Mag ik klantgegevens in een AI-chatbot zetten?

Het korte antwoord

Mag ik klantgegevens in een AI-chatbot zetten?

Klantgegevens zijn bijna altijd persoonsgegevens: een naam, een adres, een mailadres, een klacht met een naam erbij. Daarvoor geldt de AVG, ook als je ze in een chatvenster typt. Wie ze in een chatbot zet, geeft ze aan een ander bedrijf.

Zakelijke gegevens zonder persoon erbij, zoals een prijslijst of een offertetekst zonder naam, zijn geen persoonsgegevens. Daar is de vraag een andere: wil je dat die gegevens bij een ander bedrijf op de server staan?

De aanleiding

Wat gaat er mis als een medewerker klantgegevens in een chatbot zet?

Zet een medewerker klantgegevens in een chatbot, dan is je bedrijf de controle over die gegevens kwijt. De meeste bedrijven achter chatbots bewaren alles wat je invoert, schrijft de Autoriteit Persoonsgegevens.

In augustus 2024 waarschuwde de AP na meldingen van twee organisaties. Bij een huisartsenpraktijk had een medewerker medische gegevens van patiënten in een chatbot gezet, tegen de afspraken in. Bij een telecombedrijf ging het om een bestand met onder meer adressen van klanten.

Volgens de NOS kwamen die gegevens op servers van Amerikaanse techbedrijven terecht. Daar kunnen ze worden gebruikt om het model te trainen.

Het bleef niet bij die twee. Volgens Accountant.nl kreeg de AP in 2024 en 2025 tientallen meldingen van gevoelige informatie die via chatbots was gedeeld. In 2025 waren het er meer dan het jaar ervoor.

De regels

Wanneer is het een datalek?

Het is een datalek als persoonsgegevens ergens terechtkomen waar dat niet mocht of niet de bedoeling was. Een medewerker die tegen de afspraken in klantgegevens in een chatbot typt, veroorzaakt dus een datalek, schrijft de AP.

Heeft je bedrijf het gebruik juist voorgeschreven, dan is het geen datalek. Volgens de AP is het dan vaak wel in strijd met de wet, als er verder niets is geregeld.

Bij een datalek moet je het volgens de AP soms binnen 72 uur melden bij de AP, en soms ook de mensen inlichten om wie het gaat. Elk datalek, ook een klein, hoort in je eigen register van datalekken.

Wat de AVG vraagt

Wat moet je regelen voordat het wel mag?

Voordat klantgegevens in een chatbot mogen, regel je het contract met de aanbieder en de afspraken met je eigen mensen. Dat zijn vier dingen.

• Een zakelijke versie, geen privéaccounts: een account op naam van het bedrijf, met een contract. Daarin kun je volgens de AP afspreken dat de aanbieder je invoer niet bewaart om zijn model mee te trainen.
• Een verwerkersovereenkomst: laat je een ander bedrijf persoonsgegevens voor je verwerken, dan moet je volgens de AP een verwerkersovereenkomst met dat bedrijf afsluiten. Dat geldt ook voor de aanbieder van je chatbot.
• Afspraken over wat erin mag: de AP adviseert vast te leggen welke gegevens wel en niet in AI-systemen mogen.
• Wat je doet na een misser: wie het hoort, wie beslist over melden en wie het in het register zet.

Ook als dit allemaal op orde is, blijft het jouw verantwoordelijkheid. Volgens de AP blijf je als verwerkingsverantwoordelijke altijd verantwoordelijk voor de persoonsgegevens die je verwerkt, ook als je het werk uitbesteedt.

Mijn lezing

Wie draagt de verantwoordelijkheid als het misgaat?

De verantwoordelijkheid ligt bij het bedrijf dat de gegevens van zijn klant heeft, nooit bij de aanbieder van de chatbot. Zo staat het in de wet, en zo ziet je klant het ook.

In mijn boek De Informatiemotor schrijf ik over de gehuurde motor. Bijna iedereen werkt op AI van een ander bedrijf, en daar stroomt het gevoeligste overheen wat je hebt. Over hoe dat bij de aanbieders geregeld is, schrijf ik: “Meestal is dat behoorlijk geregeld, maar meestal is geen beleid.”

En vergeet niet wat er al gold voordat de motor kwam: persoonsgegevens vallen onder de AVG, en een beroepsgeheim blijft een beroepsgeheim, ook in een prompt. Jouw klant vertrouwt jóú, niet je verhuurder.Paul Hoffman

Een abonnement is dus nog geen beleid. Op de ladder uit het boek hoor je aan de taal waar een bedrijf staat: “Wie zegt ‘we hebben er een abonnement op’, staat op trede twee, hoe trots het ook klinkt.” Trede drie begint pas waar er een eigenaar en beleid zijn.

De praktijk

Wat regel je deze week?

Deze week schrijf je één A4 met afspraken over AI en klantgegevens. Daarop staat welke chatbot je bedrijf gebruikt, op wiens naam het account staat en welke gegevens er nooit in gaan.

Zet er ook op wat iemand doet als het toch gebeurt: dezelfde dag melden bij één vaste persoon, die beslist of het naar de AP moet. Maak het makkelijk om een misser te melden, dan hoor je het op tijd.

Een zakelijke licentie, een verwerkersovereenkomst en één A4 met afspraken horen bij het eerste niveau van AI in een bedrijf. Lees in het artikel over de vijf niveaus van AI wat er verder bij dat niveau hoort, en doe daar de korte check.