AI en privacy
Per abonnement van ChatGPT, Claude en Mistral Vibe: wat er met je invoer gebeurt, hoe lang die blijft staan en of er een overeenkomst is. Stand oktober 2026.
Voor werk zonder persoonsgegevens kan elk abonnement, als je eigen beleid dat toestaat. Zodra er gegevens van klanten of medewerkers in de invoer staan, begint het bij ChatGPT Business: pas daar is er een verwerkersovereenkomst en wordt je invoer standaard niet voor training gebruikt. Opslag in Europa en eigen bewaartermijnen biedt alleen Enterprise.
Dit artikel werkt één vraag uit; het hele overzicht staat op AI-chatbots en de AVG.
Dit artikel beschrijft de stand van oktober 2026, op basis van de openbare documentatie van de aanbieders. Abonnementen, namen en voorwaarden veranderen een paar keer per jaar: loop de gelinkte pagina's na voordat je een keuze vastlegt. Prijzen laten we weg; die staan op de prijspagina's van de aanbieders en verschillen per land.
"Mag" gaat hier over de AVG: wat moet er geregeld zijn voordat persoonsgegevens naar een aanbieder gaan. Welke gegevens dat zijn, staat in Mag je klantgegevens in ChatGPT, Claude of Mistral Vibe zetten?. De bredere uitleg staat op ChatGPT, Claude, Mistral Vibe en de AVG.
Het verschil zit niet in het model. Het zit in de vraag wie over de gegevens beslist.
Op een persoonlijk abonnement sluit een mens een overeenkomst met de aanbieder, onder consumentenvoorwaarden. De aanbieder bepaalt binnen die voorwaarden zelf wat hij met de invoer doet. Jouw organisatie is geen partij: ze kan niets afdwingen, niets inzien en niets laten verwijderen.
Op een zakelijk abonnement is de organisatie de klant. Ze krijgt een werkruimte, beheerders en zakelijke voorwaarden. De aanbieder verwerkt de invoer in opdracht, en dat is waar artikel 28 AVG een verwerkersovereenkomst voor vraagt. Waar je in zo'n overeenkomst op let, staat in Verwerkersovereenkomst met OpenAI, Anthropic, Microsoft of Mistral: waar let je op?.
De namen van de abonnementen verschuiven. Drie wijzigingen om te kennen, stand oktober 2026:
Voor de AVG zijn deze vier abonnementen hetzelfde. Ze verschillen in limieten en modellen, niet in afspraken over gegevens.
OpenAI schrijft in zijn uitleg over het gebruik van gegevens voor modelverbetering dat inhoud van de diensten voor individuele gebruikers kan worden gebruikt om modellen te trainen. De gebruiker kan dat uitzetten met de instelling "Improve the model for everyone" onder de gegevensinstellingen. Dat geldt dan voor nieuwe gesprekken.
Twee dingen blijven staan. Een duim omhoog of omlaag kan het hele gesprek alsnog beschikbaar maken voor training. En de instelling hoort bij het account van de medewerker: als werkgever zie je niet hoe ze staat.
Gewone gesprekken blijven bewaard tot de gebruiker ze verwijdert. Na verwijderen plant OpenAI volgens de pagina over het bewaren van chats en bestanden definitieve verwijdering binnen dertig dagen, met uitzonderingen voor beveiliging en wettelijke verplichtingen. Een tijdelijke chat komt niet in de geschiedenis en wordt niet voor training gebruikt, maar OpenAI kan er voor de veiligheid tot dertig dagen een kopie van houden.
Daarmee is een persoonlijk abonnement, ook een betaald, geen basis om klantgegevens te verwerken. Het is ook de vorm waarin het meeste ongeziene gebruik plaatsvindt; zie Shadow AI: wat het is, hoe groot het risico is en hoe je het beheerst.
ChatGPT Business is het abonnement voor kleinere organisaties dat je zelf afsluit, zonder verkoopgesprek. Een werkruimte vraagt volgens OpenAI om minimaal twee plaatsen.
Op de pagina Privacy voor bedrijven zegt OpenAI dat gegevens uit Business, Enterprise en de API standaard niet worden gebruikt om modellen te trainen. Dezelfde pagina zegt dat OpenAI voor die diensten een verwerkersovereenkomst kan sluiten. Die vraag je aan met een formulier. Ze is er dus niet vanzelf.
Beheerders van een Business-werkruimte kunnen volgens OpenAI de gesprekken van gebruikers bekijken, openen, exporteren en verwijderen. Vertel dat medewerkers vooraf. Bij OpenAI is toegang tot opgeslagen gesprekken beperkt tot bevoegde medewerkers, voor ondersteuning, onderzoek naar misbruik en naleving van de wet, en tot externe partijen die onder geheimhouding misbruik beoordelen.
Enterprise is een contract dat je met de verkoopafdeling van OpenAI sluit. Voor de AVG voegt het drie dingen toe.
Beheerders bepalen hoe lang gegevens in de werkruimte blijven staan. Verwijderde gesprekken gaan binnen dertig dagen uit de systemen, tenzij OpenAI wettelijk verplicht is ze te bewaren. Beheerders krijgen daarnaast een logboek van gesprekken via een aparte koppeling voor toezicht.
Nieuwe Enterprise-werkruimten kunnen kiezen waar de inhoud wordt opgeslagen; Europa (de EER en Zwitserland) is een van de regio's. Dat geldt voor gesprekken, bestanden en back-ups. Voor klanten die in aanmerking komen kan ook het rekenwerk van het model in Europa blijven.
OpenAI zegt er zelf bij wat dat niet betekent. Accountgegevens, factuurgegevens en metadata vallen erbuiten. Het uitlezen van tekst uit een pdf, het routeren van een verzoek en inloggen kunnen buiten de regio plaatsvinden. En wat via een koppeling naar een externe app gaat, valt onder de voorwaarden van die partij.
Stand oktober 2026, op basis van de hierboven gelinkte pagina's van OpenAI. Loop ze na voordat je beslist.
| Abonnement | Training op invoer | Bewaartermijn | Verwerkersovereenkomst | Beheer en SSO | Opslaglocatie |
|---|---|---|---|---|---|
| Free | Kan, tot de gebruiker het uitzet | Tot de gebruiker verwijdert; daarna binnen 30 dagen weg, met uitzonderingen | Nee | Geen | Geen keuze |
| Go | Kan, tot de gebruiker het uitzet; kan advertenties bevatten | Als Free | Nee | Geen | Geen keuze |
| Plus | Kan, tot de gebruiker het uitzet | Als Free | Nee | Geen | Geen keuze |
| Pro | Kan, tot de gebruiker het uitzet | Als Free | Nee | Geen | Geen keuze |
| Business (voorheen Team) | Standaard niet | Verwijderd binnen 30 dagen weg; instellingen voor beheerders nalopen | Ja, op aanvraag | Werkruimte en beheerders, vanaf twee plaatsen; SSO nalopen | Geen keuze |
| Enterprise | Standaard niet | Beheerders bepalen de termijn; verwijderd binnen 30 dagen weg | Ja, op aanvraag | Werkruimte, SAML SSO, logboek voor toezicht | Keuze uit regio's, waaronder Europa; niet alles valt eronder |
De indeling is bij de andere twee aanbieders vergelijkbaar, met eigen accenten.
Bij Claude Free, Pro en Max kiest de gebruiker zelf of gesprekken mogen worden gebruikt om het model te verbeteren, zo staat in het privacycentrum van Anthropic onder gebruik voor modeltraining. Die keuze raakt de bewaartermijn. Volgens de pagina over bewaartermijnen voor consumenten verdwijnt een verwijderd gesprek binnen dertig dagen uit de systemen, maar kunnen gegevens van wie training toestaat tot vijf jaar in de trainingsomgeving blijven, losgemaakt van de gebruiker.
Voor Team, Enterprise en de API zegt Anthropic dat gesprekken niet voor training worden gebruikt, tenzij de klant daar uitdrukkelijk voor kiest. De verwerkersovereenkomst hoeft niet apart te worden aangevraagd: ze maakt volgens Anthropic automatisch deel uit van de zakelijke voorwaarden, met de modelcontractbepalingen erbij.
Opslag is het punt van aandacht voor wie in Europa wil blijven. Anthropic schrijft op de pagina over serverlocaties dat gegevens in de Verenigde Staten worden opgeslagen. Volgens de prijspagina van Claude heeft Team inloggen via SSO en horen auditlogboeken en eigen bewaartermijnen bij Enterprise.
Bij Mistral Vibe is opslag het sterke punt: Mistral schrijft dat gegevens standaard in de Europese Unie worden gehost. Afhankelijk van de functie kunnen gegevens tijdelijk buiten de EU komen, bij subverwerkers die Mistral noemt.
Voor training geldt hetzelfde patroon. Volgens de pagina over afmelden voor training staan individuele gebruikers niet standaard afgemeld, en tellen geüploade documenten als invoer. Enterprise-klanten zijn standaard afgemeld. Bij Team kan de beheerder training voor de hele organisatie uitzetten; wat de standaardstand is, zegt de pagina niet. Controleer de schakelaar zelf.
Mistral verwijst voor de verwerkersovereenkomst naar zijn juridische voorwaarden; voor welke abonnementen ze geldt, lees je daar. Meer over deze aanbieder staat in Mistral Vibe en de AVG: is een Europese chatbot vanzelf veilig?.
| Onderwerp | ChatGPT | Claude | Mistral Vibe |
|---|---|---|---|
| Persoonlijke abonnementen | Free, Go, Plus, Pro | Free, Pro, Max | Free, Pro, Education |
| Training op persoonlijke abonnementen | Kan, tot de gebruiker het uitzet | De gebruiker kiest | Aan, tot de gebruiker het uitzet |
| Eerste abonnement met een verwerkersovereenkomst | Business | Team | Team; nalopen in de overeenkomst |
| Training op zakelijke abonnementen | Standaard niet | Standaard niet | Enterprise standaard niet; Team zelf controleren |
| Opslag in Europa | Alleen Enterprise, als keuze | Opslag in de VS | Standaard in de EU |
Stand oktober 2026. Werk je met Microsoft 365, dan is Copilot een vierde optie met een eigen vraag: wat de assistent in je eigen bestanden kan zien. Die staat in Microsoft 365 Copilot en de AVG: wat ziet Copilot van je SharePoint?.
Een zakelijk abonnement regelt de verhouding met de aanbieder. Vier dingen regelt het niet.
PrivaSearch vervangt geen abonnement op een AI-assistent. Het vult het gat dat hierboven overblijft: wat er wordt ingevoerd. In plaats van een dossier te uploaden, laat je de assistent zoeken in passages waaruit de persoonsgegevens al zijn gehaald.
Dat gaat in een vaste volgorde. Documenten worden binnen PrivaSearch zelf geanalyseerd, zonder AI-aanbieder van buiten. Herkende gegevens worden vervangen door pseudoniemen die binnen een project steeds hetzelfde blijven. Een collega controleert het resultaat naast het origineel en keurt het goed; tot dan is een document niet doorzoekbaar. Die stap is verplicht, omdat automatische herkenning nooit alles vindt. Zie Hoe PrivaSearch werkt.
Zoeken kan daarna in PrivaSearch zelf of via een gekoppelde AI-assistent. De koppeling werkt met Claude, ChatGPT Business en Mistral Vibe. De assistent krijgt alleen vrijgegeven, gepseudonimiseerde passages met een bronverwijzing, en geen bestanden. Een zakelijk abonnement blijft nodig: wat de assistent terugkrijgt, wordt onderdeel van het gesprek, en wat je zelf typt gaat rechtstreeks naar de aanbieder. Typ dus geen namen in de vraag.
Gepseudonimiseerde gegevens blijven voor je eigen organisatie persoonsgegevens. De keuze van het abonnement, het register en de DPIA blijven dus jouw werk. Zie ook De risico's van AI op je dossiers en de prijspagina.
Wil je zien hoe dit naast je huidige abonnement werkt, vraag dan een demo aan.
Voor werk zonder persoonsgegevens kan dat, als je werkgever het toestaat. Voor klantgegevens of gegevens van medewerkers niet: Plus is een persoonlijk abonnement zonder verwerkersovereenkomst, en de invoer kan worden gebruikt om modellen te trainen tot de gebruiker dat uitzet. De organisatie heeft geen beheer over het account.
Er is geen verschil: het is hetzelfde abonnement onder een nieuwe naam. OpenAI heeft ChatGPT Team op 29 augustus 2025 hernoemd tot ChatGPT Business en meldt dat de hernoeming het abonnement niet heeft veranderd. Kom je in een artikel of een offerte nog Team tegen, dan gaat het over Business.
Dat hangt af van het abonnement. Op Free, Go, Plus en Pro kan OpenAI je gesprekken gebruiken om modellen te trainen, tot je de instelling "Improve the model for everyone" uitzet. Op Business en Enterprise gebeurt dat standaard niet. Een duim omhoog of omlaag kan op een persoonlijk abonnement het gesprek alsnog beschikbaar maken.
Alleen als je organisatie ChatGPT Enterprise of Edu heeft en bij het aanmaken van de werkruimte voor Europa heeft gekozen. Dan worden gesprekken en bestanden in Europa opgeslagen. Accountgegevens en metadata vallen daarbuiten, en sommige verwerkingsstappen kunnen elders plaatsvinden. Op de persoonlijke abonnementen en op Business is er volgens de documentatie van oktober 2026 geen keuze voor een opslaglocatie.
Alle drie bieden een werkruimte en zakelijke voorwaarden. Claude Team traint standaard niet op invoer en heeft de verwerkersovereenkomst in de voorwaarden, maar slaat gegevens op in de Verenigde Staten. Mistral Vibe host standaard in de EU; controleer daar zelf hoe de schakelaar voor training staat. Welke past, hangt af van waar je gegevens mogen staan.
Nee. Een zakelijk abonnement regelt de afspraken met de aanbieder. De rest blijft van jou: een grondslag, een regel in je register, een onderbouwing van de doorgifte, waar nodig een DPIA, en afspraken met medewerkers over wat ze invoeren. Geen product regelt dat voor je. Een abonnement is een voorwaarde, geen eindpunt.
Waar een geüpload bestand terechtkomt, hoe lang het blijft staan, wie erbij kan en wat verwijderen betekent. Met vier routes voor dossiers.
Wat scholen met AI doen, waarom leerlinggegevens extra bescherming krijgen, welke toepassingen verboden of hoog risico zijn en wat een school regelt.
Wat ChatGPT van je opslaat, wie erbij kan, hoe je training uitzet en wat tijdelijke chats, geheugen en gedeelde links doen. Met een stappenplan.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →