Je medewerkers gebruiken ChatGPT, Claude of Gemini – waarschijnlijk al maanden. Ze plakken klantdata in prompts, kopiëren interne documenten voor samenvatten, of uploaden contracten om juridische vragen te stellen. Het voelt efficient en modern.
Maar wat er echt gebeurt, is dat al die data naar Amerikaanse servers gaat, mogelijk gebruikt wordt voor model training, en onder de Schrems II-problematiek valt waarbij Amerikaanse inlichtingendiensten theoretisch toegang kunnen hebben.
De GDPR vereist dat je een rechtmatige grondslag hebt voor elke verwerking, dat je een verwerkersovereenkomst afsluit met je leveranciers, en dat je data niet zomaar naar de VS stuurt zonder extra waarborgen. De meeste bedrijven hebben geen AI-gebruik policy, geen training gegeven aan medewerkers over wat wel en niet mag, en geen verwerkersovereenkomst met OpenAI, Anthropic of Google. En dan is er ook nog de AI Act die vanaf 2025 extra eisen stelt aan hoog-risico AI-systemen.
Dit is niet theoretisch: de Gegevensbeschermingsautoriteit heeft al signalen gegeven dat ze AI-gebruik gaat controleren. De vraag is niet óf dit een probleem wordt, maar wanneer. En als jij als DPO of directeur niet kunt aantonen dat je hier beleid over hebt, ben je persoonlijk aansprakelijk.
Je medewerker plakt klantdata in ChatGPT om een email te schrijven. Dat is verwerking van persoonlijke data. Heb je toestemming? Nee. Is het noodzakelijk voor contractuitvoering? Nee. Gerechtvaardigd belang? Twijfelachtig - je had ook zelf die email kunnen schrijven.
OpenAI, Anthropic, Google zijn je verwerkers als je hun tools gebruikt. GDPR Artikel 28 vereist een schriftelijke overeenkomst waarin staat wat ze met je data mogen doen. De gratis consumer versies hebben geen DPA (Data Processing Agreement). De betaalde versies wel, maar heeft jouw organisatie die afgesloten?
ChatGPT, Claude en Gemini worden gehost in de VS. Na het Schrems II-arrest van het Europese Hof moet je extra waarborgen treffen voor data transfers naar landen zonder adequate bescherming. Heb jij die Transfer Impact Assessment gedaan? Waarschijnlijk niet.
Bij de gratis consumer versies wordt je input gebruikt om de modellen te verbeteren. Dat betekent dat een klantgesprek die jij samengevat hebt, mogelijk deel wordt van het trainingsmateriaal. En dus potentieel door anderen "geleerd" kan worden door het model.
Een medewerker uploadt een concept fusiecontract in ChatGPT voor feedback. Die informatie is niet meer te controleren. Samsung heeft dit probleem gehad toen engineers chipdesigns en meeting notes uploadden.
Je verkoopteam gebruikt AI om offertes te maken. Je marketeer laat ChatGPT je unique positioning schrijven. Je developer vraagt Claude om proprietary code te debuggen. Al die bedrijfskritische informatie gaat naar externe partijen.
Als het uitkomt dat jij klantdata in Amerikaanse AI-tools gooit zonder beleid, hoe reageren je klanten dan? Vooral als je B2B werkt of in gevoelige sectoren (zorg, finance, legal).
De wetgeving rond AI is complex omdat je te maken hebt met twee kaders: de bestaande GDPR en de nieuwe AI Act. Hier is wat je moet weten om compliant te zijn.
Ten eerste: elke keer dat je persoonlijke data in een AI-tool stopt, ben je bezig met “verwerking” in de zin van de GDPR. Dat betekent dat je aan alle standaard eisen moet voldoen. Je hebt een rechtsgrondslag nodig – meestal gerechtvaardigd belang, maar dan moet je aantonen dat de verwerking noodzakelijk is en dat je privacy-impact hebt afgewogen. Je moet transparant zijn richting betrokkenen: In je privacy policy vermelden dat je AI gebruikt en hoe. En je moet een verwerkersovereenkomst hebben met je AI-leverancier die voldoet aan Artikel 28 eisen.
Ten tweede geldt de data minimalisatie principe. Je mag niet zomaar hele klantdatabases in AI-tools gooien “om te kijken wat eruit komt”. Je verzamelt en verwerkt alleen wat nodig is voor het specifieke doel. En als je gevoelige data hebt (gezondheid, strafrechtelijk, biometrisch), dan zijn de eisen nóg strenger.
Ten derde moet je data transfers buiten de EU goed regelen. Amerikaanse AI-bedrijven vallen onder Schrems II, wat betekent dat je een Transfer Impact Assessment moet doen waarin je beoordeelt of de waarborgen (meestal Standard Contractual Clauses) voldoende zijn. Voor veel organisaties is het eerlijkere antwoord: nee, ze zijn niet voldoende en dan moet je naar EU-alternatieven.
De AI Act maakt onderscheid tussen verschillende risico-niveaus. Verboden AI mag je niet gebruiken (social scoring, manipulatieve AI). Hoog-risico AI (bijvoorbeeld: CV-screening, kredietbeoordeling, medische diagnose) heeft zware eisen rond transparantie, menselijk toezicht en documentatie. Beperkt risico AI (zoals chatbots) vereist dat je transparant bent: gebruikers moeten weten dat ze met AI praten. En minimaal risico AI mag je vrij gebruiken, maar GDPR blijft natuurlijk wel gelden.
Wat betekent dit praktisch? Als je ChatGPT gebruikt voor customer service, moet je je klanten vertellen dat ze met AI communiceren. Als je AI gebruikt voor HR-beslissingen, val je onder hoog-risico en moet je veel meer documenteren. En ongeacht het risico-niveau moet je altijd checken of je GDPR-compliant bent.
Ik help je niet door te zeggen “stop met AI” – dat is wereldvreemd. AI is te waardevol om te negeren. In plaats daarvan help ik je om het op de juiste manier te implementeren zodat je de voordelen haalt zonder de risico’s.
Mistral AI - Het Franse antwoord op ChatGPT
Mistral is gebouwd en gehost in Europa, voldoet aan GDPR, en heeft enterprise versies met volledige DPA's. De modellen zijn vergelijkbaar met GPT-4 voor veel taken. Ik help je met de setup, API-integratie in je bestaande workflows, en training van je team.
On-premise LLM's - Volledige controle
Met tools zoals Ollama kun je open-source modellen (Llama, Mistral, Gemma) draaien op je eigen servers. Nul data lekkage, volledige controle, maar wel technische kennis nodig. Ik setup de infrastructuur, configureer de modellen voor jouw use cases, en train je team in het gebruik.
Azure OpenAI vs. Consumer OpenAI
Er is een verschil tussen ChatGPT gratis en OpenAI via Azure. Azure heeft EU-hosting opties, volledige DPA's, en garantie dat je data niet voor training wordt gebruikt. Ik help je de business case maken en migreren naar de compliant versie.
In plaats van je medewerkers ChatGPT te laten gebruiken voor klantvragen, bouw ik een eigen chatbot die:
Je medewerkers willen AI gebruiken om snel informatie te vinden in jullie interne documenten. Ik bouw een RAG-systeem (Retrieval Augmented Generation) waarbij:
Een heldere policy die iedereen begrijpt:
Je team moet snappen waarom het belangrijk is. Ik geef praktische trainingen:
Als je toch Amerikaanse tools wil gebruiken (enterprise versies), zorg ik dat je verwerkersovereenkomsten op orde zijn. Ik review de contracten, onderhandel indien nodig, en zorg dat je Transfer Impact Assessment gedocumenteerd is.
Voor organisaties die met AI aan de slag willen op een privacygerichte manier
Voor organisaties waar data verwerking een core onderdeel is van je business.
Voor grote organisaties waar repetitief werk vereenvoudigd kan worden met AI.
Vraag gerust een voorstel op maat
Voor organisaties die structureel AI inzetten:
Er zijn drie redenen waarom dit jaar hét moment is om dit goed te regelen – wacht niet tot de GBA aanbelt of tot je eerste datalek.
De wetgeving is er en de handhaving is gestart. Dat betekent dat toezichthouders zoals de GBA actief gaan controleren of organisaties compliant zijn met de nieuwe eisen. De eerste boetes zullen voorbeeldfunctie hebben – de EU wil laten zien dat ze het serieus neemt. Early adopters die hun zaken op orde hebben, onderscheiden zich positief. Late movers riskeren een voorbeeld te worden.
De markt is nog niet volwassen. De meeste bedrijven gebruiken AI wild west-style zonder beleid of controle. Als jij nu investeert in compliant AI-gebruik, kun je dit als USP inzetten: “Wij gebruiken AI zonder jouw data te verkopen aan Big Tech.” Dat is een krachtige boodschap voor privacy-bewuste klanten, vooral in B2B, zorg, finance, en legal sectors. Over twee jaar is dit standaard – nu kun je er nog voorloper in zijn.
Je kunt niet zeggen “we doen gewoon niet aan AI” en denken dat je het probleem oplost. Je concurrenten gebruiken het wel, je medewerkers gebruiken het stiekem toch (ook al verbied je het), en je loopt efficiency mis. De vraag is niet óf je AI gebruikt, maar hoe je het veilig doet. En hoe eerder je het goed regelt, hoe minder achterstand je oploopt. Investeer nu in de juiste infrastructuur en beleid, dan kun je experimenteren en innoveren zonder constant te hoeven remmen vanwege compliance zorgen.
De gratis versie van ChatGPT gebruikt je input voor model training en heeft geen verwerkersovereenkomst. Als je het voor werk gebruikt met klantdata of vertrouwelijke info, ben je in overtreding met de GDPR. De betaalde versies (ChatGPT Team, Enterprise) hebben wel DPA's en data isolatie, maar zijn nog steeds US-gehost wat Schrems II-vragen oproept.
Wat ik aanraad:
GDPR-boetes:
Tot €20 miljoen of 4% wereldwijde jaaromzet (zie ook DPO pagina). Als je AI gebruikt voor ongeoorloofde verwerking van persoonlijke data, val je hieronder.
AI Act-boetes:
De GBA kan ook waarschuwingen geven, audits verplichten, of het gebruik van bepaalde systemen verbieden. Imagoschade is vaak groter dan de boete zelf.
De AI Act heeft een specifieke lijst van hoog-risico toepassingen. Je valt eronder als je AI gebruikt voor:
HR & recruitment:
Toegang tot diensten:
Law enforcement:
Onderwijs:
Als je AI gebruikt voor één van bovenstaande, heb je uitgebreide documentatie-verplichtingen, menselijk toezicht, en impact assessments nodig. Ik help je bepalen of je hieronder valt en wat je moet doen.
Ja, maar je hebt wel technische capaciteit nodig.
Voordelen:
Uitdagingen:
Wat ik doe: Ik setup Ollama of vergelijkbare tools op je servers (on-premise of EU-hosted cloud), configureer de modellen voor jouw taken, en train je team. Daarna kun je het zelf draaien.
Mistral AI:
ChatGPT (OpenAI):
Mijn advies: Start met Mistral voor nieuwe projecten. Migreer bestaande ChatGPT-gebruik naar Mistral of Azure OpenAI (EU-regio's). De performance gap wordt kleiner elke maand.
Niet elke tool vereist een volledige DPIA, maar je moet wel altijd een basis privacy check doen.
DPIA verplicht bij:
Basis privacy check voldoende bij:
In de praktijk: Ik help je een flowchart maken: beantwoord 5 vragen en je weet of je een DPIA nodig hebt. Voor standaard tools (Gmail AI features, Grammarly, etc.) maak ik standaard assessments die je kunt hergebruiken.
Een policy alleen is niet genoeg: mensen moeten begrijpen waarom het belangrijk is en hoe ze het in de praktijk toepassen.
Mijn trainingsaanpak:
Deel 1: Waarom het belangrijk is (30 min)
Deel 2: Wat mag wel/niet (45 min)
Deel 3: Hands-on oefeningen (45 min)
Deel 4: Q&A (30 min)
01 — Privacy by↗Bouwen, vernieuwen tot beheren van jouw website volgens het privacy by design principe.
02 — Privacy by↗Veilige, robuuste hosting met preventie van datalekken of exploitatie van data.
03 — Privacy by↗Technische tracking tot ethische marketing met oog op data en privacy.
“De webshop die we voor ogen hadden is snel en vakkundig opgezet. Wij kunnen deze nu zelf beheren waardoor we uiteindelijk kosten besparen."
“Goede samenwerking, professioneel werk afgeleverd. De communicatie verliep eenvoudig waardoor je snel met elkaar kan schakelen.”
"Resultaatgericht, vlotte communicatie en betrouwbaar. Ze vragen feedback voor optimaal resultaat. Website werd snel afgeleverd."
"Revaio heeft ons goed geholpen met SEO & digital marketing. Het aantal backlinks is sterk gestegen wat onze Google rankings ten goede kwam. Verder heeft Revaio onze eerste digital marketing campagnes op Facebook & Google succesvol opgezet."
"Stijn is met Revaio onze held op gebied van online marketing. Hij onderhoud zelfstandig onze Facebook pagina, maakt doelgerichte advertenties en werkt aan de hand van duidelijke doelen."
"Heel prettig samengewerkt met Stijn. Snel in reactie en vlot in verbeteringen doorvoeren. Met een frisse nieuwe website als resultaat: vso-beoordeling.nl. Enorme aanrader!"
Laten we samenwerken!Stuur me een bericht met het antwoord op “Welke AI-tools gebruikt jouw team?” en ik stuur je binnen 24 uur een eerste risico-inschatting (gratis, geen verplichtingen).
Je krijgt meteen een bevestiging van letstalk@stijnbelmans.be.