AI en privacy — wat gebeurt er met je data?

De onzichtbare datastromen achter AI

Elke keer dat je een AI-chatbot een vraag stelt, gebeurt er meer dan je ziet. Je bericht reist via het internet naar servers in de VS, Europa of Azië. Daar worden niet alleen jouw woorden verwerkt, maar ook metadata: welk apparaat je gebruikt, wanneer, hoe lang je typt, wat je hiervoor vroeg. Dit is de onzichtbare datastroom achter elke AI-interactie.

Voor consumenten die af en toe ChatGPT gebruiken is dit misschien geen groot probleem. Maar voor professionals die gevoelige bedrijfsinformatie, persoonlijke gegevens of vertrouwelijke documenten invoeren, zijn de privacyrisico’s serieus en reeel.

Welke data verzamelen AI-tools precies?

De meeste grote AI-platforms verzamelen minimaal:

• Gespreksinhoud — alles wat je typt en het antwoord dat je ontvangt
• Accountgegevens — naam, e-mailadres, betaalgegevens bij premium-abonnementen
• Technische metadata — IP-adres, browsertype, sessieduur, apparaat-ID
• Gebruikspatronen — hoe lang je bepaalde functies gebruikt, welke prompts je herhaalt
• Locatiegegevens — bij mobiele apps soms ook grove locatie

Wat minder zichtbaar is: bij API-gebruik worden ook de applicatienamen en integratie-parameters gelogd. Bedrijven die AI inbouwen in hun eigen producten, laten daarmee ook hun technische architectuur deels zien.

Worden jouw gesprekken gebruikt voor modeltraining?

Dit is de meest gestelde privacyvraag, en het antwoord verschilt per dienst en per abonnement:

OpenAI (ChatGPT)

Gratis gebruikers worden standaard mee-getraind, tenzij je dit uitzet via Instellingen → Gegevenscontrole → “Verbeter het model voor iedereen” uitschakelen. Bij de betaalde API worden gegevens standaard niet gebruikt voor training, tenzij je hier expliciet toestemming voor geeft. De Enterprise- en Team-plannen bieden sterke garanties: geen training op bedrijfsdata.

Anthropic (Claude)

Anthropic stelt dat gesprekken niet automatisch voor training worden gebruikt. Het bedrijf benadrukt privacy als kernwaarde. Bij API-gebruik gelden strikte verwerkingsafspraken. Wel worden gesprekken voor een bepaalde periode opgeslagen voor veiligheidsdoeleinden en misbruikdetectie.

Google (Gemini)

Gemini-gesprekken via de consumentenapp kunnen worden beoordeeld door medewerkers voor kwaliteitsverbetering. Dit is uit te schakelen in je Google-accountinstellingen via “Mijn activiteit” → Gemini Apps activiteit. Google Workspace-klanten (zakelijk) hebben sterkere privacygaranties; hun data worden niet gebruikt voor training van de publieke modellen.

Meta AI (WhatsApp/Instagram)

Meta AI-gesprekken vallen onder het brede Meta-privacybeleid. Meta kan gesprekken gebruiken voor productverbetering. Dit is minder transparant dan de dedicated AI-providers.

De Samsung-casus: een waarschuwing voor bedrijven

In 2023 bleek dat medewerkers van Samsung vertrouwelijke broncode hadden geplakt in ChatGPT. De code werd verwerkt en kon theoretisch in toekomstige modelantwoorden terechtkomen. Samsung verbood daarna het gebruik van externe AI-chatbots voor werkgerelateerde taken.

Dit incident illustreert een fundamenteel bedrijfsrisico: medewerkers weten niet altijd wat ze wel en niet mogen invoeren in publieke AI-tools. Zonder duidelijk beleid is dit een tikkende tijdbom.

AVG en AI: wat zegt de wet?

De Algemene Verordening Gegevensbescherming (AVG) beschermt persoonsgegevens van EU-inwoners. Voor AI-gebruik heeft dit belangrijke consequenties:

Wanneer is de AVG van toepassing?

De AVG geldt zodra je persoonsgegevens invoert in een AI-systeem. Persoonsgegevens zijn alle gegevens die direct of indirect herleidbaar zijn tot een individu: namen, e-mailadressen, IP-adressen, maar ook indirecte informatie zoals “de directeur van bedrijf X”.

Verplichtingen als verwerkingsverantwoordelijke

Als jouw bedrijf AI-tools inzet voor het verwerken van klantgegevens, ben jij de verwerkingsverantwoordelijke. Je bent dan verplicht:

• Een verwerkingsovereenkomst te sluiten met de AI-provider
• Een rechtsgrondslag te hebben (toestemming, gerechtvaardigd belang, contract)
• Betrokkenen te informeren dat hun gegevens via AI worden verwerkt
• Dataoverdracht buiten de EU te rechtvaardigen (adequaatheidsbesluit, SCCs)

Doorgifte naar de VS

De meeste grote AI-providers zijn Amerikaans. Gegevensoverdracht naar de VS is toegestaan onder het EU-VS Data Privacy Framework (DPF), dat in 2023 werd vastgesteld. OpenAI, Google en Anthropic zijn gecertificeerd onder dit framework. Maar het DPF is politiek kwetsbaar; juridische procedures kunnen het invalideren, zoals eerder met Privacy Shield en Safe Harbor gebeurde.

De AI Act en privacy

De EU AI Act voegt specifieke regels toe bovenop de AVG. Hoogrisico-AI-systemen (bv. bij werving, kredietverlening, grenscontrole) moeten voldoen aan strenge transparantie- en logging-vereisten. Verboden zijn: real-time biometrische identificatie in openbare ruimten, sociale scoringsystemen en AI die gedrag onbewust manipuleert.

Voor organisaties die AI inzetten is het cruciaal om te bepalen in welke risicocategorie hun toepassing valt, en welke verplichtingen dat meebrengt.

Praktische bescherming: wat kun je doen?

Voor individuen

• Schakel training uit: ga naar de privacy-instellingen van de AI-tool en zet modeltraining op basis van jouw data uit
• Anonimiseer: vervang namen, bedrijfsnamen en andere identificatoren door generieke aanduidingen (“bedrijf A”, “persoon 1”)
• Gebruik tijdelijke sessies: bij ChatGPT kan “Tijdelijke chat” worden ingeschakeld — geen opslag
• Lees de privacyverklaring: vooral het gedeelte over datadeling met derden

Voor organisaties

• AI-gebruiksbeleid: definieer wat medewerkers wel en niet mogen invoeren in publieke AI-tools
• Verwerkersovereenkomsten: sluit DPAs af met alle AI-providers die persoonsgegevens verwerken
• Privacy-first architectuur: kies voor on-premise of privé-cloud AI-oplossingen voor gevoelige data
• Training voor medewerkers: zorg dat iedereen de regels kent en begrijpt
• Data Impact Assessment (DPIA): voer een DPIA uit voor hoogrisico AI-implementaties

Privacy-vriendelijke alternatieven

Voor organisaties met strenge privacyvereisten zijn er alternatieven:

• On-premise modellen: Llama, Mistral of Phi-4 draaien op eigen servers — data verlaat de organisatie niet
• Azure OpenAI Service: Microsoft biedt GPT-4 via Azure aan met EU-dataresidentie en geen training op klantdata
• Anthropic API met zakelijk contract: sterke privacygaranties, geen modeltraining
• Cohere: Europese AI-API met on-premise deployment-optie

De toekomst van AI en privacy

Privacy en AI-mogelijkheden staan vaak op gespannen voet: meer data leidt tot betere modellen, maar meer data vergaren gaat ten koste van privacy. De komende jaren zijn twee trends doorslaggevend:

Federated learning — modellen worden getraind op gedistribueerde data zonder dat de data centraal wordt opgeslagen. De data blijft op het apparaat van de gebruiker; alleen de geleerde patronen worden gesynchroniseerd.

On-device AI — steeds meer AI-verwerking vindt plaats op het apparaat zelf (smartphone, laptop) zonder serververbinding. Apple’s Private Cloud Compute en lokale Llama-modellen zijn vroege voorbeelden.

Deze ontwikkelingen bieden hoop dat privacy en AI-kwaliteit niet permanent tegenpolen zijn, maar complementair kunnen worden.