De vraag “wat doet ChatGPT met je data?” wordt vaak gesteld alsof er één technisch antwoord is. In de praktijk is het vooral een professionele vraag: wat stop jij erin, met welke grondslag, en met welke risico’s?
ChatGPT voelt als een gesprek. En precies daardoor gaan professionals sneller grenzen overschrijden: even een klantmail plakken, een interne notitie laten herschrijven, een casus uitleggen met herkenbare details. Dat gebeurt niet uit slordigheid, maar omdat conversatie-interfaces een vals gevoel van veiligheid geven.
Dit artikel is een verdiepende pillar binnen het thema betrouwbaarheid en verantwoord gebruik. Het sluit direct aan op de vraag wanneer ChatGPT juist niet geschikt is en op het centrale kader rond betrouwbaarheid en verantwoordelijkheid van ChatGPT.
Eerst dit: “data” is niet één soort informatie
Om professioneel over privacy te praten, moet je eerst onderscheid maken. Invoer in ChatGPT kan bijvoorbeeld zijn:
- onschuldige werkcontext (algemene instructies, toon, structuur)
- vertrouwelijke bedrijfsinformatie (strategie, prijsafspraken, interne issues)
- persoonsgegevens (namen, e-mails, klantcases, HR-informatie)
- bijzondere persoonsgegevens (gezondheid, politieke opvattingen, etc.)
Het risico verschilt per categorie. En onder de AVG is dat verschil cruciaal: persoonsgegevens brengen wettelijke verplichtingen met zich mee, terwijl “alleen bedrijfsgevoelig” vooral governance/contractueel is.
Wat betekent dit onder de AVG / GDPR (praktisch uitgelegd)
De AVG draait om verantwoordelijkheid: wie bepaalt het doel en de middelen van verwerking? In veel organisaties is de werkgever/verantwoordelijke partij degene die moet kunnen uitleggen:
- waarom verwerking nodig is
- welke grondslag geldt
- of het proportioneel is
- en hoe risico’s worden beperkt
Dat geldt ook als jij “alleen even” tekst wilt laten herschrijven. Het doel (herschrijven) verandert niet dat je gegevens extern laat verwerken.
De belangrijkste professionele realiteit: AVG is niet “mag wel/mag niet”, maar “kun je het verantwoorden?”
De grootste misser in de praktijk: je input is vaak rijker dan nodig
Veel mensen geven ChatGPT te veel context omdat ze bang zijn voor slechte output. Maar betere output bereik je zelden door meer gevoelige details te geven. Je bereikt betere output door:
- helder doel
- duidelijke rol
- strakke constraints
- en geanonimiseerde context
Als je die skill niet hebt, ga je compenseren met “meer informatie”, en dat is precies waar privacyrisico’s ontstaan.
Dit raakt direct aan waarom prompts geen garantie zijn: beter formuleren lost geen governance op. Lees hier meer over waarom goede prompts geen garantie zijn voor goede AI-output.
“Veilig” is niet alleen privacy: het gaat ook om bedrijfsvertrouwen
Zelfs als iets geen persoonsgegevens bevat, kan het nog steeds schadelijk zijn om te delen:
- interne strategieën
- prijsafspraken
- onderhandelingen
- klantlijsten
- incidenten of klachten
Dit is geen AVG-kwestie, maar een vertrouwelijkheidskwestie. En reputatieschade ontstaat vaak niet door “hacken”, maar door onbewuste verspreiding van context.
Daarom hoort dataveiligheid altijd samen met betrouwbaarheid: als je AI gebruikt zonder grenzen, creëer je zowel inhoudelijke als vertrouwelijkheidsrisico’s.
Een praktisch grensmodel voor professionals
In plaats van eindeloos discussiëren over policy, werkt een simpel 3-lagen model vaak het best:
Laag 1 — Veilig standaardgebruik
- algemene tekststructuur
- brainstorm over invalshoeken
- herschrijven zonder herkenbare details
Laag 2 — Alleen geanonimiseerd / geminimaliseerd
- klantcases zonder namen, locaties, unieke kenmerken
- interne situaties abstraheren (rol A, rol B)
- documenten herschrijven na redactie
Laag 3 — Niet invoeren
- persoonsgegevens die direct herleidbaar zijn
- HR/medische info
- contractdetails, prijsafspraken
- strategiedocumenten 1-op-1
Dit model is makkelijker te handhaven dan “gebruik je gezond verstand”, omdat het concrete grenzen geeft.
Hoe je ChatGPT gebruikt zonder datalek-gevoel (maar mét professionele discipline)
Hier zijn vier principes die je werkbaar kunt maken, ook als je solo werkt:
- Data-minimalisatie
Geef alleen wat nodig is voor de taak. Dit is een kernprincipe binnen de AVG. (EU, 2016) - Anonimiseren waar mogelijk
Vervang namen, bedrijven, locaties en unieke kenmerken door labels. - Werk met templates in plaats van ruwe input
Laat ChatGPT bijvoorbeeld een structuur maken op basis van jouw samenvatting, niet op basis van de volledige mailthread. - Maak een vaste “sanity check” vóór je plakt
Eén simpele vraag: “Zou ik dit ook in een extern ticketing-systeem plakken?”
Zo niet: eerst redigeren.
Praktische vragen die mensen écht bedoelen (SEO-gericht)
Wat gebeurt er met data die je in ChatGPT typt?
Je data wordt verwerkt om output te genereren. De kernvraag voor professionals is niet alleen “wat gebeurt er technisch?”, maar “mag dit onder ons beleid/AVG en is dit noodzakelijk?”
Is ChatGPT veilig om te gebruiken voor werk?
Voor algemene taken meestal wel, zolang je geen gevoelige data invoert. Voor persoonsgegevens of vertrouwelijke bedrijfsinformatie moet je expliciete grenzen hanteren.
Mag je ChatGPT gebruiken onder de AVG / GDPR?
In principe kan dat, maar je moet kunnen onderbouwen welke gegevens je verwerkt, waarom, en hoe je risico’s minimaliseert. De AVG vereist onder meer doelbinding en dataminimalisatie. (EU, 2016)
Welke informatie mag je nooit invoeren in ChatGPT?
Alles wat direct herleidbare persoonsgegevens bevat of bedrijfsgevoelige informatie die je niet extern wilt delen: klantgegevens, HR/medisch, contract- of prijsdetails, interne strategie.
Wat is het verschil tussen privacy-risico en kwaliteitsrisico?
Privacy gaat over gegevensverwerking en vertrouwelijkheid; kwaliteitsrisico gaat over foutieve output. In de praktijk versterken ze elkaar: wie te veel context deelt, vergroot beide risico’s. Lees hier meer over de betrouwbaarheid van ChatGPT.
Wat je als professional hieraan hebt
Als je één praktische stap wilt nemen: maak voor jezelf (of je team) een korte regelset op basis van de 3-lagen. Daarmee voorkom je 90% van de problemen zonder dat AI-gebruik stroperig wordt.
Bronnen (APA)
European Union. (2016). Regulation (EU) 2016/679 of the European Parliament and of the Council (General Data Protection Regulation). Official Journal of the European Union.
NIST. (2020). NIST Privacy Framework: A Tool for Improving Privacy through Enterprise Risk Management (Version 1.0). National Institute of Standards and Technology.
OECD. (2019). Artificial intelligence and privacy. OECD Publishing.