Mogen we ChatGPT, Claude of Copilot gebruiken met persoonsgegevens?
Kort antwoord
Ja, dat kan rechtmatig zijn, maar alleen als je een grondslag hebt, alleen de gegevens gebruikt die nodig zijn, een verwerkersovereenkomst hebt met de AI-leverancier en de doorgifte buiten de EU goed hebt geregeld. De veiligste weg: laat de AI werken zonder de echte namen. Pseudonimiseer de gegevens voordat ze worden verstuurd, en houd de sleutel bij jezelf in de EU. Gepseudonimiseerde gegevens blijven voor jou wel persoonsgegevens.
Wat zegt de AVG?
De AVG verbiedt AI niet. Maar dezelfde regels gelden als wanneer je persoonsgegevens op een andere manier gebruikt:
- Je hebt een grondslag en een duidelijk doel nodig.
- Je mag alleen de gegevens gebruiken die nodig zijn voor de taak (minimale gegevensverwerking).
- Verwerkt de AI-leverancier gegevens voor jou, dan heb je een verwerkersovereenkomst nodig.
- Gaan gegevens naar een land buiten de EU, dan heeft die doorgifte een bijzondere grondslag nodig.
Het lastige is de minimale gegevensverwerking. Laat je de AI klantvragen sorteren, dan heeft die nodig wat de klant schrijft – niet de naam, het e-mailadres, het telefoonnummer en het rekeningnummer van de klant.
Laat de AI werken zonder de echte namen
Pseudonimisering betekent dat namen, e-mailadressen, identificatienummers en andere gegevens worden vervangen door vaste codes, zoals [PERSON_1], voordat de gegevens naar de AI gaan. De sleutel blijft bij jou. Komt het antwoord terug, dan worden de echte namen weer ingevuld – maar alleen bij jou.
Zo ziet het eruit in GoalCube Data Vault. Links staan je gegevens, die in de EU blijven. Rechts zie je wat de AI ziet.
| Klant | Plaats | Onderwerp | |
|---|---|---|---|
| Sanne Bakker | sanne.bakker@example.com | Utrecht | Terugbetaling |
| Thijs Mulder | thijs.mulder@example.com | Zwolle | Levering |
| Daan Visser | daan.visser@example.com | Arnhem | Klacht |
| Lotte Claes | lotte.claes@example.com | Gent | Levering |
| Ruben Jansen | ruben.jansen@example.com | Eindhoven | Terugbetaling |
Vraag Goedendag, mijn naam is Sanne Bakker. Ik heb bestelling 7012345678 twee weken geleden teruggestuurd, maar nog geen geld ontvangen. Wilt u het overmaken naar NL94 INGB 0006 2158 34? Groet, Sanne
| Klant | Plaats | Onderwerp | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Terugbetaling |
| [PERSON_2] | [EMAIL_2] | [STED] | Levering |
| [PERSON_3] | [EMAIL_3] | [STED] | Klacht |
| [PERSON_4] | [EMAIL_4] | [STED] | Levering |
| [PERSON_5] | [EMAIL_5] | [STED] | Terugbetaling |
Vraag Goedendag, mijn naam is [PERSON_1]. Ik heb bestelling [ID_1] twee weken geleden teruggestuurd, maar nog geen geld ontvangen. Wilt u het overmaken naar [IBAN_1]? Groet, [PERSON_1]
Sanne Bakker en Ruben Jansen wachten op een terugbetaling en moeten vandaag antwoord krijgen. Lotte Claes wacht al 10 dagen op een pakket. Voorstel voor een antwoord aan Sanne Bakker: "Beste Sanne Bakker, bedankt voor je geduld. Het geld is onderweg en staat binnen 5 werkdagen op je rekening."
[PERSON_1] en [PERSON_5] wachten op een terugbetaling en moeten vandaag antwoord krijgen. [PERSON_4] wacht al 10 dagen op een pakket. Voorstel voor een antwoord aan [PERSON_1]: "Beste [PERSON_1], bedankt voor je geduld. Het geld is onderweg en staat binnen 5 werkdagen op je rekening."
| Kandidaat | Geboren | BSN of rijksregisternummer | Werkgever | Ervaring |
|---|---|---|---|---|
| Femke Dekker | 1985-03-12 | 999912410 | Brabant Hout B.V. | 12 |
| Bram Willems | 1992-11-02 | 999912501 | IJssel Logistiek B.V. | 4 |
| Eline Maes | 1988-06-21 | 88.06.21-284.06 | Limburgse Metaalwerken NV | 9 |
| Joost Verhoeven | 1979-01-30 | 999913086 | Rijnfarma B.V. | 18 |
Cv Femke Dekker werkt al 12 jaar aan begrotingen en maandrapportages bij Brabant Hout B.V. Ze heeft een nieuw ERP-systeem ingevoerd en leidt een team van drie mensen. Contact: femke.dekker@example.com.
| Kandidaat | Geboren | BSN of rijksregisternummer | Werkgever | Ervaring |
|---|---|---|---|---|
| [PERSON_1] | 40–49 jaar | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 jaar | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 jaar | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 jaar | [ID_4] | [VIRKSOMHED_4] | 18 |
Cv [PERSON_1] werkt al 12 jaar aan begrotingen en maandrapportages bij [VIRKSOMHED_1] Ze heeft een nieuw ERP-systeem ingevoerd en leidt een team van drie mensen. Contact: [EMAIL_1].
Femke Dekker en Eline Maes hebben meer dan 5 jaar ervaring en kunnen worden uitgenodigd voor een gesprek; vraag Eline Maes naar ervaring met ERP-systemen. Bram Willems heeft 4 jaar ervaring; gevraagd is 5. Het besluit neemt een mens.
[PERSON_1] en [PERSON_3] hebben meer dan 5 jaar ervaring en kunnen worden uitgenodigd voor een gesprek; vraag [PERSON_3] naar ervaring met ERP-systemen. [PERSON_2] heeft 4 jaar ervaring; gevraagd is 5. Het besluit neemt een mens.
| Leverancier | Contactpersoon | Rekening | Loopt af |
|---|---|---|---|
| Veluwe Componenten B.V. | Pieter Bos | NL17 RABO 0347 2918 56 | 2027-01-31 |
| Schelde Cloud NV | Sophie Wouters | BE73 7350 1234 5660 | 2026-12-31 |
| Maas Precisietechniek B.V. | Simon Brouwer | NL29 ABNA 0529 3847 16 | 2028-06-30 |
| Twentse Verpakking B.V. | Sandra Meijer | NL70 TRIO 0391 8274 65 | 2027-03-31 |
Voorwaarden Veluwe Componenten levert speciale onderdelen voor Project Duinroos. De prijs wordt elk jaar aangepast met de consumentenprijsindex plus 3 %. De aansprakelijkheid is beperkt tot 10 % van de jaarlijkse contractwaarde. Neem bij wijzigingen contact op met Pieter Bos.
| Leverancier | Contactpersoon | Rekening | Loopt af |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Voorwaarden [VIRKSOMHED_1] levert speciale onderdelen voor [PROJEKT_1]. De prijs wordt elk jaar aangepast met de consumentenprijsindex plus 3 %. De aansprakelijkheid is beperkt tot 10 % van de jaarlijkse contractwaarde. Neem bij wijzigingen contact op met [PERSON_1].
Het contract met Veluwe Componenten B.V. wordt automatisch verlengd als het niet uiterlijk 31 oktober wordt opgezegd. Het is belangrijk voor een intern project, dus onderhandel liever opnieuw over de prijs dan op te zeggen. Het contract met Twentse Verpakking B.V. wordt ook automatisch verlengd; de uiterste opzegdatum is 31 december.
Het contract met [VIRKSOMHED_1] wordt automatisch verlengd als het niet uiterlijk 31 oktober wordt opgezegd. Het is belangrijk voor een intern project, dus onderhandel liever opnieuw over de prijs dan op te zeggen. Het contract met [VIRKSOMHED_4] wordt ook automatisch verlengd; de uiterste opzegdatum is 31 december.
Fictieve gegevens. Wijs een naam of een pseudoniem aan om te zien wat bij elkaar hoort.
Ook geslacht is zelden relevant voor de taak en mag een beoordeling niet kunnen beïnvloeden. Bij teksten in het Engels en de Scandinavische talen vervangt GoalCube daarom ook "zij" en "hij" door een neutrale vorm.
Probeer het zelf
Typ of plak een tekst. Voeg je eigen geheime woorden toe – bijvoorbeeld een projectnaam of een belangrijke klant – en zie wat de AI zou krijgen.
Wat pseudonimisering niet oplost
Pseudonimisering is een sterk hulpmiddel, maar het lost niet alles op:
- Voor jou blijven het persoonsgegevens. Je hebt nog steeds een grondslag, afspraken en een bewaar- en verwijderbeleid nodig.
- Vrije tekst kan iemand verraden. "Onze enige vrouwelijke ingenieur in Zwolle" is ook zonder naam herkenbaar. GoalCube toont daarom voor elke regel een herkenningsrisico.
- De AI kan zich nog steeds vergissen. Besluiten over mensen neemt een mens – zie het artikel over menselijke tussenkomst volgens artikel 22 AVG.
Zo pakken jullie het aan
- Schrijf het gebruik op.Waarmee moet de AI helpen, en welke gegevens heeft die daarvoor nodig? Dat is de eerste stap voor zowel de AVG als de AI Act.
- Check de grondslag en het doel.Je hebt een grondslag nodig om de gegevens te verwerken, en het nieuwe doel moet passen bij het doel waarvoor ze zijn verzameld.
- Check de AI-leverancier.Heb je een verwerkersovereenkomst? Gebruikt de leverancier je gegevens om zijn modellen te trainen? Waar worden de gegevens verwerkt?
- Haal weg wat de AI niet nodig heeft.Namen, e-mailadressen, identificatienummers, rekeningnummers en adressen zijn zelden nodig voor de taak. Vervang ze door pseudoniemen voordat de gegevens worden verstuurd.
- Houd de sleutel in de EU.Laat de echte namen alleen bij jezelf zien, bijvoorbeeld als het antwoord van de AI terugkomt.
- Overweeg een DPIA.Beoordeelt de AI bijvoorbeeld sollicitanten of medewerkers systematisch, dan kan een gegevensbeschermingseffectbeoordeling (DPIA) verplicht zijn.
Dit zegt de wet
- Artikel 5 AVG – de beginselen
- Onder meer doelbinding en minimale gegevensverwerking: gebruik alleen de gegevens die nodig zijn voor het doel.
- Artikel 4, punt 5, en overweging 26 AVG – pseudonimisering
- Gegevens die zonder een apart bewaarde sleutel niet meer aan een persoon te koppelen zijn. Wie de sleutel heeft, verwerkt nog steeds persoonsgegevens.
- Artikel 25 en 32 AVG – gegevensbescherming door ontwerp en beveiliging
- Pseudonimisering wordt uitdrukkelijk genoemd als maatregel die de betrokkenen kan beschermen.
- Artikel 28 AVG – verwerkers
- Verwerkt een leverancier persoonsgegevens voor jou, dan is een verwerkersovereenkomst nodig.
- Artikel 35 AVG – gegevensbeschermingseffectbeoordeling
- Verplicht als een verwerking waarschijnlijk een hoog risico inhoudt, bijvoorbeeld bij systematische beoordeling van personen.
- Artikel 44 AVG – doorgifte buiten de EU
- Persoonsgegevens mogen alleen op een bijzondere grondslag naar landen buiten de EU/EER, bijvoorbeeld een adequaatheidsbesluit of standaardcontractbepalingen.
Vragen en antwoorden
Zijn gepseudonimiseerde gegevens anoniem?
Nee. Zolang iemand – bijvoorbeeld jijzelf – de sleutel heeft om de echte namen terug te vinden, blijven het persoonsgegevens volgens de AVG. Pseudonimisering verkleint het risico, maar ontslaat je niet van de regels.
Mogen we een cv direct in ChatGPT plakken?
Dat kan rechtmatig zijn met een grondslag en een afspraak met de leverancier, maar een cv bevat veel wat de AI niet nodig heeft: naam, adres, leeftijd en vaak geslacht. Juist die gegevens kunnen een beoordeling beïnvloeden. Haal ze eerst weg of vervang ze door pseudoniemen.
Traint de AI op onze gegevens?
Dat hangt af van de dienst en je contract. Veel zakelijke versies gebruiken klantgegevens standaard niet voor training, maar check het voor je eigen contract en instellingen.
En als de leverancier buiten de EU zit?
Dan heeft de doorgifte een bijzondere grondslag nodig. Met pseudonimisering in de EU verlaten de echte namen de EU helemaal niet – de AI krijgt alleen pseudoniemen.
Geldt dit ook voor vertrouwelijke bedrijfsgegevens?
De AVG gaat alleen over persoonsgegevens, maar dezelfde methode beschermt ook klantnamen, contracten, prijzen en interne projectnamen. In GoalCube kun je je eigen geheime woorden invoeren, die altijd worden verborgen.
Bronnen
- Verordening (EU) 2016/679 (AVG) op EUR-Lex
- Autoriteit Persoonsgegevens (AP)
- Gegevensbeschermingsautoriteit (GBA)
Geschreven door de redactie van GoalCube. Laatst bijgewerkt 11 oktober 2026. GoalCube helpt jullie de AI Act en de AVG te volgen. Het is geen juridisch advies.
Wees er als eerste bij.
We verwachten in november 2026 live te gaan. Meld je aan, dan hoor je van ons zodra jullie aan de slag kunnen.