Wat typt u eigenlijk in ChatGPT?
De risico's van onveilig prompten
Uw medewerkers gebruiken ChatGPT, Claude en Copilot dagelijks. Soms plakken ze daar een klantcontract in, een stuk broncode, of een intern rapport. Meestal zonder erbij na te denken. Dat is het probleem.
Het is al misgegaan
In oktober 2025 ontdekte de gemeente Eindhoven dat medewerkers maandenlang bestanden met persoonsgegevens van inwoners hadden geüpload naar publieke AI-tools als ChatGPT. Het datalek werd gemeld bij de Autoriteit Persoonsgegevens.
Dit is geen incident. Managers en IT-afdelingen merken dat contracten, klantinformatie en interne strategieën zonder nadenken in gratis versies van ChatGPT of andere tools belanden. En 73,8% van ChatGPT-gebruik op de werkvloer gaat via persoonlijke accounts zonder zakelijke beveiliging.
Waar gaat uw data naartoe?
Dit is wat de meeste medewerkers niet weten:
In de basis worden al uw prompts, geüploade bestanden en zelfs foto's bewaard op de servers van OpenAI. De reden hiervoor is dat OpenAI deze data standaard gebruikt om hun taalmodellen verder te trainen en te verbeteren.
Dat geldt specifiek voor gratis en Plus-accounts. Bij Team en Enterprise-accounts traint ChatGPT standaard niet op uw invoer. Dat verschil is cruciaal.
Voor Claude (Anthropic) geldt een vergelijkbaar onderscheid: gratis en Pro-accounts hebben andere dataretentie-voorwaarden dan Claude for Work of Enterprise-abonnementen.
Wanneer medewerkers interne documenten kopiëren naar een publieke AI-dienst, ontstaat er direct een compliancevraagstuk. Waar wordt die data opgeslagen? Hoe lang blijft deze beschikbaar? Wordt ze gebruikt voor modeltraining? Voldoet dit aan AVG-vereisten? Zijn contractuele afspraken met klanten in het geding?
Wat mag er absoluut niet in een prompt?
Een praktische lijst voor uw medewerkers:
❌ Nooit invoeren:
- Volledige namen gecombineerd met BSN, geboortedatum of adres
- Klantgegevens, contracten of offertes met persoonsgegevens
- Inloggegevens, wachtwoorden of API-sleutels
- Medische of financiële dossiers
- Vertrouwelijke bedrijfsstrategie of M&A-informatie
- Broncode met interne logica, connectiestrings of sleutels
- Juridische documenten onder geheimhoudingsplicht
⚠️ Alleen invoeren met zakelijk account en verwerkersovereenkomst:
- Geanonimiseerde klantcases
- Interne rapporten zonder gevoelige details
- Conceptteksten op basis van openbare informatie
✅ Altijd veilig:
- Vragen over algemene concepten en technieken
- Schrijfhulp voor teksten zonder vertrouwelijke inhoud
- Samenvatten van publieke documenten
- Brainstormen over niet-vertrouwelijke onderwerpen
De AVG-dimensie
Het grootste risico is niet het bestaan van ChatGPT, maar de combinatie van bedrijfsdata met privé-accounts. Een medewerker die op een gratis account een klantcontract laat samenvatten, deelt dat contract met een externe partij zonder verwerkersovereenkomst. Onder de AVG bent u daarvoor verantwoordelijk — niet de medewerker en niet OpenAI.
De Autoriteit Persoonsgegevens heeft AI als een van haar drie focusgebieden voor 2026-2028 aangewezen. De handhaving komt — de vraag is alleen wanneer, niet of.
Zakelijk vs. gratis: het verschil in de praktijk
| Account | Trainingsdata | AVG-basis | Geschikt voor bedrijf |
|---|---|---|---|
| ChatGPT Gratis | Ja, standaard | Geen verwerkersovereenkomst | ❌ |
| ChatGPT Plus | Ja, standaard | Geen verwerkersovereenkomst | ❌ |
| ChatGPT Team | Nee | Verwerkersovereenkomst beschikbaar | ✅ |
| ChatGPT Enterprise | Nee | Verwerkersovereenkomst + extra controle | ✅ |
| Claude Pro (persoonlijk) | Beperkt | Geen verwerkersovereenkomst | ❌ |
| Claude for Work/Enterprise | Nee | Verwerkersovereenkomst beschikbaar | ✅ |
| Azure OpenAI | Nee | Microsoft verwerkersovereenkomst | ✅ |
| Lokaal LLM (Llama, Mistral) | Nee | Data verlaat uw servers niet | ✅ (met eigen infra) |
Waarom medewerkers het toch doen
Onbekendheid met risico's: veel mensen denken dat hun invoer "toch niemand interesseert". Gebrek aan heldere regels: er is geen duidelijke AI-richtlijn of die is slecht gecommuniceerd. Druk op productiviteit: wie sneller werkt met AI, wordt onbewust beloond, zelfs als het niet volgens de regels gaat. Technische drempels: de officiële, veilige oplossing is omslachtig of traag.
Dit is geen kwestie van kwade wil — het is een kwestie van gemak. Zolang de veilige optie moeilijker is dan de onveilige, kiest de meerderheid van medewerkers de makkelijke weg.
Praktische maatregelen voor uw organisatie
1. Stel een zakelijk account in
Zorg dat medewerkers toegang hebben tot een zakelijke versie van de AI-tools die ze toch al gebruiken. ChatGPT Team, Claude for Work of Microsoft Copilot via uw bestaande M365-licentie zijn voor de meeste organisaties de meest praktische opties.
2. Maak de veilige optie de makkelijke optie
Een zakelijk account dat net zo makkelijk bereikbaar is als de gratis versie verlaagt de drempel enorm. Single sign-on via uw bestaande Microsoft- of Google-omgeving maakt dit in de meeste gevallen eenvoudig te realiseren.
3. Stel een AI-gebruiksbeleid op
Geen uitgebreid document van 20 pagina's — maar een heldere lijst van wat wel en niet mag. Liefst op één A4 of als tegelscherm in uw intranet. De gemeente Eindhoven had dat beleid niet. U kunt dat vermijden.
4. Train medewerkers met concrete voorbeelden
Abstracte privacy-training werkt niet. Laat medewerkers zien wat er concreet mis kan gaan: "Als u dit klantcontract in ChatGPT plakt, gebeurt dit." Herkenbare scenarios landen beter dan regels.
5. Technische DLP als vangnet
Data Loss Prevention-tools kunnen detecteren wanneer gevoelige data zoals BSN-nummers, IBAN-nummers of classificatielabels worden geplakt in browser-gebaseerde AI-tools. Dit is geen vervanging van bewustwording, maar een vangnet voor de gevallen waar bewustwording tekortschiet.
De kern
Het grootste risico van Shadow AI zit niet in het gebruik van de tool zelf, maar in wat erin wordt ingevoerd.
AI-tools als ChatGPT en Claude zijn waardevol en uw medewerkers gaan ze gebruiken — met of zonder uw goedkeuring. De vraag is niet óf ze het doen, maar of u de randvoorwaarden heeft gecreëerd die dat gebruik veilig maken.
Bronnen
- WINMAG Pro – Shadow AI binnen organisaties: securityrisico in 2026
- Project Impact – ChatGPT privacy: 7 regels voor bedrijven 2026
- Blackbirds.ai – Hoe voorkom je datalekken bij gebruik van ChatGPT?
- Autoriteit Persoonsgegevens – AI als focusgebied 2026-2028
- NCSC – Factsheet Veilig gebruik van AI-chatbots
Wilt u een AI-gebruiksbeleid opstellen voor uw organisatie, of weten welke AI-tools AVG-compliant zijn voor uw situatie? OrangeGuard helpt u de juiste keuzes te maken.
Tags: ChatGPT · Claude · Prompt Security · Shadow AI · AVG · Datalek · DLP · AI Beleid · Bewustwording