De vuistregel: minimaliseer
De AVG draait om zo weinig mogelijk persoonsgegevens verwerken, en alleen als het echt nodig is. Bij AI betekent dat: haal namen, adressen, rijksregisternummers en klantdetails uit je invoer als het antwoord ook zonder kan. Vraag "vat deze klacht samen" in plaats van de volledige mailwisseling met naam en al te plakken.
Wat mag, en onder welke voorwaarden
- Zakelijk plan met verwerkersovereenkomst. Team/Enterprise-versies van ChatGPT, Copilot of Claude bieden een verwerkersovereenkomst en de garantie dat je invoer niet voor training wordt gebruikt. Zonder dat: geen persoonsgegevens.
- Duidelijk doel en rechtsgrond. Je moet kunnen zeggen waarom je de gegevens verwerkt en op welke basis (contract, gerechtvaardigd belang, toestemming).
- Transparantie. Vermeld in je privacyverklaring dat je AI-hulpmiddelen gebruikt bij de verwerking.
- Locatie van verwerking. Weet waar de leverancier gegevens verwerkt en of er passende waarborgen zijn buiten de EU.
Wat je nooit doet
Gezondheidsgegevens, gegevens over kinderen, financiële identifiers of wachtwoorden in een AI-tool zonder uitdrukkelijke juridische basis en de juiste contracten. Bij twijfel: niet doen, of eerst anonimiseren.
Veelgestelde vragen
Mag ik persoonsgegevens in ChatGPT of Copilot zetten?
Alleen met een zakelijk plan, een verwerkersovereenkomst, de garantie dat invoer niet voor training wordt gebruikt, en een geldige grondslag en doel. In een gratis account: nooit.
Wat zijn de belangrijkste AVG-regels bij AI?
Minimaliseer persoonsgegevens, gebruik ze voor een duidelijk doel met een rechtsgrond, sluit een verwerkersovereenkomst, wees transparant en documenteer je keuzes.
Heb ik een DPIA nodig?
Bij grootschalige of gevoelige verwerking vaak wel. Voor beperkt gebruik volstaat meestal een korte risico-inschatting die je bijhoudt.