Verwerkersovereenkomst met je AI-leverancier: wat moet je controleren?
Kort antwoord
Verwerkt een AI-dienst persoonsgegevens voor je, dan is die dienst verwerker en heb je een verwerkersovereenkomst nodig volgens artikel 28 AVG. De grote diensten hebben standaardovereenkomsten in hun zakelijke abonnementen. Controleer vooral: dat gegevens alleen volgens jouw instructies worden verwerkt (geen training), waar de gegevens worden verwerkt en op welke grondslag ze worden doorgegeven, subverwerkers, verwijdering en beveiliging. Gratis en privé-abonnementen hebben meestal geen overeenkomst.
Zo staan de grote diensten ervoor
| Dienst | Abonnementen | Traint op jullie data? | Data in de EU? | Verwerkersovereenkomst? | Eigen connectors? |
|---|---|---|---|---|---|
| ChatGPT OpenAI, VS | Business (voorheen Team) en Enterprise | Nee. Bedrijfsdata worden standaard niet gebruikt voor training. | Alleen Enterprise: nieuwe workspaces kunnen data in de EU laten opslaan en verwerken. Niet Business. | Ja. De verwerkersovereenkomst maakt deel uit van de overeenkomst (OpenAI Ireland voor EU-klanten). | Ja. Eigen connectors via de ontwikkelaarsmodus; een beheerder zet dat aan. |
| Claude Anthropic, VS | Team en Enterprise | Nee. Data worden niet gebruikt voor training, tenzij het bedrijf daar zelf ja op zegt. | Nee. Data worden in de VS opgeslagen; er is geen EU-opslag te kiezen. | Ja. De verwerkersovereenkomst is automatisch onderdeel van de commerciële voorwaarden. | Ja. Een eigenaar voegt eigen connectors toe voor de hele organisatie. |
| Microsoft 365 Copilot Microsoft, VS | Add-on voor Microsoft 365 voor bedrijven | Nee. Prompts, antwoorden en bedrijfsdata worden niet gebruikt voor training. | Ja, binnen de EU Data Boundary. Maar bij nieuwe EU-klanten kunnen verzoeken bij piekbelasting buiten de EU worden verwerkt (flex routing); dat is uit te zetten. | Ja. Valt onder de productvoorwaarden en de verwerkersovereenkomst van Microsoft. | Ja, via agents in Copilot Studio. Licentie-eisen niet bevestigd. |
| Vibe (tidl. Le Chat) Mistral AI, Frankrijk | Pro, Team en Enterprise | Pro en Team: standaard ja; een beheerder moet het uitzetten. Enterprise: nee. | Servers in de EU (Zweden). Sommige functies kunnen data buiten de EU sturen; alleen Enterprise kan dat uitzetten. | Ja. Of die ook Pro en Team dekt, is niet bevestigd. | Ja. Een beheerder kan eigen connectors toevoegen. |
| Gemini i Google Workspace Google, VS | Workspace Business en Enterprise | Nee. Workspace-data en prompts worden zonder toestemming niet gebruikt voor training. | Opslag en verwerking in de EU alleen met Enterprise Plus of de add-on Data Regions. Business: alleen opslag. | Ja. Een beheerder moet die accepteren in de Admin-console, als die nog niet in de overeenkomst zit. | Niet bevestigd voor Gemini in Workspace. |
Gecontroleerd 9 oktober 2026. Gratis en persoonlijke abonnementen (ChatGPT Free/Plus, Claude Free/Pro, de Gemini-app, Vibe Free) hebben geen verwerkersovereenkomst en kunnen op data trainen. Ze zijn niet geschikt voor persoonsgegevens van het bedrijf.
De valkuil: AI-functies in andere tools
Veel tools hebben inmiddels AI-functies – CRM, boekhouding, e-mail. Controleer of de overeenkomst ook de AI-functie dekt en of die gegevens doorstuurt naar een subverwerker als OpenAI of Anthropic.
Zo pakken jullie het aan
- Instructies.Gegevens mogen alleen worden gebruikt om de dienst aan jou te leveren – niet voor training.
- Locatie en doorgifte.Waar worden de gegevens verwerkt, en op welke grondslag?
- Subverwerkers.Wie zijn het, en hoe hoor je over wijzigingen?
- Verwijderen en bewaren.Hoe lang worden prompts en antwoorden bewaard?
- Beveiliging en datalekken.Welke maatregelen zijn er, en hoe snel hoor je van een datalek?
Dit zegt de wet
- Artikel 28 AVG – verwerkers
- Lid 3 somt op wat de overeenkomst moet bevatten.
- Standaardcontractbepalingen van de Commissie (2021/915) – artikel 28
- Standaardbepalingen die je als verwerkersovereenkomst kunt gebruiken.
Vragen en antwoorden
Heeft ChatGPT een verwerkersovereenkomst?
Ja, bij Business en Enterprise. Voor klanten in de EU wordt die gesloten met OpenAI Ireland.
Moeten we bij Anthropic iets ondertekenen?
De verwerkersovereenkomst is automatisch onderdeel van de commerciële voorwaarden van Anthropic.
Is GoalCube verwerker?
Ja. GoalCube verwerkt persoonsgegevens voor je in de EU en sluit een verwerkersovereenkomst met je. De AI-dienst krijgt alleen pseudoniemen.
Bronnen
- Verordening (EU) 2016/679 (AVG) op EUR-Lex
- Uitvoeringsbesluit (EU) 2021/915 (standaardcontractbepalingen volgens artikel 28 AVG) op EUR-Lex
- Autoriteit Persoonsgegevens (Nederland)
- Gegevensbeschermingsautoriteit (België)
Geschreven door de redactie van GoalCube. Laatst bijgewerkt 11 oktober 2026. GoalCube helpt jullie de AI Act en de AVG te volgen. Het is geen juridisch advies.
Wees er als eerste bij.
We verwachten in november 2026 live te gaan. Meld je aan, dan hoor je van ons zodra jullie aan de slag kunnen.