# Mag je klantgegevens of klantmails in ChatGPT of andere AI-tools stoppen?

DXSIGN, Rotterdam · Laurens van Riel · bijgewerkt 2026-10-29 · https://dxsign.nl/kennis/klantgegevens-ai-tools/

**Kort antwoord:** Niet zomaar. Ook met een AI-tool gelden de gewone AVG-regels: je hebt een grondslag nodig, je gebruikt gegevens alleen voor het doel waarvoor je ze kreeg, je gebruikt er zo weinig mogelijk, en je beveiligt ze. Gebruik daarom een zakelijke versie met een verwerkersovereenkomst en zonder training op jouw invoer. Laat namen en contactgegevens weg waar het kan. Plak nooit gevoelige gegevens in een gratis consumentenaccount.

Een lastige klantmail laten herschrijven, een offerte samenvatten, tien reacties op een post ordenen: AI-tools besparen echt tijd. Wij bouwen zulke workflows ook voor klanten. Maar zodra er een naam, mailadres of klantverhaal in je prompt staat, verwerk je persoonsgegevens. En dan gelden de regels van de AVG, ook als het “maar even” is.

## Wat de AVG vraagt, toegepast op AI

De AP zet de regels voor AI op een rij. Dit zijn de regels die er voor dagelijks gebruik toe doen:

- **Grondslag.** Je mag persoonsgegevens alleen verwerken als je daar een grondslag voor hebt. Een klantmail beantwoorden valt meestal onder de uitvoering van je overeenkomst. Klantgegevens gebruiken om een AI-model te voeden, valt daar niet vanzelf onder.
- **Doelbinding.** Gegevens die je kreeg voor een offerte, gebruik je niet zomaar voor iets anders.
- **Dataminimalisatie.** Gebruik zo min mogelijk gegevens. Voor een samenvatting van een klacht heeft de tool de naam van je klant niet nodig.
- **Beveiliging.** Je moet persoonsgegevens goed beveiligen, ook bij de tools die je gebruikt.
- **Transparantie.** Je klanten moeten kunnen weten wat je met hun gegevens doet. Gebruik je AI structureel voor klantcontact, zet het dan in je privacyverklaring.

## De tool is een verwerker

Een AI-dienst die klantgegevens voor jou verwerkt, is meestal een verwerker. Dan heb je een verwerkersovereenkomst nodig (artikel 28 AVG). Bij gratis consumentenaccounts is die er doorgaans niet. Zakelijke abonnementen bieden er vaak wel een aan. Controleer het altijd voor jouw abonnement, net als twee andere dingen:

- **Traint de aanbieder op jouw invoer?** Zo ja, dan gebruikt die je klantgegevens voor een eigen doel. Kijk of het uit staat, en of je dat zelf kunt regelen.
- **Waar worden de gegevens verwerkt?** Gaan ze naar een land buiten de Europese Economische Ruimte, dan gelden extra regels voor die doorgifte.

## Vijf vragen voordat je een AI-tool gebruikt

1. Staan er persoonsgegevens in wat ik wil invoeren? (Namen, mailadressen, telefoonnummers, klantverhalen, foto’s van mensen.)
2. Kan het zonder? Vervang namen door [klant A], of laat ze weg.
3. Is dit een zakelijk account met een verwerkersovereenkomst?
4. Traint de aanbieder op mijn invoer, en staat dat uit?
5. Zou mijn klant verrast zijn als hij wist dat zijn gegevens hier terechtkwamen?

Is het antwoord op 3 of 4 “weet ik niet”, voer dan geen klantgegevens in.

## Wat je beter weglaat

| Liever niet invoeren | Wel prima, mits zakelijk account |
|---|---|
| Gezondheidsgegevens, BSN, financiële details | Een klantmail zonder naam en contactgegevens |
| Volledige klantenbestanden of exports uit je CRM | Een samenvatting van een gesprek, met namen vervangen |
| Foto’s van herkenbare mensen, zonder dat zij weten waarvoor | Je eigen teksten, offertes zonder klantdetails, productinformatie |

Namen vervangen door codes heet pseudonimiseren. De AP noemt het een beveiligingsmaatregel: het verkleint het risico. Het blijven wel persoonsgegevens als jij de codes nog aan namen kunt koppelen.

## Bouw je er een proces omheen?

Gaat AI een vaste stap in je bedrijf worden, zoals elke binnenkomende lead laten samenvatten of klantvragen automatisch laten beantwoorden? Dan is het meer dan los gebruik. De AP noemt dan een DPIA: een risicoanalyse vooraf. Die is verplicht als er een hoog privacyrisico is. Zijn twee of meer van de negen criteria op de lijst van de AP van toepassing, dan moet het. Ook als het niet verplicht is, helpt zo’n analyse om de keuzes vast te leggen.

*Dit is geen juridisch advies. Twijfel je over een specifieke situatie, lees dan de pagina’s van de AP hieronder of vraag een jurist.*

## Bronnen

- [Autoriteit Persoonsgegevens, Regels bij gebruik van AI & algoritmes](https://autoriteitpersoonsgegevens.nl/themas/algoritmes-ai/algoritmes-ai-en-de-avg/regels-bij-gebruik-van-ai-algoritmes)
- [Autoriteit Persoonsgegevens, Verwerkersovereenkomst](https://autoriteitpersoonsgegevens.nl/themas/basis-avg/avg-algemeen/verwerkersovereenkomst)
- [Autoriteit Persoonsgegevens, Gegevens pseudonimiseren](https://autoriteitpersoonsgegevens.nl/themas/beveiliging/beveiliging-van-persoonsgegevens/gegevens-pseudonimiseren)
- [Autoriteit Persoonsgegevens, Doorgifte binnen en buiten de EER](https://autoriteitpersoonsgegevens.nl/themas/internationaal/doorgifte-binnen-en-buiten-de-eer)