AI en privacy
Claude, Microsoft Copilot, Gemini en Mistral Vibe naast ChatGPT Business: training op invoer, overeenkomst, datalocatie en beheer. Stand oktober 2026.
Dat hangt af van waar je gegevens mogen staan en welke kantoorsoftware je al gebruikt. Werk je in Microsoft 365, dan ligt Copilot voor de hand; in Google Workspace is dat Gemini. Wil je opslag in de EU als standaard, dan kom je bij Mistral Vibe uit. Claude Team is het alternatief dat het meest op ChatGPT Business lijkt.
Wie zoekt naar een ChatGPT-alternatief, zoekt zelden een beter model. Meestal is de vraag welke assistent je op het werk mag gebruiken. Dit artikel vergelijkt daarom niet de kwaliteit van de antwoorden. Het legt vijf zakelijke abonnementen naast elkaar op vier vragen die voor de AVG tellen: training op invoer, de verwerkersovereenkomst, de datalocatie en het beheer.
Alles hieronder is de stand van oktober 2026, gelezen in de eigen documentatie van de aanbieders op 13 oktober 2026. Voorwaarden veranderen een paar keer per jaar. Waar de documentatie geen antwoord geeft, staat er "nalopen". Prijzen laten we weg. Dit is uitleg en geen juridisch advies; de hoofdlijn over chatbots en de AVG staat op ChatGPT, Claude, Mistral Vibe en de AVG.
Een overzicht van Europese aanbieders, waaronder Lumo en DeepL, staat in Europese AI: de alternatieven voor ChatGPT op een rij. Over een assistent uit China gaat DeepSeek en de AVG.
Ook de persoonlijke abonnementen vallen erbuiten, gratis of betaald. Daar is de medewerker de klant en niet de organisatie, en is er geen verwerkersovereenkomst. Dat staat per abonnement uitgewerkt in ChatGPT Free, Plus, Business of Enterprise: welk abonnement mag je zakelijk gebruiken?.
Wordt wat je typt en uploadt gebruikt om het model te verbeteren? Op zakelijke abonnementen is het antwoord meestal "standaard niet". Let op de uitzonderingen: feedback die je zelf instuurt, en schakelaars die een beheerder kan omzetten.
Artikel 28 van de AVG vraagt een overeenkomst met elke partij die in jouw opdracht persoonsgegevens verwerkt. Geldt ze vanzelf of moet je haar aanvragen, en voor welke abonnementen? Waar je in de tekst op let, staat in Verwerkersovereenkomst met OpenAI, Anthropic, Microsoft of Mistral: waar let je op?.
Waar worden gesprekken en bestanden opgeslagen, en waar rekent het model? Dat zijn twee vragen. Staan of lopen gegevens buiten de EER, dan geldt hoofdstuk V van de AVG: de doorgifte moet rusten op een adequaatheidsbesluit (artikel 45) of op passende waarborgen zoals modelcontractbepalingen (artikel 46), en je legt haar vast in je register.
Kan de organisatie accounts uitgeven en intrekken, bewaartermijnen instellen en zien wat er gebeurt? Zonder beheer weet je bij een verzoek om inzage of verwijdering niet wat er ligt.
Stand oktober 2026, op basis van de pagina's die in de secties hieronder zijn gelinkt. "Nalopen" betekent: de documentatie geeft geen eenduidig antwoord, vraag het de aanbieder of lees de overeenkomst.
| Aanbieder | Zakelijk abonnement | Training op invoer | Verwerkersovereenkomst | Datalocatie |
|---|---|---|---|---|
| ChatGPT (OpenAI) | Business; Enterprise | Standaard niet, tenzij je zelf kiest om te delen | Ja, op aanvraag via een formulier | Business: geen keuze. Enterprise: regiokeuze, waaronder Europa; niet alles valt eronder |
| Claude (Anthropic) | Team; Enterprise | Niet, tenzij je kiest om deel te nemen; ingestuurde feedback kan worden gebruikt | Ja, automatisch onderdeel van de zakelijke voorwaarden | Opslag in de Verenigde Staten; verwerking kan via meerdere regio's lopen |
| Microsoft Copilot | Licentie bij Microsoft 365 | Niet voor het trainen van de basismodellen | Ja, de overeenkomst van Microsoft 365 geldt | Voor klanten in de EU binnen de EU Data Boundary; modellen van Anthropic vallen erbuiten en staan in de EU standaard uit |
| Gemini in Google Workspace | Workspace-editie met Gemini; welke editie: nalopen | Niet zonder toestemming of opdracht van de klant | Ja, de verwerkersovereenkomst van Workspace geldt | Regiokeuze (VS of Europa) voor opslag; verwerking in de regio alleen op de zwaarste edities |
| Mistral Vibe (Mistral) | Team; Enterprise | Enterprise standaard niet. Team: de beheerder kan het uitzetten; standaardstand nalopen | Ja, onderdeel van de overeenkomst; voor welke abonnementen: nalopen | Standaard in de EU; per functie tijdelijk daarbuiten |
Anthropic schrijft over zijn zakelijke producten, waaronder Team en Enterprise, dat gesprekken niet worden gebruikt om modellen te trainen, tenzij de klant kiest om deel te nemen. De pagina noemt twee uitzonderingen: een programma voor ontwikkelaars waar je je voor aanmeldt, en materiaal dat je zelf meldt, bijvoorbeeld met een duim omhoog of omlaag.
De verwerkersovereenkomst hoef je niet aan te vragen. Ze is volgens Anthropic automatisch opgenomen in de zakelijke voorwaarden, met modelcontractbepalingen erbij.
Op de pagina over serverlocaties staat dat gegevens in de Verenigde Staten worden opgeslagen. Verkeer kan via meerdere werelddelen worden geleid. Er is dus een doorgifte die je onderbouwt en vastlegt.
Volgens de prijspagina van Claude heeft Team inloggen via SSO, centraal beheer en beheer van koppelingen. Auditlogboeken en eigen bewaartermijnen staan daar bij Enterprise. De uitwerking per abonnement staat in Claude AI en de AVG: is Claude veilig voor zakelijk gebruik?.
Copilot is een laag over je Microsoft 365-omgeving. Microsoft schrijft dat prompts, antwoorden en gegevens uit je omgeving niet worden gebruikt om de basismodellen te trainen. Ze worden verwerkt en opgeslagen onder de afspraken die al voor je andere inhoud in Microsoft 365 gelden. De bestaande productvoorwaarden en de verwerkersovereenkomst van Microsoft zijn van toepassing.
Voor klanten in de EU is Copilot volgens dezelfde pagina een dienst binnen de EU Data Boundary: verkeer uit de EU blijft binnen die grens. Beheerders kunnen bewaartermijnen voor Copilot-gesprekken instellen en de opgeslagen gesprekken doorzoeken.
Google schrijft in zijn privacyhub voor generatieve AI in Workspace dat prompts gelden als klantgegevens onder de verwerkersovereenkomst van Workspace, en dat Workspace klantgegevens niet gebruikt om modellen te trainen zonder voorafgaande toestemming of opdracht van de klant. Inhoud wordt volgens de pagina niet door mensen beoordeeld. Dat geldt alleen op een editie die Google daarvoor aanwijst.
Workspace kent een regiokeuze: de Verenigde Staten, de Europese Unie of geen voorkeur. Het overzicht van gegevens die onder de regiokeuze vallen noemt de prompts en antwoorden van Gemini. Opslag in de gekozen regio is er op meer edities, waaronder Business Standard en Business Plus. Verwerking in de regio is er alleen op de zwaarste edities of met een aanvullend pakket. Logboeken en tijdelijke kopieën vallen erbuiten.
Gemini Notebook, tot voor kort NotebookLM, volgt de regiokeuze niet. De privacyhub zegt met zoveel woorden dat de instellingen voor delen en regio daar niet gelden, omdat het notitieboek een eigen kopie van je bestanden maakt. Meer daarover staat in NotebookLM en de AVG: mag je er bedrijfsdocumenten in zetten?, en over Gemini zelf in Google Gemini en de AVG: is Gemini veilig voor zakelijk gebruik?.
Voor wie opslag in de EU als standaard wil, is Mistral Vibe het duidelijkste antwoord. Mistral schrijft dat gegevens standaard in de Europese Unie worden gehost. Dezelfde pagina noemt de grenzen: afhankelijk van de functie kunnen gegevens tijdelijk buiten de EU komen, bij subverwerkers die Mistral in zijn Trust Center opsomt, en alleen Enterprise-klanten kunnen een deel van die functies uitzetten.
Op de pagina over afmelden voor training staat dat Enterprise-klanten standaard zijn afgemeld. Bij Team kan de beheerder training voor de hele organisatie uitzetten. Wat de standaardstand bij Team is, zegt de pagina niet. Open het beheerscherm en kijk onder privacy hoe de schakelaar staat.
De verwerkersovereenkomst van Mistral maakt deel uit van de overeenkomst met de klant. De tekst noemt geen abonnementen bij naam: lees in je eigen voorwaarden na of ze voor jouw abonnement geldt. De rest staat in Mistral Vibe en de AVG: is een Europese chatbot vanzelf veilig?.
OpenAI schrijft op de pagina Privacy voor bedrijven dat gegevens uit ChatGPT Business en Enterprise standaard niet worden gebruikt om modellen te trainen, en dat het een verwerkersovereenkomst kan sluiten. Die vraag je aan met een formulier. Beheerders van een Business-werkruimte kunnen gesprekken van gebruikers bekijken, exporteren en verwijderen.
Een regiokeuze is er niet op Business. De pagina over opslaglocatie bij ChatGPT noemt nieuwe Enterprise- en Edu-klanten en bepaalde API-klanten. Europa is een van de regio's, en accountgegevens, metadata en wat via koppelingen naar derden gaat, vallen erbuiten.
Stand oktober 2026. Beheer verschilt sterk per editie.
| Aanbieder | Wat de documentatie over beheer noemt | Wat je navraagt |
|---|---|---|
| ChatGPT Business | Werkruimte met beheerders die gesprekken kunnen inzien, exporteren en verwijderen | Inloggen via SSO en eigen bewaartermijnen: nalopen |
| Claude Team | SSO, centraal beheer, beheer van koppelingen | Auditlogboek en eigen bewaartermijnen horen bij Enterprise |
| Microsoft Copilot | Beheer in het beheercentrum van Microsoft 365, bewaarbeleid en zoeken in gesprekken | Of je rechten op SharePoint op orde zijn |
| Gemini in Google Workspace | Beheerders bepalen of en hoe lang gesprekken worden bewaard; het notitieboek aan of uit per groep | Welke editie je hebt en wat die dekt |
| Mistral Vibe Team | Beheerscherm met een schakelaar voor training | SSO, logboeken en bewaartermijnen: nalopen |
Vertel medewerkers vooraf wat beheerders kunnen zien.
Wie van aanbieder wisselt, wisselt van contractpartij. De rest verhuist mee.
PrivaSearch is geen AI-assistent en dus geen alternatief voor een van de vijf. Het gaat over het punt dat bij elke aanbieder overblijft: wat er wordt ingevoerd. In plaats van een dossier te uploaden, laat je een assistent zoeken in passages waaruit de persoonsgegevens al zijn gehaald.
Documenten worden binnen PrivaSearch geanalyseerd, zonder AI-aanbieder van buiten. Herkende gegevens worden vervangen door pseudoniemen die binnen een project steeds hetzelfde blijven. Een collega controleert het resultaat naast het origineel en keurt het goed; tot dan is een document niet doorzoekbaar. Zie Hoe PrivaSearch werkt.
Zoeken kan daarna in PrivaSearch zelf of via een gekoppelde assistent. De koppeling gebruikt de open MCP-standaard en werkt met Claude, ChatGPT Business en Mistral Vibe. De assistent krijgt alleen vrijgegeven, gepseudonimiseerde passages met een korte bronverwijzing, en geen bestanden. Wat hij terugkrijgt, wordt onderdeel van het gesprek bij de aanbieder van die assistent, en wat je zelf typt gaat er rechtstreeks heen. Een zakelijk abonnement met een verwerkersovereenkomst blijft daarom nodig, welke van de drie je ook kiest.
Wil je geen assistent van buiten, dan zoek je in PrivaSearch zelf. Welke partijen bij welke schakel betrokken zijn, staat in het subverwerkersoverzicht; de uitgangspunten staan op Hosting in de EU.
Pseudonimiseren is geen anonimiseren: voor je eigen organisatie blijven het persoonsgegevens. De keuze van de aanbieder, het register en de DPIA blijven dus jouw werk. Wil je zien hoe dit naast je huidige assistent werkt, vraag dan een demo aan.
Er is er niet één. Wie zoekt op "chatgpt alternatief" vindt vier serieuze opties: Claude Team, Microsoft Copilot, Gemini in Google Workspace en Mistral Vibe. Welke past, hangt af van je kantoorsoftware en van waar je gegevens mogen staan. Copilot en Gemini vallen onder de overeenkomst die je al hebt, Mistral Vibe host standaard in de EU, en Claude Team lijkt het meest op ChatGPT Business.
Mistral Vibe host volgens de eigen documentatie standaard in de EU, met uitzonderingen per functie. Microsoft Copilot valt voor klanten in de EU binnen de EU Data Boundary, behalve bij modellen van Anthropic. Gemini in Google Workspace kent een regiokeuze, waarbij verwerking in de regio alleen op de zwaarste edities geldt. Claude slaat op in de Verenigde Staten. Dit is de stand van oktober 2026.
Op een zakelijk abonnement standaard niet, zeggen de aanbieders zelf. OpenAI, Anthropic, Microsoft en Google schrijven dat zakelijke invoer niet voor modeltraining wordt gebruikt, tenzij de klant daarvoor kiest. Bij Mistral is Enterprise standaard afgemeld en kan de beheerder van Team het uitzetten. Op persoonlijke abonnementen ligt dat anders: daar kan invoer wel voor training worden gebruikt.
Dat is niet in één woord te zeggen. Copilot valt onder de overeenkomst die je organisatie al met Microsoft heeft en verwerkt gegevens van klanten in de EU binnen de EU Data Boundary. Daar staat tegenover dat Copilot alles kan tonen wat een medewerker mag openen, ook wat te ruim is gedeeld. Het risico verschuift dus van de aanbieder naar je eigen rechtenbeheer.
Voor werk zonder persoonsgegevens kan het, als je eigen beleid dat toestaat. Voor gegevens van klanten of medewerkers niet. Op een gratis of persoonlijk account is er geen verwerkersovereenkomst, heeft de organisatie geen beheer en kan de invoer voor training worden gebruikt. Dat geldt bij elke aanbieder, ook bij een Europese.
Nee, niet vanzelf. Een aanbieder die in de EU host, maakt de vraag naar doorgifte kleiner. Grondslag, verwerkersovereenkomst, dataminimalisatie, bewaartermijn en vastlegging in je register blijven hetzelfde. Geen product regelt dat voor je. Het oordeel over je eigen situatie blijft van jou en je functionaris gegevensbescherming, eventueel met een jurist.
Waar een geüpload bestand terechtkomt, hoe lang het blijft staan, wie erbij kan en wat verwijderen betekent. Met vier routes voor dossiers.
Wat scholen met AI doen, waarom leerlinggegevens extra bescherming krijgen, welke toepassingen verboden of hoog risico zijn en wat een school regelt.
Wat ChatGPT van je opslaat, wie erbij kan, hoe je training uitzet en wat tijdelijke chats, geheugen en gedeelde links doen. Met een stappenplan.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →