Kort gezegd: is het veilig om ChatGPT met bedrijfsgegevens te gebruiken?
Dat hangt af van drie dingen: welk account of abonnement wordt gebruikt, wat de voorwaarden van dat abonnement zeggen over gegevensgebruik en welke informatie mensen invoeren. Dezelfde tool kan binnen een goedgekeurd zakelijk abonnement aanvaardbaar zijn voor een concept op basis van openbare feiten, maar binnen een persoonlijk account onaanvaardbaar zijn voor een klantcontract.
Het Britse nationale centrum voor cyberbeveiliging benoemde het onderliggende punt in maart 2023: een vraag is zichtbaar voor de organisatie die het model aanbiedt. Het adviseerde om geen gevoelige informatie op te nemen in vragen aan openbare modellen. De voorwaarden van aanbieders zijn sindsdien veranderd, maar het principe dat u moet weten waar de gegevens naartoe gaan, blijft gelden. Deze pagina biedt algemene informatie, geen juridisch advies.
Kies het abonnement
Bepaal welk accounttype is goedgekeurd voor werk. Persoonlijke accounts worden vaak over het hoofd gezien.
Lees de voorwaarden
Controleer op de eigen pagina's van de leverancier het gebruik voor modeltraining, de bewaartermijnen, de beheermogelijkheden en waar gegevens worden verwerkt.
Classificeer informatie
Spreek met eenvoudige voorbeelden af welke informatie openbaar, intern, vertrouwelijk of persoonlijk is.
Stel de regel vast
Maak een korte lijst van wat nooit mag worden ingevoerd, ongeacht het abonnement.
Trainen en controleren
Oefen met fictieve gegevens en toets het daadwerkelijke gebruik aan de regel.
Maakt het type abonnement verschil voor wat er met uw gegevens gebeurt?
Ja, aanbieders publiceren doorgaans verschillende voorwaarden voor gegevensgebruik voor consumenten- en zakelijke producten. Controleer daarom het exacte abonnement dat u gebruikt. Het privacycentrum van Anthropic, gedateerd 18 August 2026, vermeldt dat invoer en uitvoer van zijn zakelijke producten standaard niet worden gebruikt om zijn modellen te trainen, en verwijst voor consumentenabonnementen naar een apart artikel. Het privacycentrum voor Workspace van Google vermeldt dat Workspace geen klantgegevens gebruikt om modellen te trainen zonder voorafgaande toestemming of instructie van de klant.
In de API-documentatie van OpenAI staat dat gegevens die naar de API worden gestuurd niet worden gebruikt om de modellen te trainen of te verbeteren, tenzij u daar expliciet toestemming voor geeft. Logbestanden voor misbruikcontrole worden standaard maximaal 30 dagen bewaard. Toen we dit op 16 October 2026 controleerden, konden we de privacypagina's van OpenAI voor zakelijke en particuliere ChatGPT-gebruikers niet openen. Lees die daarom zelf voor het ChatGPT-abonnement dat uw team gebruikt, in plaats van op een samenvatting hier te vertrouwen.
Wat mogen medewerkers nooit in ChatGPT plakken?
Sommige informatie hoort niet thuis in een algemene AI-tool, tenzij er een specifiek, goedgekeurd proces voor bestaat. Een goed uitgangspunt voor trainingen bij de meeste kleine teams is een korte lijst met informatie die nooit mag worden ingevoerd, met een verantwoordelijke die twijfelgevallen beoordeelt.
Wachtwoorden en sleutels
Inloggegevens, API-sleutels, toegangscodes en beveiligingsgegevens.
Bijzondere persoonsgegevens
Gezondheidsgegevens, biometrische gegevens en vergelijkbare gevoelige gegevens over personen.
Vertrouwelijk klantmateriaal
Alles waarvoor een contract of geheimhoudingsovereenkomst beperkingen oplegt, tenzij de klant toestemming heeft gegeven.
Niet-gepubliceerde financiële gegevens
Resultaten, transactievoorwaarden of prijzen die nog niet openbaar zijn.
Personeelszaken
Gegevens over disciplinaire maatregelen, klachten of het functioneren van met naam genoemde medewerkers.
Wilt u zien hoe dit aansluit op een functie?
Bekijk de geplande proefperiode voor teams ↗Hoe ziet een veiligere prompt eruit?
Bij Copperfield Consulting, een fictief bedrijf met 20 medewerkers, wil een adviseur hulp bij het samenvatten van een klantinterview. In de riskante variant plakt de adviseur de volledige transcriptie in een persoonlijk account, inclusief de naam van de klant, een klacht van een bij naam genoemde medewerker en nog niet gepubliceerde omzetcijfers.
De veiligere versie gebruikt het door het bedrijf goedgekeurde zakelijke abonnement, verwijdert namen en cijfers en vraagt: "Vat de belangrijkste thema's uit deze geanonimiseerde notities samen in vijf opsommingstekens. Leid niets af wat niet expliciet is vermeld." De adviseur controleert vervolgens elk punt aan de hand van de notities. Het bedrijfsbeleid vermeldt welk abonnement is goedgekeurd en dat voor het gebruik van klantgegevens toestemming van de opdrachtverantwoordelijke nodig is.
Hoe zit het met persoonsgegevens en de privacywetgeving?
Als medewerkers persoonsgegevens invoeren, gelden uw verplichtingen voor gegevensbescherming zoals gebruikelijk; AI neemt die niet weg. Het profiel voor generatieve AI van NIST noemt gegevensprivacy, waaronder het lekken en ongeoorloofd openbaar maken van persoonlijke of gevoelige gegevens, als risico van generatieve AI. In het Verenigd Koninkrijk publiceert de ICO richtlijnen over AI en gegevensbescherming; op de overzichtspagina, gedateerd 15 maart 2023, staat dat deze worden herzien naar aanleiding van de wet inzake gegevensgebruik en -toegang. Win advies in bij alles wat een hoog risico oplevert.
Waar past Tosheo.ai?
Tosheo.ai wordt ontwikkeld om mensen in praktische lessen te leren welke informatie ze wel en niet mogen gebruiken. Met fictief of goedgekeurd materiaal oefenen ze die afweging voordat ze die met echte gegevens moeten maken. De geplande toezeggingen voor het product zijn dat klantdocumenten per bedrijf gescheiden blijven, worden verwijderd bij het sluiten van het account en nooit voor training worden gebruikt. Dit zijn toezeggingen voor een product dat nog niet gebouwd is, geen onafhankelijk gecontroleerde beheersmaatregelen.
Wanneer is Tosheo.ai niet de oplossing?
Training kiest geen AI-abonnement voor u, onderhandelt niet over een verwerkersovereenkomst en voert geen risicobeoordeling uit. Hebt u een beveiligingsonderzoek, een gegevensbeschermingseffectbeoordeling of contractvoorwaarden nodig? Werk dan samen met uw verantwoordelijke voor IT, juridische zaken of gegevensbescherming. Tosheo.ai biedt bij de lancering geen eenmalige aanmelding (SSO) of bedrijfscontracten aan.
Bronnen en reikwijdte
Britse NCSC, ChatGPT en grote taalmodellen: wat zijn de risico's?, 14 maart 2023 ↗
OpenAI API-documentatie, uw gegevens, gecontroleerd op 16 October 2026 ↗
NIST AI 600-1, Profiel voor generatieve AI, juli 2024 ↗
ICO, Richtlijnen over AI en gegevensbescherming, 15 maart 2023, worden herzien ↗