AI en privacy
Welke Europese AI-assistenten en -modellen er zijn, wat Europees precies betekent en welk deel van je privacyvragen een Europese aanbieder oplost.
De bekendste Europese AI is Mistral AI uit Frankrijk, met de assistent Mistral Vibe. Daarnaast zijn er Lumo van het Zwitserse Proton, de modellen van het Duitse Aleph Alpha voor organisaties, de vertaal- en schrijfdiensten van DeepL en het Nederlandse taalmodel GPT-NL. Geen van deze lost de AVG voor je op: ze maken één onderdeel kleiner.
Dit artikel noemt alleen aanbieders waarvan de eigen site op 13 oktober 2026 is nagelopen. Het is geen ranglijst en geen test van de kwaliteit. Het gaat om de vraag die een organisatie zich stelt voordat ze overstapt: wat krijg ik, waar staan mijn gegevens, en wat moet ik daarna nog zelf regelen? Aanbod en voorwaarden veranderen snel. Open de links voordat je kiest.
Dit is uitleg, geen juridisch advies. De hoofdlijn over chatbots en de AVG staat op ChatGPT, Claude, Mistral Vibe en de AVG.
Het woord dekt drie verschillende dingen. Een aanbieder kan op alle drie Europees zijn, of op één.
Waar is je contractpartij gevestigd? Een bedrijf met een vestiging in de EU valt onder de AVG en onder een Europese toezichthouder. Dat is overigens minder onderscheidend dan het lijkt. Artikel 3 van de AVG bepaalt dat de verordening ook geldt voor een bedrijf buiten de EU dat diensten aanbiedt aan mensen in de EU. Ook een aanbieder van buiten Europa moet zich dus aan de AVG houden.
Waar worden je gesprekken opgeslagen en verwerkt? Dit is de vraag waar hoofdstuk V van de AVG over gaat. Persoonsgegevens mogen alleen naar een land buiten de EER onder de voorwaarden van dat hoofdstuk (artikel 44): een adequaatheidsbesluit van de Europese Commissie (artikel 45) of passende waarborgen zoals modelcontractbepalingen (artikel 46).
Zetel en opslag vallen niet vanzelf samen. Een Europees bedrijf kan onderdelen laten draaien bij partijen buiten de EU. En een bedrijf van buiten Europa kan opslag in Europa aanbieden.
Wie heeft het taalmodel gebouwd? Een Europese app kan een model van een aanbieder van buiten Europa gebruiken. Dan is de voorkant Europees en gaat je vraag toch naar een derde partij. Omgekeerd kun je een Europees model draaien op infrastructuur naar keuze. Vraag daarom altijd welk model er onder een dienst zit, en wie het draait.
| Betekenis | De vraag die je stelt | Waar je het antwoord vindt | Wat het voor de AVG doet |
|---|---|---|---|
| Zetel | Waar is mijn contractpartij gevestigd? | Het colofon, de voorwaarden, de verwerkersovereenkomst | Bepaalt met wie je contracteert en welke toezichthouder de leiding heeft |
| Opslag en verwerking | Waar staan en lopen mijn gegevens? | De pagina over datalocatie en de lijst van subverwerkers | Bepaalt of hoofdstuk V over doorgifte speelt |
| Model | Wie maakt en draait het model? | De productdocumentatie en de lijst van subverwerkers | Bepaalt of er een extra partij is die je invoer ontvangt |
Stand oktober 2026, op basis van de eigen sites van de aanbieders.
Mistral AI is in april 2023 opgericht en gevestigd in Parijs. Het bedrijf maakt eigen taalmodellen en een assistent die sinds 2026 Mistral Vibe heet en daarvoor Le Chat. Mistral beschrijft Mistral Vibe op de productpagina als assistent en agent voor werk en programmeren, met koppelingen naar andere tools. Gesprekken, instellingen en abonnementen zijn bij de naamswijziging meegegaan.
Mistral schrijft dat gegevens standaard in de Europese Unie worden gehost. Afhankelijk van de functie kunnen gegevens tijdelijk naar een locatie buiten de EU gaan. Voor grote klanten noemt de productpagina de mogelijkheid om Mistral Vibe in een eigen omgeving te draaien.
Van de aanbieders in dit overzicht komt Mistral AI het dichtst bij wat mensen een Europese ChatGPT noemen: één venster voor vragen, documenten en taken, met een gratis versie en betaalde abonnementen.
Lumo is de assistent van Proton, het bedrijf achter Proton Mail. Proton AG is gevestigd in Zwitserland en heeft volgens zijn privacybeleid een vertegenwoordiger in de EU. Proton schrijft op de pagina over Lumo dat opgeslagen gesprekken zo zijn versleuteld dat alleen de gebruiker ze kan lezen, dat gesprekken niet worden gebruikt om modellen te trainen en dat de code openbaar is. Volgens het privacybeleid van Lumo gebruikt Proton alleen feedback die je zelf instuurt om het model te verbeteren. Er is een gratis versie, een betaalde versie en een aanbod voor bedrijven.
Zwitserland is geen lid van de EU of de EER. Voor de AVG is het een derde land waarvoor een adequaatheidsbesluit geldt: het staat op de lijst van adequaatheidsbesluiten van de Europese Commissie. Doorgifte kan dus op grond van artikel 45. Het is een doorgifte die je in je register noemt.
Aleph Alpha GmbH is gevestigd in Heidelberg. Op zijn site biedt het bedrijf een eigen taalmodel aan, Kolibri, met een platform om AI-toepassingen op te bouwen en mensen die bij de invoering helpen. Het richt zich op overheden en bedrijven. Een assistent voor consumenten staat er niet. Dit is dus geen vervanger van ChatGPT voor een losse medewerker. Het is een bouwsteen voor een organisatie die zelf een toepassing wil maken.
DeepL SE uit Keulen is bekend van vertalen en biedt daarnaast een schrijfhulp. Het is geen algemene chatbot, maar voor veel kantoorwerk wel de eerste AI die mensen gebruiken. Het privacybeleid van DeepL laat hetzelfde patroon zien als bij de grote chatbots. In de gratis versie worden ingevoerde teksten een beperkte tijd bewaard en gebruikt om de systemen te trainen. In de betaalde Pro-versies worden teksten volgens DeepL niet blijvend opgeslagen en niet gebruikt om de dienst te verbeteren. Documenten worden volgens het beleid verwerkt op infrastructuur in de EER.
GPT-NL is een Nederlands taalmodel van TNO, het NFI en SURF, drie organisaties zonder winstoogmerk. De site noemt het een model voor zakelijk gebruik, ontwikkeld met rechtmatig verkregen gegevens, voor taken als samenvatten en zoeken in eigen documenten. De eerste versie staat aangekondigd voor het najaar van 2026, en het model is volgens de site voorlopig alleen beschikbaar voor een eerste groep klanten. Een assistent die je vandaag kunt openen, is het nog niet.
| Aanbieder | Land | Wat het aanbiedt | Waar je de voorwaarden vindt |
|---|---|---|---|
| Mistral AI | Frankrijk | Eigen modellen, de assistent Mistral Vibe voor werk en code, een API | De juridische pagina's van Mistral, met de verwerkersovereenkomst |
| Proton (Lumo) | Zwitserland | De assistent Lumo, gratis, betaald en voor bedrijven | Het privacybeleid van Lumo op de site van Proton |
| Aleph Alpha | Duitsland | Het model Kolibri, een platform en begeleiding, voor organisaties | De privacyverklaring en de eigen overeenkomst bij een contract |
| DeepL | Duitsland | Vertalen en schrijven, gratis en als Pro | Het privacybeleid en de voorwaarden op de site van DeepL |
| GPT-NL | Nederland | Een taalmodel voor organisaties, nog in de eerste fase | De site van GPT-NL; voorwaarden volgen bij deelname |
Stand oktober 2026. De lijst is niet volledig. Er zijn meer Europese bedrijven die AI aanbieden, vaak als schil om een model van een ander. Stel daar eerst de drie vragen uit de vorige sectie.
Staat de contractpartij in de EU en blijven de gegevens daar, dan speelt hoofdstuk V van de AVG niet of veel minder. Je hoeft geen adequaatheidsbesluit of modelcontractbepalingen te beoordelen, en je legt in je register geen doorgifte naar een derde land vast. Voor een kleine organisatie zonder jurist scheelt dat werk en onzekerheid.
Mistral beschrijft zelf waar de grens ligt, stand oktober 2026. Wie het Amerikaanse eindpunt van de API kiest, laat gegevens in de Verenigde Staten hosten. Bij sommige functies kunnen gegevens tijdelijk buiten de EU komen, bij subverwerkers die Mistral in zijn Trust Center noemt, met modelcontractbepalingen waar dat nodig is. Alleen klanten met een Enterprise-contract kunnen sommige van die functies uitschakelen. Bij elke aanbieder geldt: lees de lijst van subverwerkers voordat je "in de EU" in je eigen register schrijft.
Alles wat niet over de plaats gaat. De uitwerking per onderwerp staat in Mistral Vibe en de AVG: is een Europese chatbot vanzelf veilig?. Hier de hoofdpunten.
Bij Mistral worden invoer en uitvoer volgens het helpcentrum standaard gebruikt om de modellen te trainen, tenzij je dat uitzet. Enterprise-klanten staan standaard uit. Wie een duim omhoog of omlaag geeft, laat die beoordeling met het bijbehorende gesprek gebruiken, op elk abonnement. Bij DeepL loopt de grens tussen gratis en Pro. Een Europese zetel zegt dus niets over training. Je leest het per abonnement na, net als bij ChatGPT en Claude.
Artikel 28 van de AVG vraagt een overeenkomst met elke partij die namens jou persoonsgegevens verwerkt. Een medewerker met een eigen gratis account bij een Europese aanbieder heeft die niet. Ongezien gebruik op privé-accounts is bij een Europese dienst hetzelfde probleem; zie Shadow AI: wat het is, hoe groot het risico is en hoe je het beheerst. Waar je in de overeenkomst op let, staat in Verwerkersovereenkomst met OpenAI, Anthropic, Microsoft of Mistral: waar let je op?.
Artikel 5 lid 1 onder c vraagt dat je alleen verwerkt wat nodig is voor het doel. Wie een heel dossier uploadt om één vraag te stellen, stuurt bij een aanbieder in Parijs evenveel mee als bij een aanbieder elders. Mistral rekent geüploade documenten uitdrukkelijk tot de invoer.
Je hebt een grondslag nodig, en bij gezondheid of andere bijzondere gegevens een uitzondering op het verbod. Wie een beroepsgeheim heeft, toetst daarnaast of een derde het dossier mag zien; zie Beroepsgeheim en AI: wat advocaten, notarissen en accountants moeten weten. En de verwerking hoort in je register, met een DPIA als het risico waarschijnlijk hoog is.
In gebruik lijkt Mistral Vibe op ChatGPT: een venster voor vragen, het uploaden van documenten, koppelingen met andere diensten en een versie voor teams. De indeling in abonnementen is vergelijkbaar: gratis, een betaald persoonlijk abonnement, een abonnement voor teams en een contract voor grote organisaties.
Het verschil voor de AVG zit op één plek: Mistral AI host standaard in de EU en is een Europees bedrijf. Bij ChatGPT is opslag in Europa een keuze op het zwaarste abonnement. Op de andere punten is de vergelijking minder gunstig dan de herkomst doet vermoeden. Training staat bij Mistral standaard aan, en alleen Enterprise staat standaard uit. De abonnementen van ChatGPT, Claude en Mistral staan naast elkaar in ChatGPT Free, Plus, Business of Enterprise: welk abonnement mag je zakelijk gebruiken?.
PrivaSearch is geen AI-assistent en geen alternatief voor een van de aanbieders hierboven. Het gaat over het onderwerp dat ook een Europese aanbieder laat staan: hoeveel er meegaat. Persoonsgegevens worden binnen PrivaSearch herkend en vervangen door pseudoniemen, en een collega controleert het resultaat voordat een document doorzoekbaar wordt. Zie Hoe PrivaSearch werkt.
Je kunt helemaal binnen PrivaSearch zoeken. Het semantisch zoeken gebruikt dan een Europese AI-aanbieder, en alleen op tekst die is gepseudonimiseerd en gecontroleerd. Originelen, de pseudoniemkluis, de zoekindex en de herkenning draaien in datacenters in de EU. Welke partijen bij welke schakel betrokken zijn, staat in het subverwerkersoverzicht, en de uitgangspunten staan op Hosting in de EU.
Wil je daarnaast een assistent laten zoeken, dan kan dat via een koppeling op de open MCP-standaard. Koppelen kan met Claude, met ChatGPT Business en met Mistral Vibe. De assistent krijgt alleen vrijgegeven, gepseudonimiseerde passages met een korte bronverwijzing, en geen bestanden. Wat hij terugkrijgt, wordt onderdeel van het gesprek bij de aanbieder van die assistent, en wat je zelf typt gaat er rechtstreeks heen. Daarom raden we ook bij een Europese assistent een zakelijk account met een verwerkersovereenkomst aan.
Pseudonimiseren is geen anonimiseren. Voor je eigen organisatie blijven het persoonsgegevens, dus de grondslag, het register en de DPIA blijven je eigen werk. Het verschil staat in Pseudonimiseren of anonimiseren: het verschil, en waarom het voor AI uitmaakt.
Wil je zien hoe een vraag over een dossier wordt beantwoord zonder dat het dossier meegaat, vraag dan een demo aan.
Voor een losse gebruiker komt Mistral Vibe AI het dichtst in de buurt: een assistent voor vragen, documenten en taken, met een gratis en een betaalde versie. Lumo van het Zwitserse Proton is een tweede assistent voor iedereen. Aleph Alpha en GPT-NL leveren modellen aan organisaties en zijn geen chatbot die je zo opent. Of de kwaliteit voor jouw werk volstaat, test je zelf.
Een product met die naam bestaat niet. Wie zoekt op "Europese ChatGPT", bedoelt meestal een chatbot van een Europees bedrijf die gegevens in Europa bewaart. Mistral Vibe voldoet het meest aan die beschrijving: Mistral is een Frans bedrijf en host gegevens standaard in de EU. Bij sommige functies kunnen gegevens volgens Mistral tijdelijk buiten de EU komen. Lees daarom de lijst van subverwerkers.
Dat hangt af van het abonnement en de instellingen, net als bij andere aanbieders. Mistral AI host standaard in de EU, wat de vraag naar doorgifte kleiner maakt. Training op invoer staat volgens het helpcentrum standaard aan, behalve bij Enterprise. Voor werk met persoonsgegevens heb je een zakelijk account met een verwerkersovereenkomst nodig, en afspraken over wat medewerkers invoeren. Dit is de stand van oktober 2026.
Nee. Een Europese aanbieder neemt één onderwerp grotendeels weg: de doorgifte naar een land buiten de EU. Grondslag, verwerkersovereenkomst, training op invoer, bewaartermijn, dataminimalisatie en vastlegging in je register blijven hetzelfde. Geen product regelt dat voor je. De beoordeling van je eigen situatie blijft van jou en je functionaris gegevensbescherming, eventueel met een jurist.
Niet vanzelf. De zetel van een bedrijf zegt niet waar alle onderdelen draaien. Mistral host standaard in de EU, maar noemt zelf functies waarbij gegevens tijdelijk naar een locatie daarbuiten gaan. Andere diensten gebruiken een model van een derde partij. Het antwoord staat in de pagina over datalocatie en in de lijst van subverwerkers van de aanbieder, niet in de naam of de herkomst.
Geografisch wel, juridisch net niet. Zwitserland is geen lid van de EU of de EER. De Europese Commissie heeft voor Zwitserland wel een adequaatheidsbesluit genomen, waardoor doorgifte van persoonsgegevens op grond van artikel 45 van de AVG mogelijk is. Je noemt de doorgifte wel in je register. De andere eisen van de AVG gelden zoals bij elke aanbieder.
Waar een geüpload bestand terechtkomt, hoe lang het blijft staan, wie erbij kan en wat verwijderen betekent. Met vier routes voor dossiers.
Wat scholen met AI doen, waarom leerlinggegevens extra bescherming krijgen, welke toepassingen verboden of hoog risico zijn en wat een school regelt.
Wat ChatGPT van je opslaat, wie erbij kan, hoe je training uitzet en wat tijdelijke chats, geheugen en gedeelde links doen. Met een stappenplan.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →