AI en privacy: wat je als ondernemer moet weten

Wat gebeurt er met je gegevens als je AI gebruikt?

Alles wat je in een AI-assistent typt of uploadt, gaat naar de servers van de aanbieder en wordt daar verwerkt en opgeslagen. Wat de aanbieder er daarna mee doet, hangt af van het abonnement dat je gebruikt en van je instellingen.

Bij AI en privacy spelen daardoor twee vragen. Hoe lang bewaart de aanbieder je gesprekken? En gebruikt hij ze om zijn modellen te trainen? Het antwoord verschilt tussen een persoonlijk en een zakelijk abonnement, ook bij dezelfde aanbieder.

Dit artikel beschrijft wat ChatGPT, Claude, Gemini en Microsoft Copilot volgens hun eigen privacydocumentatie met je invoer doen, met als peildatum oktober 2026. Aanbieders passen hun voorwaarden regelmatig aan. Controleer daarom de instellingen in je eigen account.

Wat slaat een AI-aanbieder van je op?

Een AI-aanbieder slaat je gesprekken, je geüploade bestanden en je feedback op. Gesprekken blijven in je geschiedenis staan tot je ze verwijdert.

Per aanbieder gelden deze termijnen:

• ChatGPT: een verwijderd gesprek wordt volgens OpenAI binnen 30 dagen definitief uit de systemen verwijderd, tenzij een wettelijke of beveiligingsverplichting langer bewaren vraagt
• Claude: verwijderde gesprekken worden volgens Anthropic binnen 30 dagen uit de back-endopslag verwijderd. Sta je training toe, dan kan Anthropic je gegevens tot 5 jaar bewaren voor modeltraining, in een vorm die niet aan je identiteit is gekoppeld
• Gemini: de activiteit van een persoonlijk account wordt standaard 18 maanden bewaard. Je kunt dat aanpassen. Zet je de activiteit uit, dan bewaart Google gesprekken nog maximaal 72 uur
• Copilot: de gespreksactiviteit van een persoonlijk account wordt standaard 18 maanden bewaard. Je kunt gesprekken zelf eerder verwijderen

Bij Gemini kan een deel van de gesprekken door menselijke beoordelaars worden gelezen als de instelling Keep Activity aanstaat. Die gesprekken worden losgekoppeld van je account en tot 3 jaar bewaard.

Geef je een antwoord een duimpje omhoog of omlaag, dan stuur je dat gesprek als feedback naar de aanbieder. OpenAI meldt dat het hele gesprek dan voor training kan worden gebruikt, ook als je training hebt uitgezet.

Worden je gesprekken gebruikt om AI-modellen te trainen?

Bij persoonlijke abonnementen kan dat, bij zakelijke producten gebeurt het standaard niet. Zo staat het in de documentatie van de aanbieders (peildatum oktober 2026):

Training betekent dat je tekst onderdeel kan worden van het materiaal waarmee een volgende versie van het model leert. OpenAI schrijft dat het stappen neemt om de hoeveelheid persoonlijke informatie in trainingsdata te beperken. Ga er toch van uit dat tekst die je voor training beschikbaar stelt niet meer terug te halen is.

Hoe zet je training op je invoer uit?

Je zet training uit in de privacy-instellingen van je account. Per aanbieder werkt dat zo:

• ChatGPT: ga naar Settings, kies Data controls en zet Improve the model for everyone uit. Een tijdelijke chat (Temporary Chat) wordt niet voor training gebruikt zolang je hem niet opslaat; OpenAI kan er tot 30 dagen een kopie van bewaren voor veiligheidsdoeleinden
• Claude: ga naar de privacy-instellingen en zet Model Improvement uit. Incognito-chats worden niet gebruikt voor training, ook als Model Improvement aanstaat
• Gemini: zet Keep Activity uit bij Gemini Apps Activity. Nieuwe gesprekken worden dan niet gebruikt om de modellen te trainen
• Copilot: zet modeltraining uit in de privacy-instellingen van je persoonlijke Copilot-account

Bij ChatGPT en Gemini geldt de instelling voor nieuwe gesprekken. Zet haar dus uit voordat je met vertrouwelijke informatie werkt.

Wat is het verschil tussen een zakelijk en een persoonlijk abonnement?

Bij een zakelijk abonnement sluit je bedrijf een overeenkomst met de aanbieder waarin staat wat er met de gegevens gebeurt. Bij een persoonlijk abonnement gelden de consumentenvoorwaarden en regelt elke gebruiker zijn eigen instellingen.

In de praktijk levert een zakelijk abonnement vier verschillen op:

• Training staat standaard uit. Dat geldt voor alle accounts in je organisatie
• De aanbieder biedt een verwerkersovereenkomst aan. Die heb je nodig zodra je persoonsgegevens laat verwerken
• Een beheerder regelt de toegang. Hij bepaalt wie een account heeft en trekt het in als iemand vertrekt
• Bewaartermijnen zijn vast te leggen. Bij onder meer Microsoft Copilot stelt een beheerder in hoe lang gesprekken bewaard blijven

Gebruikt een medewerker een persoonlijk account voor werk, dan heeft je bedrijf geen zicht op wat er wordt ingevoerd en gelden de afspraken van je zakelijke overeenkomst niet. Leg daarom vast welke accounts voor werk zijn toegestaan.

Welke gegevens voer je beter niet in?

In een persoonlijk account voer je geen gegevens in waarmee een ander te herkennen is, en geen informatie die je bedrijf vertrouwelijk wil houden. Denk aan:

• namen, adressen en contactgegevens van klanten of medewerkers
• medische, financiële of juridische gegevens over personen
• wachtwoorden, API-sleutels en inloggegevens
• contracten, offertes en cijfers die nog niet openbaar zijn

Vaak kun je de taak toch laten uitvoeren. Vervang namen door een rol, zoals klant A en leverancier B, en haal bedragen of adressen weg die voor de vraag niet nodig zijn. Het antwoord blijft bruikbaar en de gegevens blijven bij jou.

Wanneer blijven je gegevens helemaal bij jou?

Je gegevens blijven volledig in je eigen omgeving als je een AI-model op eigen hardware draait. Er gaat dan niets naar een externe aanbieder.

Dat vraagt een geschikte computer of server en iemand die het model beheert. Hoe dat werkt en wat je ervoor nodig hebt lees je in AI lokaal draaien.

Wat moet je als bedrijf wettelijk regelen?

Verwerk je met AI persoonsgegevens van klanten of medewerkers, dan geldt de AVG. Je hebt dan onder meer een grondslag en een verwerkersovereenkomst met de aanbieder nodig. De stappen staan in AVG-proof AI gebruiken in je bedrijf.

Daarnaast stelt de Europese AI-verordening eisen aan AI-systemen en aan het gebruik ervan. De risiconiveaus en de data lees je in de EU AI Act uitleg.

Veelgestelde vragen

Slaat ChatGPT mijn gesprekken op? Ja. Gesprekken blijven in je account staan tot je ze verwijdert. Een verwijderd gesprek wordt volgens OpenAI binnen 30 dagen definitief uit de systemen verwijderd, tenzij een wettelijke of beveiligingsverplichting langer bewaren vraagt (peildatum oktober 2026).

Worden mijn gesprekken met ChatGPT gebruikt voor training? Bij persoonlijke abonnementen kan OpenAI je invoer gebruiken om modellen te trainen. Je zet dat uit via Settings, Data controls, Improve the model for everyone. Bij ChatGPT Business, Enterprise, Edu en de API gebeurt het standaard niet.

Traint Claude op mijn gesprekken? Bij Claude Free, Pro en Max worden gesprekken gebruikt voor training als je dat in de privacy-instellingen toestaat. Bij Claude for Work en de API gebruikt Anthropic invoer en uitvoer standaard niet om modellen te trainen (peildatum oktober 2026).

Is een zakelijk AI-abonnement veiliger voor privacy? Bij de zakelijke producten van OpenAI, Anthropic, Google en Microsoft wordt je invoer standaard niet gebruikt om modellen te trainen. Je bedrijf sluit een overeenkomst met de aanbieder en een beheerder regelt de toegang. Je eigen verplichtingen uit de AVG blijven gelden.

Welke gegevens mag ik niet in een AI-assistent invoeren? Voer in een persoonlijk account geen persoonsgegevens van klanten of medewerkers in, geen wachtwoorden en geen vertrouwelijke bedrijfsinformatie. Vervang namen door een rol, zoals klant A, als je de taak toch wilt laten uitvoeren.

Verder met AI in jouw bedrijf

Wil je van lezen naar doen? Bekijk hoe we AI-implementatie op eigen infrastructuur aanpakken, ontdek wat AI automatisering voor je processen betekent, lees wat een AI agent kost, of leer het zelf met onze 1-op-1 AI training. Vragen over jouw situatie? Plan een vrijblijvend gesprek.