Is ChatGPT veilig voor bedrijven?

Wat gebeurt er met wat medewerkers in ChatGPT typen?

Dat hangt af van het account. Bij een persoonlijk abonnement gelden de voorwaarden voor consumenten. In een Business- (voorheen Team) of Enterprise-omgeving stelt je bedrijf de regels en is OpenAI je verwerker.

De tabel vergelijkt de abonnementen van ChatGPT zelf. seef is een andere optie: een eigen omgeving voor je bedrijf, gehost in de EU. In het laatste deel lees je wanneer seef past.

Is betaalde ChatGPT (Plus of Pro) veiliger?

Niet voor bedrijfsgegevens. Go, Plus en Pro geven hogere limieten, maar de voorwaarden blijven die voor consumenten: training staat standaard aan en er is geen verwerkersovereenkomst.

Gebruikt iemand toch een persoonlijk account voor werk, houd het dan bij materiaal zonder persoonsgegevens of vertrouwelijke informatie. Zet Improve the model for everyone uit in de instellingen, bij Data controls, en geef geen duim omhoog of omlaag, want feedback kan het hele gesprek naar training sturen. Een tijdelijke chat telt niet mee voor training en is binnen 30 dagen weg, maar maakt verboden invoer niet alsnog toegestaan.

Is ChatGPT AVG-proof?

Geen enkele tool is op zichzelf AVG-proof, want de AVG kijkt naar wat jij met persoonsgegevens doet. Een zakelijk abonnement geeft je het contract dat je nodig hebt: een verwerkersovereenkomst waarin OpenAI je verwerker is, zoals artikel 28 AVG vereist.

Bij een gratis of Plus-account is er geen verwerkersovereenkomst en is OpenAI zelf verantwoordelijke voor wat medewerkers invoeren. Klantgegevens gaan dan naar een derde, en die verstrekking moet je zelf kunnen rechtvaardigen.

Je hebt nog steeds een grondslag nodig, een vermelding in je verwerkingsregister en een risico-inschatting, soms een DPIA (artikel 35). Gezondheidsgegevens vragen een uitzondering uit artikel 9, en volgens de standaardverwerkersovereenkomst van OpenAI is het niet de bedoeling dat er gevoelige gegevens worden doorgegeven.

Is het een datalek als medewerkers persoonsgegevens in ChatGPT zetten?

Vaak wel. De Autoriteit Persoonsgegevens meldde in augustus 2024 meerdere van zulke datalekken, onder meer bij een huisartsenpraktijk waar een medewerker tegen de afspraken in medische gegevens van patiënten in een chatbot had ingevoerd.

De AP trekt een duidelijke grens. Gebruik tegen de afspraken in, met persoonsgegevens, is een datalek; gebruik als beleid is geen datalek, maar vaak ook niet toegestaan. In 2025 meldde de gemeente Eindhoven een datalek nadat medewerkers bestanden met persoonsgegevens van inwoners en collega's naar openbare AI-websites hadden geüpload.

Een meldplichtig datalek meld je binnen 72 uur bij de AP (artikel 33 AVG). Elk datalek leg je vast, en je beoordeelt of je de betrokkenen moet informeren.

Waar wordt je data opgeslagen en verwerkt?

In de EER en Zwitserland sluit je het contract met OpenAI Ireland, maar de verwerkersovereenkomst staat doorgifte buiten de EER toe op basis van standaardcontractbepalingen of een adequaatheidsbesluit. OpenAI is een Amerikaans bedrijf, en in 2025 moest het van een Amerikaanse rechter chats van consumenten en Team (nu Business) bewaren, ook verwijderde, tot september.

Bij Enterprise kunnen nieuwe klanten data in Europa laten opslaan en, als ze in aanmerking komen, het model daar laten draaien. Apps, zoeken op internet en sommige verwerkingsstappen kunnen dan nog elders plaatsvinden. Business rolt een opslagregio uit die niet bepaalt waar het model draait, en kopieën van prompts en antwoorden blijven voor misbruikcontrole in de VS.

Welke risico's blijven er met ChatGPT Business of Enterprise?

Een zakelijk abonnement regelt het contract en de training. Deze risico's blijven:

• Mensen plakken meer in dan de taak vraagt. Een verwerkersovereenkomst maakt dat niet proportioneel.
• Antwoorden kunnen overtuigend fout zijn. Controleer ze in de bron voordat je ze gebruikt.
• Koppelingen volgen de bestaande rechten, dus een te ruim gedeelde map wordt doorzoekbaar. Apps en GPT-acties sturen invoer naar externe diensten, onder hun voorwaarden.
• Verborgen instructies in een document, e-mail of webpagina kunnen ChatGPT ertoe brengen gegevens te delen (prompt injection).
• Business bewaart de chats en bestanden van verwijderde medewerkers voor onbepaalde tijd.

Wat kun je deze week regelen?

Begin bij de tool en de gegevens. Een volledig AI-beleid en zicht op tools zonder toestemming komen daarna.

• Kies één werktool, zoals ChatGPT Business of seef. Klant- en personeelsgegevens horen niet in persoonlijke accounts.
• Sluit de verwerkersovereenkomst af, neem de verwerking op in je register en controleer je privacyverklaring.
• Leg vast wat er nooit in mag: BSN's, medische gegevens, complete klantdossiers, wachtwoorden.
• Kijk naar klantcontracten en geheimhoudingsafspraken voordat iemand documenten van klanten uploadt.
• Vraag je leverancier welke bewaarinstellingen je krijgt, en zet alleen de koppelingen aan die je nodig hebt.
• Wijs aan wie een datalek beoordeelt, vastlegt en, als dat verplicht is, binnen 72 uur meldt.
• Train je team: de AI-verordening, zoals gewijzigd in 2026, vraagt maatregelen die de AI-geletterdheid van medewerkers ondersteunen.

Wanneer is ChatGPT Business of Enterprise genoeg, en wanneer past seef?

Voor alledaags schrijfwerk en samenvatten is ChatGPT Business met een verwerkersovereenkomst en duidelijke afspraken voor veel bedrijven genoeg, en je sluit het zelf af, meestal vanaf twee gebruikers. Enterprise is het abonnement voor opslag en modelverwerking in Europa, en wie in Microsoft 365 werkt, vergelijkt ook Copilot.

seef past als je het AI-gebruik van je team weg wilt halen uit persoonlijke accounts, naar bedrijfsdocumenten met een duidelijke grens rond wat AI kan bereiken. Je bedrijf krijgt een eigen, afgeschermde omgeving, gehost in de EU en beheerd door seef, zonder dat je zelf iets hoeft te hosten of bij te werken. Je vult een kennisbank vanuit SharePoint of Google Drive, en die bevat alleen wat jij erin zet. Medewerkers loggen in met hun Microsoft 365- of Google Workspace-account, en antwoorden tonen de documenten waar ze uit komen.

De modellen kies je met ons, ook modellen die in de EU worden gehost. Verwerking alleen in de EU of hosting op je eigen servers kan op verzoek, en de verwerkersovereenkomst legt vast wat we afspreken. seef is een dienst van Timformatie, gecertificeerd volgens ISO 27001:2022 en NEN 7510-1:2024. Op de beveiligingspagina staat de standaardopzet, en de gids over Europese alternatieven vergelijkt andere opties.