Klantendatabase uploaden naar ChatGPT: wat is legaal

Beschouw deze tekst als praktijkaantekeningen die gratis worden gedeeld: we laten zien hoe het er meestal aan toegaat, niet hoe het er bij u uit moet zien. U zit in een kantoor met 50 personen. Een verkoper kijkt op van zijn laptop en vertelt dat hij al een maand delen van het klantenbestand in ChatGPT plakt om sneller offertes op te stellen. Het werkt, het bespaart hem 2 uur per dag. De vraag luidt: is dit eigenlijk legaal? Voor een bedrijf dat verwerkingsverantwoordelijke is, hangt het antwoord van één ding af: welk account deze verkoper heeft en of het bedrijf een verwerkersovereenkomst met de leverancier heeft getekend. De meeste mkb-bedrijven gebruiken gratis privéaccounts, en dat is het slechtst mogelijke scenario.

AIAfbeelding gegenereerd door AI.

Het verschil is niet louter cosmetisch. In de abonnementen Free en Plus treedt OpenAI op als verwerkingsverantwoordelijke. Er is geen verwerkersovereenkomst en de invoer kan worden gebruikt om modellen te trainen. In de abonnementen Team, Enterprise en API fungeert OpenAI als verwerker, tekent het een Data Processing Addendum en kan training op klantgegevens worden uitgeschakeld. Dit is de eerste beslissing waarvan de rest afhangt. De juridische grondslag is meestal art. 6 lid 1 sub b of f AVG, en voor bijzondere categorieën van gegevens art. 9. De doorgifte naar de VS na het besluit van de Commissie van 10 juli 2023 is gebaseerd op het Data Privacy Framework, mits de leverancier gecertificeerd is.

Wat er deze week al mogelijk is

Stap 1: controleer op welke accounts medewerkers werken. Tijd: 30 minuten, uitgevoerd door eigenaar of IT. Vraag simpelweg op de afdeling verkoop en marketing wie ChatGPT, Claude of Gemini gebruikt en of ze inloggen met een zakelijk of privé e-mailadres. Stap 2: stap over naar een zakelijk account. Tijd: 1 dag, uitgevoerd door de beheerder. Voor 50 personen bedragen de kosten ca. 15.000–30.000 PLN per jaar bij het Team-abonnement (25–30 USD per persoon per maand). Bij Team en Enterprise ondertekent u een DPA en schakelt u training uit in de instellingen. Stap 3: vul het verwerkingsregister aan. Tijd: 2 uur, uitgevoerd door de AVG-verantwoordelijke. De vermelding moet bevatten: naam van de activiteit (bijv. "Offertes opstellen met ChatGPT Team"), doel, juridische grondslag, categorieën van betrokkenen en gegevens, ontvanger (OpenAI Ireland Ltd als verwerker), doorgifte naar de VS op grond van art. 45 AVG i.v.m. DPF, bewaartermijn (voor API tot 30 dagen, voor Enterprise gedurende de contractduur) en beveiligingsmaatregelen. Stap 4: werk het privacybeleid bij en informeer medewerkers. Tijd: 2 uur, uitgevoerd door marketing of de jurist. Voeg één alinea toe over de nieuwe verwerker en herinner via één e-mail eraan dat alleen gegevens worden ingevoerd die strikt noodzakelijk zijn voor het antwoord.

Wat u niet direct moet doen

Koop niet direct een Enterprise-abonnement: voor 50 personen is dat meestal overbodig, Team volstaat en het prijsverschil is vaak het dubbele. Implementeer geen lokaal open-sourcemodel louter om de cloud te vermijden: dat is een project van maanden, terwijl het probleem binnen een week met een zakelijk account is opgelost. Schrijf geen nieuw privacybeleid vanaf nul: een addendum bij het bestaande volstaat meestal. Blokkeer de toegang van medewerkers tot AI niet volledig, want dan grijpen ze terug naar privéaccounts en verliest u het overzicht. En teken geen DPA zonder te controleren of de leverancier daadwerkelijk vermeld staat in de Data Privacy Framework-zoekbalk: het document zelf is niet voldoende als de certificering ontbreekt.

AIAfbeelding gegenereerd door AI.

Hoe u na twee weken controleert of het werkt

Eén indicator: het percentage medewerkers dat AI gebruikt via een bedrijfsaccount met uitgeschakelde modeltraining. De controle is eenvoudig: in het OpenAI-beheerderspaneel ziet u hoeveel personen inloggen met een zakelijk e-mailadres en hoeveel er nog privaccounts gebruiken. Werkt na twee weken meer dan 20% van de gebruikers nog steeds op gratis accounts? Dan heeft de training niet gewerkt. Ga opnieuw in gesprek of blokkeer de toegang tot gratis versies technisch. Onder de 20% is een acceptabel startpunt, de rest volgt de maand erna.

De kosten van deze week betreffen vooral tijd: in totaal ongeveer 6 werkuren verdeeld over vier personen. Zakelijke licenties kosten 15.000–30.000 PLN per jaar. Vergelijk dat met het risico: de boete voor het ontbreken van een rechtsgrond of verwerkersovereenkomst loopt op tot 20 miljoen EUR of 4% van de wereldwijde jaaromzet. In de praktijk krijgt een mkb-bedrijf zelden de maximale sanctie, maar een onderzoek van de privacytoezichthouder kan maanden duren. Wilt u dit niet zelf doen? HEXART implementeert deze configuraties voor klanten: van pakketselectie en DPA-ondertekening tot registerregistratie en teamtraining. Zonder ingrijpende verbouwing, binnen een week.