ChatGPT op het werk: wat mag je en wat niet?

ChatGPT op het werk gebruiken mag in Nederland zolang je werkgever het niet verbiedt en je geen gegevens invoert die er niet in horen. Er is geen wet die het gebruik zelf verbiedt. Wel gelden de AVG en de afspraken in je organisatie, en daar gaat het in de praktijk mis: medewerkers plakken klantgegevens in een gratis account, de werkgever weet het niet en de gegevens staan op servers van OpenAI. Hieronder lees je wat de wet en de toezichthouder zeggen, welke risico's echt spelen, wat het verschil is tussen een gratis of Plus-account en ChatGPT Business of Enterprise, en wat je kunt doen om het met je werkgever goed te regelen. Dit is algemene informatie en geen juridisch advies. Twijfel je over je eigen situatie, vraag het dan aan je werkgever, je functionaris gegevensbescherming of een jurist.

Mag je ChatGPT gebruiken op je werk?

Het korte antwoord: ja, tenzij je werkgever iets anders heeft afgesproken. Een werkgever mag zelf bepalen of en hoe medewerkers AI-tools gebruiken, en mag dat dus ook beperken of verbieden. Sommige organisaties doen dat om goede redenen. Zo beperkte Goldman Sachs onlangs Claude Code tot engineers, met als reden onder meer risicobeheer. Andere organisaties zetten ChatGPT juist in, vaak via een zakelijk abonnement.

Drie lagen bepalen wat voor jou geldt:

1. De instructies van je werkgever. Een AI-beleid, gedragscode of een mondelinge afspraak. Bestaat er niets, dan is dat geen vrijbrief, maar je zit dan ook niet in een situatie waarin je een regel overtreedt. Hoe zo'n beleid eruitziet, lees je in onze gids over een AI-beleid opstellen.
2. De wet. Vooral de AVG zodra er persoonsgegevens in je prompt zitten, en de Europese AI-verordening (AI Act).
3. Je eigen verantwoordelijkheid. Wat ChatGPT schrijft, controleer jij. Fouten zijn jouw fouten.

Wat zegt de wet? AVG, AI Act en je werkgever

AVG: persoonsgegevens in een chatbot

Zodra je namen, e-mailadressen, adressen, dossiers of andere gegevens van herkenbare mensen invoert, valt dat onder de AVG. Je werkgever is dan verantwoordelijk voor wat er met die gegevens gebeurt. De Autoriteit Persoonsgegevens (AP) schreef in augustus 2024 dat ze meldingen van datalekken had gekregen doordat medewerkers persoonsgegevens van bijvoorbeeld patiënten of klanten met een AI-chatbot deelden. In één geval voerde een medewerker van een huisartsenpraktijk medische gegevens van patiënten in, in een ander geval ging het om een bestand met klantadressen bij een telecombedrijf.

De AP legt uit waarom dit een datalek kan zijn: veel bedrijven achter chatbots slaan alles op wat je invoert. De gegevens komen op hun servers terecht, vaak zonder dat de invoerder of de betrokkene weet wat er mee gebeurt. Gebruikte een medewerker de chatbot op eigen houtje en tegen de afspraken in, dan is dat volgens de AP een datalek. Is het gebruik juist onderdeel van het beleid, dan is het geen datalek, maar volgens de AP vaak wel in strijd met de wet. Organisaties moeten beide situaties voorkomen.

Wat de AP organisaties adviseert: maak duidelijke afspraken over het gebruik van AI-chatbots, bepaal of medewerkers ze mogen gebruiken en welke gegevens wel en niet mogen worden ingevoerd, en overweeg met de aanbieder af te spreken dat die de ingevoerde gegevens niet opslaat. Is er toch iets misgegaan, dan is melden bij de AP en bij de betrokkenen in veel gevallen verplicht. Meer over wat de AVG betekent voor klantdata lees je in de uitleg over AI en de AVG.

AI Act: AI-geletterdheid sinds februari 2025

De AI Act vraagt van organisaties die AI-systemen gebruiken ("deployers", gebruikers in vaktaal) dat ze hun medewerkers helpen AI te begrijpen. Dat staat in artikel 4 en geldt volgens de Europese Commissie sinds 2 februari 2025. Het artikel is aangepast door de Digital Omnibus on AI. In de huidige tekst moeten aanbieders en gebruikers maatregelen nemen om de AI-geletterdheid van hun medewerkers en andere betrokkenen te ondersteunen, passend bij hun kennis, ervaring en de context. Een bepaald niveau voor elke individuele medewerker hoeft niet gegarandeerd te worden.

Wat betekent dat voor jou? De plicht ligt bij de organisatie, niet bij jou persoonlijk. Zet je werkgever ChatGPT in, dan hoort daar uitleg of training bij. Volgens de Commissie is er geen vast format, hoeven er geen certificaten te zijn en is alleen verwijzen naar de gebruiksaanwijzing meestal niet genoeg. Toezicht en handhaving door nationale toezichthouders gelden volgens de Commissie vanaf 2 augustus 2026. Wil je weten wat dit je organisatie vraagt, lees dan AI-geletterdheid: wat de AI Act van je personeel vraagt en de algemene uitleg over de AI Act.

Mag je werkgever het verbieden of controleren?

Een werkgever mag in het algemeen redelijke instructies geven over hoe je je werk doet, en daar kan een verbod op bepaalde tools onder vallen. Je kunt ook gevraagd worden om alleen een goedgekeurd account te gebruiken. Controleren hoe medewerkers met AI werken kan, maar dat moet voldoen aan de privacyregels: een werkgever moet duidelijk zijn over wat hij bekijkt en waarom, en bij een ondernemingsraad speelt die vaak een rol. Hoe ver dat precies mag gaan, hangt van de situatie af en is iets voor een jurist of de ondernemingsraad. Het meest betrouwbare uitgangspunt: vraag naar de regels en vraag om ze op papier.

De echte risico's op een rij

• Klantgegevens en persoonsgegevens. Het meest voorkomende risico, en het risico waar de AP al meldingen van datalekken over kreeg. Zie hierboven.
• Vertrouwelijke bedrijfsinformatie. Cijfers die nog niet gepubliceerd zijn, offertes, contracten, broncode, strategie. Heb je geheimhouding afgesproken met een klant of in je arbeidscontract, dan helpt een privé-account niet.
• Training op jouw invoer. Bij de persoonlijke abonnementen Free, Go, Plus en Pro staat het delen van je gesprekken met OpenAI om modellen te verbeteren volgens het helpcentrum standaard aan. Je kunt het uitzetten (zie hieronder).
• Hallucinaties. ChatGPT kan overtuigend onzin schrijven: verzonnen bronnen, verkeerde cijfers, onjuiste juridische of medische uitspraken. Controleer alles wat je doorstuurt of publiceert.
• Schaduw-AI. Medewerkers die op eigen initiatief tools gebruiken, buiten het zicht van IT en privacy. Dat is precies het patroon waarover de AP meldingen kreeg. Zie ook onze uitleg over wat een AI-beleid regelt.
• Het verkeerde account. Op een privéaccount kan je werkgever niets beheren, en wat je invoert blijft in je eigen account staan, ook als je van baan wisselt.

Gratis, Plus, Business of Enterprise: wat gebeurt er met je data?

Het verschil tussen de abonnementen zit vooral in wie je data kan gebruiken en wie er toezicht op heeft. Alle gegevens hieronder komen van OpenAI zelf, zie de bronnen onderaan.

Een paar kanttekeningen. Uitzetten van training verwijdert je chats niet, dat is een aparte handeling. Geef je feedback met duim omhoog of omlaag, dan mag volgens OpenAI het hele gesprek alsnog voor training gebruikt worden. Een tijdelijke chat wordt niet gebruikt om modellen te verbeteren, maar kan volgens OpenAI tot 30 dagen worden bewaard voor veiligheid. Bij Business en Enterprise gebruikt OpenAI je gegevens standaard niet voor training, tenzij je zelf expliciet kiest om gegevens te delen (bijvoorbeeld via feedbackfuncties). OpenAI's eigen tekst: "By default, we do not use your business data for training our models".

Zakelijk betekent niet dat alles mag. Een verwerkersovereenkomst en geen training lossen niet op of je een bepaald bestand wel mag invoeren: dat blijft een beslissing van je organisatie. Meer over de abonnementen staat in ChatGPT zakelijk, de kosten vind je bij ChatGPT Plus en prijs, en een stappenplan om training uit te zetten staat in is ChatGPT veilig.

Checklist: wat mag erin en wat niet?

Meestal prima (zonder herleidbare gegevens):

• Teksten herschrijven, inkorten of in een andere toon zetten, zolang er niets vertrouwelijks in staat.
• Brainstormen, structuren en agenda's opzetten, e-mails in concept laten schrijven.
• Algemene vragen, uitleg van begrippen, formules voor Excel of Sheets zonder de echte data.
• Openbare informatie samenvatten.

Liever niet, tenzij je werkgever het via een zakelijk account met afspraken heeft geregeld:

• Persoonsgegevens van klanten, patiënten, leerlingen, sollicitanten of collega's.
• Bijzondere gegevens zoals medische informatie, en BSN of rekeningnummers.
• Contracten, offertes, financiële cijfers die nog niet openbaar zijn, broncode, wachtwoorden en API-sleutels.
• Alles waar je een geheimhoudingsplicht voor hebt.

Werkwijze die helpt:

1. Lees eerst het AI-beleid of vraag ernaar. Bestaat het niet, mail dan je leidinggevende.
2. Gebruik een account dat je werkgever kent, liefst een zakelijk account.
3. Haal namen, nummers en adressen weg of vervang ze voordat je iets plakt.
4. Zet training uit als je een persoonlijk account gebruikt.
5. Controleer de uitkomst zelf, zeker bij feiten, cijfers en juridische of medische punten.
6. Zeg waar nodig dat AI is gebruikt, zeker als een klant of je werkgever daar waarde aan hecht.

Hoe bespreek je het met je werkgever?

Wacht niet tot er iets misgaat. Een korte, concrete vraag werkt beter dan een principiële discussie. Je kunt je leidinggevende bijvoorbeeld vragen: mag ChatGPT voor concepten van klantmails en het samenvatten van openbare rapporten, met welk account, en welke gegevens zijn verboden? Vraag door op drie punten: welk account, welke data en wie je vraagt bij twijfel.

Ben je zelf leidinggevende of eigenaar van een bedrijf, dan is het slim om de afspraken niet te laten bij een verbod. Een verbod zonder alternatief kan ertoe leiden dat medewerkers het toch op eigen houtje doen, en juist dat leverde de meldingen bij de AP op. Kies liever een zakelijk account, schrijf op wat er wel en niet in mag, zorg voor uitleg of training (de AI Act vraagt dat) en bekijk of een verwerkersovereenkomst nodig is. Voor kleine bedrijven is AI voor bedrijven en het mkb een goed beginpunt. Gebruik je liever een andere aanbieder, vergelijk dan Copilot en ChatGPT.

Veelgestelde vragen

Mag mijn werkgever ChatGPT verbieden?

In het algemeen mag een werkgever redelijke instructies geven over hoe je werkt, en dat kan een verbod op bepaalde tools omvatten. Lees je arbeidscontract, de gedragscode en het AI-beleid, en vraag bij twijfel de ondernemingsraad of een jurist. Dit is geen juridisch advies.

Mag ik klantgegevens in ChatGPT zetten?

Niet zomaar. Persoonsgegevens vallen onder de AVG en de AP waarschuwt dat het invoeren ervan in een chatbot tot een datalek kan leiden als dat tegen de afspraken in gebeurt. Alleen met toestemming van je werkgever, en bij voorkeur in een zakelijk account met een verwerkersovereenkomst, kan dit verantwoord zijn. Anonimiseer waar het kan.

Gebruikt OpenAI mijn gesprekken om ChatGPT te trainen?

Bij Free, Go, Plus en Pro wel, tenzij je "Improve the model for everyone" uitzet in Settings, Data controls. Bij Business en Enterprise gebeurt dat volgens OpenAI standaard niet.

Moet mijn werkgever mij AI leren gebruiken?

De AI Act verplicht organisaties die AI gebruiken om de AI-geletterdheid van hun medewerkers te ondersteunen, in verhouding tot hun kennis en de context. Een vast programma of certificaat schrijft de wet niet voor, volgens de Europese Commissie. Zie AI-geletterdheid.

Wat als ik per ongeluk persoonsgegevens heb ingevoerd?

Meld het direct bij je leidinggevende of de functionaris gegevensbescherming. Of het een datalek is dat bij de AP gemeld moet worden, beoordeelt je organisatie. Volgens de AP is melden in veel gevallen verplicht.

Bronnen

• Enterprise privacy at OpenAI (OpenAI)
• Data controls in ChatGPT (OpenAI Help Center)
• Caution: use of AI chatbot may lead to data breaches (Autoriteit Persoonsgegevens)
• AI literacy: questions and answers (Europese Commissie)
• Article 4: AI literacy (AI Act Service Desk, Europese Commissie)