AI en privacy in Nederland: welke diensten zijn AVG-proof?

"Is deze AI AVG-proof" is een begrijpelijke vraag met een ongemakkelijk antwoord: geen enkele dienst is dat uit zichzelf. Wat een dienst wel of niet geschikt maakt, hangt net zo goed af van wat jij erin plakt en welke afspraken je met de aanbieder hebt gemaakt. Een chat over je vakantieplanning en een chat over een personeelsdossier zijn bij dezelfde aanbieder twee totaal verschillende situaties.

Wat je wél per aanbieder kunt vergelijken, zijn drie concrete dingen: waar je gesprekken worden verwerkt, of ze standaard voor training worden gebruikt, en of er een verwerkersovereenkomst is die je kunt opvragen. Dat is waar dit artikel over gaat. We houden ons daarbij aan wat vaststaat en vullen de gaten niet op met aannames.

Dit is geen juridisch advies. Gaat het om gegevens van klanten, patiënten of medewerkers, dan is de verwerkersovereenkomst van de aanbieder zelf altijd leidend.

Wat je eigenlijk vraagt met "is dit AVG-proof"

Achter die ene vraag zitten er meestal vier.

Waar staat de server? Dat bepaalt of gegevens de EU verlaten en welke afspraken daarvoor nodig zijn.

Wie kan het lezen? Naast de aanbieder zelf gaat het om de vraag of gesprekken worden gebruikt om modellen te trainen en hoe lang ze bewaard blijven.

Wat heb ik zelf afgesproken? Voor zakelijk gebruik is dat de verwerkersovereenkomst, en die is er lang niet bij elk consumentenabonnement.

En vooral: wat zet ik er eigenlijk in? Dat is de vraag waar je zelf het meeste invloed op hebt, en de goedkoopste manier om je risico te verkleinen.

Waar wordt je gesprek verwerkt

Hieronder staat alleen wat vaststaat. Waar we geen bevestigde informatie over verwerkingsregio hebben, staat dat er ook zo, in plaats van een gok.

De belangrijkste regel bij deze tabel: de kolom "niet vastgesteld" betekent niet "onveilig". Het betekent dat wij er geen bevestigde informatie over hebben en dat jij het moet nakijken voordat je er iets gevoeligs in zet.

Voor wie hierin de kortste weg zoekt: Mistral is de enige grote consumentenchat waarbij Europese verwerking simpelweg het uitgangspunt is. Dat is ook precies de reden waarom die naam steeds terugkomt in het gesprek over de verschuiving naar Europese aanbieders.

Wie kan er meelezen: training en bewaartermijnen

Trainingsinstellingen zijn het punt waar de meeste gebruikers iets kunnen winnen zonder van dienst te wisselen, en ook het punt waar de aanbieders het meest van elkaar verschillen.

Bij Claude staat training standaard uit op betaalde consumentenplannen. Dat is de gunstigste uitgangspositie van de grote Amerikaanse aanbieders: je hoeft niets te doen om erbuiten te blijven. Zet je het wél aan, dan verlengt dat bovendien de bewaartermijn van je gesprekken, dus het is geen neutrale schakelaar.

Bij ChatGPT en Gemini ligt de verantwoordelijkheid bij jou: je moet training zelf uitzetten. Dat is een instelling van dertig seconden, maar wel eentje die de meeste mensen nooit aanraken.

Bij Le Chat Pro zit daarnaast een geen-telemetriemodus, wat verder gaat dan alleen training: het beperkt wat er überhaupt aan gebruiksgegevens wordt verstuurd.

Wat een verwerkersovereenkomst is en wanneer je er een nodig hebt

Een verwerkersovereenkomst, in het Engels een data processing agreement of DPA, is de schriftelijke afspraak tussen jou en een dienst over hoe die dienst gegevens namens jou verwerkt. Daarin staat waarvoor de gegevens gebruikt mogen worden, hoe lang ze bewaard blijven, welke waarborgen er zijn en wat er gebeurt als je stopt.

Voor privégebruik heb je hier niets mee te maken. Zodra je AI inzet voor werk waarbij gegevens van anderen langskomen — klanten, patiënten, leerlingen, sollicitanten, medewerkers — wordt het relevant, en is het gebruikelijk dat je zo'n overeenkomst afsluit met elke dienst die je in die keten gebruikt.

Praktisch komt het hierop neer. Vraag de overeenkomst op bij de aanbieder voordat je begint, niet nadat je drie maanden bezig bent. Lees specifiek de passages over bewaartermijnen, over gebruik voor training en over subverwerkers. En bewaar het document ergens waar je het terugvindt, want je hebt het nodig zodra iemand ernaar vraagt.

Let ook op het verschil tussen een consumentenabonnement en een zakelijk abonnement. Zakelijke plannen bestaan grotendeels omdat er andere afspraken achter zitten: ChatGPT Business kost $20 per gebruiker, Claude Team $20 per gebruiker bij minimaal vijf gebruikers op jaarbasis, en Microsoft 365 Copilot Business ongeveer €19 per gebruiker. Wat dat voor een klein bedrijf betekent, staat in AI voor zzp'ers en kleine bedrijven.

Praktisch advies per situatie

Een paar toelichtingen. Als je privé werkt en er komen geen gegevens van anderen in je prompts, is dit vooral een kwestie van je trainingsinstelling nalopen en verder gewoon kiezen op kwaliteit en prijs. Claude is dan een prettige keuze omdat het op betaalde plannen standaard goed staat, en omdat het het beste Nederlands schrijft van alle diensten. Wat Claude verder onderscheidt, lees je in Claude AI uitgelegd.

Werk je met klantgegevens, dan is de volgorde omgekeerd: eerst bepalen wat mag, dan pas kijken welk model het prettigst werkt. Le Chat Pro is met €15,76 dan de goedkoopste route naar Europese verwerking.

Wat een bundelabonnement hier wel en niet oplost

Eén ding willen we niet mooier maken dan het is. Een abonnement dat meerdere modellen bundelt, zoals dat van ons, verandert niets aan de plek waar het onderliggende model draait. Vraag je iets aan een model van een Amerikaanse aanbieder, dan wordt dat daar verwerkt, ongeacht via welke interface je het doet.

Wat een bundel wel oplost, is het praktische deel: je kunt per taak het model kiezen dat erbij past, in plaats van vast te zitten aan de aanbieder waar je toevallig een abonnement hebt. Voor gevoelig werk kies je dan bewust een ander model dan voor de rest. En je krijgt één factuur in euro's inclusief btw, wat het administratief eenvoudiger maakt dan drie losse abonnementen in dollars. De kostenkant daarvan staat in onze vergelijking van AI-abonnementen.

Conclusie