Naar de inhoud
Menu
NL

Een medewerker heeft persoonsgegevens in ChatGPT gezet. Wat nu?

AVG en AILaatst bijgewerkt 2 min. lezen

Kort antwoord

Blijf kalm en handel snel. Zoek uit welke gegevens zijn verstuurd, naar welke dienst en met welk abonnement. Verwijder het gesprek en zet training uit. Beoordeel of het een inbreuk in verband met persoonsgegevens is (een datalek): brengt het waarschijnlijk een risico voor de betrokkenen mee, dan meld je het binnen 72 uur bij de toezichthouder – in Nederland de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit. Is het risico hoog, dan moeten ook de betrokkenen het horen. Leg het incident altijd vast – ook als je het niet hoeft te melden – en leer ervan.

Wat telt mee in de beoordeling?

Vergroot het risico Verkleint het risico
Gevoelige gegevens, BSN of rijksregisternummer, rekeningnummers Alleen namen en zakelijke e-mailadressen
Veel personen Weinig personen
Gratis abonnement met training Zakelijk abonnement zonder training en met overeenkomst
Gegevens zijn niet te verwijderen Het gesprek is verwijderd

Voorkom het liever

Met GoalCube kunnen medewerkers AI op echte gegevens gebruiken, omdat de AI alleen codes ziet. En komt er toch een naam in het antwoord van de AI terecht, dan merkt de lekcontrole van GoalCube dat op.

Zo pakken jullie het aan

  1. Stop verder delen.Vraag de medewerker te stoppen en een screenshot te bewaren.
  2. Bepaal de omvang.Welke gegevens, hoeveel personen, welke dienst en welk abonnement.
  3. Beperk de schade.Verwijder het gesprek, zet training uit en neem zo mogelijk contact op met de leverancier.
  4. Beoordeel het risico.Gevoelige gegevens, identificatienummers of veel personen vergroten het risico.
  5. Meld het als er risico is.Bij de AP (Nederland) of de GBA (België), binnen 72 uur nadat je het datalek hebt ontdekt.
  6. Leg vast en leer.Elk datalek moet intern worden vastgelegd. Werk je beleid en je training bij.

Dit zegt de wet

Artikel 33 AVG – melding aan de toezichthoudende autoriteit
Binnen 72 uur, tenzij het datalek waarschijnlijk geen risico meebrengt.
Artikel 34 AVG – mededeling aan de betrokkene
Bij een hoog risico voor de rechten van de betrokkenen.

Vragen en antwoorden

Is het altijd een datalek?

Niet altijd. Gingen de gegevens naar een zakelijk abonnement met verwerkersovereenkomst, dan is het misschien eerder een fout in het doel dan een datalek. Beoordeel het per geval.

Hoe voorkomen we het de volgende keer?

Een goed alternatief: een goedgekeurde tool waarin de AI alleen pseudoniemen ziet, zodat het niet uitmaakt dat de medewerker echte gegevens gebruikt.

Bronnen

Geschreven door de redactie van GoalCube. Laatst bijgewerkt 11 oktober 2026. GoalCube helpt jullie de AI Act en de AVG te volgen. Het is geen juridisch advies.

Wees er als eerste bij.

We verwachten in november 2026 live te gaan. Meld je aan, dan hoor je van ons zodra jullie aan de slag kunnen.

Lees ook