGPT heb je geen verwerkersovereenkomst met OpenAI, dus daar voer je ze beter niet in. De zakelijke versies en de API bieden die overeenkomst wel, maar ook dan heb je een rechtsgrond nodig. Veiligste aanpak: anonimiseer eerst. Twijfel je, vraag juridisch advies.
Wat telt als een klantgegeven? Namen, e-mailadressen, telefoonnummers, facturatiegegevens, medische of financiële informatie: al deze gegevens zijn persoonsgegevens in de zin van de GDPR. Zodra je één van deze gegevens in een chatvenster typt, verwerk je ze. Dat klinkt technisch, maar de regel is eenvoudig: als je iemand ermee kunt identificeren, is het een persoonsgegeven.
Waarom is dit een probleem bij standaard ChatGPT? Bij de gratis versie en het persoonlijke betalende abonnement van ChatGPT kan OpenAI ingevoerde gesprekken gebruiken om zijn modellen te verbeteren, tenzij je dat uitschakelt. Voor die versies sluit je geen verwerkersovereenkomst met OpenAI. Als bedrijf ben je verantwoordelijk voor wat er met de gegevens van je klanten gebeurt, en zonder zo'n overeenkomst sta je juridisch zwak. De Gegevensbeschermingsautoriteit kan bij inbreuken sancties opleggen.
Wanneer mag het dan wel? De zakelijke abonnementen van ChatGPT (zoals Enterprise) en de API bieden een verwerkersovereenkomst, en daar worden je gegevens standaard niet gebruikt om modellen te trainen. Als je deze versie gebruikt, de overeenkomst hebt afgesloten en je privacybeleid dit beschrijft, heb je een stevigere basis. Maar let op: ook dan moet je nagaan of je een rechtsgrond hebt voor die verwerking, bijvoorbeeld toestemming of een contractuele noodzaak.
Wat doe je beter in de praktijk? Anonimiseer gegevens voor je ze invoert. Vervang een naam door een algemene omschrijving zoals “een klant in de bouwsector” of “een zelfstandige uit West-Vlaanderen”. Zo kun je toch hulp vragen bij een situatie zonder de GDPR te schenden. Dit is niet alleen juridisch verstandig: het beschermt ook het vertrouwen van je klanten.
Wat betekent dit voor jouw team? Als jij of je collega’s dagelijks met AI-tools werken, is het cruciaal dat iedereen weet welke gegevens verboden zijn. Eén onoplettende medewerker volstaat voor een datalek. Bij Stimpy begeleiden we teams via de Stimpy Academie met concrete AI-opleidingen die ook de juridische kant behandelen, zodat je AI veilig en effectief inzet.
Vervolgvragen
Nee, ook een e-mailadres alleen is al een persoonsgegeven. Anonimiseer de context voor je hem invoert. Beschrijf de situatie zonder naam of contactgegevens. Je krijgt even nuttige hulp zonder juridisch risico.
ChatGPT Enterprise biedt een verwerkersovereenkomst en gebruikt je gegevens standaard niet om modellen te trainen. Dat is een betere basis dan de standaardversie. Je blijft zelf verantwoordelijk voor een geldige rechtsgrond en een correct privacybeleid. Raadpleeg een juridisch adviseur voor jouw specifieke situatie.
Documenteer wat er is ingevoerd en wanneer. Beoordeel of het om een datalek gaat dat gemeld moet worden aan de Gegevensbeschermingsautoriteit. In België geldt een meldingsplicht binnen 72 uur voor lekken met risico voor betrokkenen. Stel daarna interne richtlijnen op om herhaling te voorkomen.