Dit is een machinevertaling van het originele Engelstalige document. In het geval van een conflict tussen deze vertaling en de originele Engelse versie, is de Engelse versie doorslaggevend. Lees de originele Engelse versie
Hoeveel gegevens slaat ChatGPT over u op? Een technische audit
2026-04-02 · Caiioo Team
Als u ChatGPT op het werk gebruikt, heeft uw werkgever waarschijnlijk vragen. Als u de werkgever bent, zou u die zeker moeten hebben.
Dit is een technische audit van wat OpenAI verzamelt, hoe lang ze het bewaren en wat het betekent voor teams in gereguleerde sectoren. We kijken ook naar hoe de Bring Your Own Key (BYOK)-architectuur de vergelijking volledig verandert.
Wat ChatGPT opslaat: Het volledige plaatje
OpenAI's eigen helpcentrum-documentatie stelt dat chats worden "opgeslagen in uw account totdat u ze handmatig verwijdert". Wanneer u een chat verwijdert, wordt deze "onmiddellijk uit uw account verwijderd en gepland voor permanente verwijdering uit de systemen van OpenAI binnen 30 dagen" -- tenzij deze al is geanonimiseerd, of OpenAI deze moet bewaren voor beveiligings- of wettelijke verplichtingen.
Maar gesprekken zijn slechts een deel van het verhaal. OpenAI's privacybeleid beschrijft uitgebreide automatische gegevensverzameling:
- Loggegevens -- IP-adres, browsertype en -instellingen, datum en tijd van verzoeken, en hoe u met de diensten omgaat
- Gebruiksgegevens -- soorten inhoud die u bekijkt of waarmee u interactie hebt, functies die u gebruikt, acties die u onderneemt en feedback die u indient
- Apparaatinformatie -- apparaatnaam, besturingssysteem, apparaat-ID's en browsertype
- Accountinformatie -- naam, contactgegevens, betalingsinformatie en transactiegeschiedenis
Deze metadata creëren een gedetailleerd gedragsprofiel voor elke gebruiker. Zelfs als u nooit gevoelige informatie in een prompt deelt, onthullen uw gebruikspatronen alleen al aanzienlijke informatie over uw werk.
Het gerechtelijk bevel dat alles veranderde
In mei 2025 vereiste een federaal gerechtelijk bevel (Zaaknr. 1:23-cv-11195, S.D.N.Y.) van magistraat-rechter Ona T. Wang in de auteursrechtelijke rechtszaak New York Times v. OpenAI dat OpenAI "alle output-loggegevens die anders zouden worden verwijderd, bewaart en segregeert" -- voor onbepaalde tijd. OpenAI's verzoek tot heroverweging werd afgewezen op 16 mei 2025.
Wat dit in de praktijk betekent: zelfs als u uw chats hebt verwijderd, kan OpenAI wettelijk verplicht zijn ze te bewaren. Het verwijderingsvenster van 30 dagen dat in hun privacybeleid wordt beschreven, wordt overruled door het gerechtelijk mandaat. In januari 2026 handhaafde districtsrechter Sidney Stein het bevel, waardoor OpenAI een steekproef van 20 miljoen geanonimiseerde gebruikerslogs -- prompts en outputs -- moet overleggen als bewijsmateriaal.
Uw gesprekken kunnen toekomstige modellen trainen
Standaard worden gesprekken op consumentenabonnementen gebruikt voor modeltraining. OpenAI's eigen helpcentrum-documentatie stelt: "Wanneer u onze diensten voor individuen gebruikt, zoals ChatGPT, Codex en Sora, kunnen we uw inhoud gebruiken om onze modellen te trainen." U kunt zich afmelden via het privacyportaal of via Instellingen > Gegevensbeheer -- maar zoals OpenAI opmerkt: "zodra u zich afmeldt, zullen nieuwe gesprekken niet worden gebruikt om onze modellen te trainen." Alle reeds ingediende gegevens blijven in de trainingspijplijn.
Afmelden verandert ook niets aan hoe lang uw gegevens worden bewaard. Het verandert alleen of ze worden gebruikt om modellen te verbeteren.
Enterprise vs. Individueel: Een systeem met twee niveaus
OpenAI hanteert een duidelijk privacy-model met twee niveaus:
| Individueel (Gratis/Plus/Pro) | Enterprise/Edu | |
|---|---|---|
| Gegevensbewaring | Onbepaald (gerechtelijk bevolen) | Beheerd door admin |
| Gebruik voor training | Standaard ja (opt-out beschikbaar) | Geen standaard training |
| Vrijgesteld van gerechtelijk bevel? | Nee | Ja |
| Beheerderscontroles | Geen | Volledig bewaarbeleid |
| Verwijderingstermijn | 30 dagen (indien toegestaan) | 30 dagen, configureerbaar door admin |
Voor individuele gebruikers is er geen manier om te garanderen dat uw gegevens daadwerkelijk worden verwijderd. Voor Enterprise-klanten beheren workspace-beheerders de bewaring, en worden gegevens standaard niet gebruikt voor training.
Het probleem voor kleine en middelgrote teams: Enterprise-abonnementen beginnen bij aanzienlijke minima. Een adviesbureau van 10 personen heeft geen toegang tot privacycontroles op Enterprise-niveau.
AVG-naleving: Een open vraag
De praktijken van ChatGPT voor onbepaalde bewaring roepen serieuze vragen op over de naleving van de AVG (GDPR), met name rond de principes van gegevensminimalisatie en opslagbeperking. In maart 2023 vaardigde de Italiaanse gegevensbeschermingsautoriteit (Garante per la Protezione dei Dati Personali) een noodbevel uit dat ChatGPT tijdelijk verbood, onder verwijzing naar schendingen van AVG-artikelen 5, 6, 8, 13 en 25 -- inclusief het ontbreken van een wettelijke basis voor gegevensverzameling, geen privacyverklaring voor gebruikers en geen leeftijdsverificatie. Het verbod werd in april 2023 opgeheven nadat OpenAI wijzigingen had doorgevoerd, maar het bredere regelgevende beeld blijft onzeker.
Voor teams die klantgegevens verwerken in gereguleerde sectoren -- juridisch, gezondheidszorg, financiële dienstverlening -- betekent het gebruik van ChatGPT dat OpenAI wordt geaccepteerd als gegevensverwerker. Dat activeert de verplichtingen van AVG-artikel 28: u hebt een verwerkersovereenkomst (DPA) nodig, u moet verwerkingsactiviteiten documenteren en u moet ervoor zorgen dat de verwerker aan uw beveiligingseisen voldoet.
De verborgen kosten: Compliance-overhead
Wanneer uw team ChatGPT gebruikt, wordt OpenAI een gegevensverwerker in uw compliance-keten. Dit betekent:
- Een verwerkersovereenkomst (DPA) is vereist -- waarin wordt gedefinieerd hoe OpenAI persoonsgegevens namens u verwerkt, met specificatie van beveiligingsmaatregelen, limieten voor subverwerking en meldingsplichten bij datalekken.
- Verplichtingen uit AVG-artikel 28 worden geactiveerd -- verwerkers mogen gegevens alleen verwerken volgens uw instructies, moeten vertrouwelijkheid garanderen, beveiligingsmaatregelen implementeren, lekken melden en audits toestaan.
- Uw beveiligingsbeoordeling moet OpenAI omvatten -- elke risicobeoordeling van leveranciers, elke SOC 2-auditvraag, elke beveiligingsvragenlijst van klanten heeft nu een extra afhankelijkheid.
Voor een advocatenkantoor of zorgpraktijk van 20 personen kan deze compliance-overhead duurder zijn dan het abonnement zelf.
Wat BYOK-architectuur verandert
Bring Your Own Key (BYOK) is een architecturaal patroon waarbij de AI-tool uw gegevens nooit aanraakt. In plaats daarvan:
- U verstrekt uw eigen API-sleutel van de AI-provider (OpenAI, Anthropic, Google, etc.)
- Query's worden rechtstreeks gerouteerd van uw apparaat naar de provider -- de tool is nooit een tussenpersoon
- De tool slaat niets op -- geen gesprekken, geen metadata, geen gedragsprofielen
- Geen DPA vereist met de tool-leverancier -- omdat deze geen gegevensverwerker is
Het verschil in gegevensstroom is fundamenteel:
| ChatGPT (Cloud-hosted) | BYOK-architectuur | |
|---|---|---|
| Gegevenspad | U > OpenAI-servers > Model > OpenAI > U | U > Provider API rechtstreeks > U |
| Tussenpersoon | OpenAI verwerkt alle query's | Geen -- directe API-aanroepen |
| Zichtbaarheid gegevens | Platform logt en ziet alle query's | Provider ziet alleen API-aanroep |
| Opslag | Op OpenAI-servers, onbepaald | Alleen lokaal apparaat |
| Tool-leverancier als verwerker? | Ja | Nee |
Met BYOK is uw compliance-relatie alleen met de AI-provider die u kiest, op voorwaarden die u rechtstreeks onderhandelt. De tool zelf is onzichtbaar voor uw compliance-keten.
Wat dit betekent voor uw team
Een enquête uit 2026 onder 2.600 privacy- en beveiligingsprofessionals wees uit dat 64% zich zorgen maakt over het onbedoeld delen van gevoelige gegevens via generatieve AI-tools -- toch geeft ongeveer de helft toe desondanks persoonlijke of niet-openbare gegevens in te voeren. De kloof tussen bezorgdheid en gedrag is waar het risico leeft.
Als u verantwoordelijk bent voor AI-governance in uw organisatie, zijn dit de vragen die u moet stellen:
- Is uw AI-tool een gegevensverwerker? Zo ja, dan hebt u een DPA, compliance-documentatie en voortdurende risicobeoordeling van de leverancier nodig.
- Waar bevinden de gespreksgegevens zich? Cloud-hosted betekent de servers van de leverancier. BYOK met local-first opslag betekent uw apparaten.
- Kunt u verwijdering garanderen? Met de door de rechter bevolen bewaring van ChatGPT is het antwoord momenteel nee voor consumentenabonnementen.
- Heeft uw team consistente tools? Individuele abonnementen voor 20 personen betekenen 20 afzonderlijke compliance-relaties.
- Wat zijn de totale kosten? Reken niet alleen de abonnementskosten, maar ook de compliance-overhead, DPA-onderhandelingen en tijd voor risicobeoordeling van leveranciers.
De Conclusie
ChatGPT is een krachtig hulpmiddel. Het is echter ook een gegevensverwerker die je gesprekken voor onbepaalde tijd bewaart, deze standaard gebruikt voor training en opereert onder een gerechtelijk bevel dat zijn eigen verwijderingsbeleid kan overstijgen.
Voor individuen zijn deze compromissen wellicht acceptabel. Voor teams die werken met vertrouwelijke klantgegevens, patiëntgegevens, financiële overzichten of concurrentiegevoelige informatie, vormen ze een reëel risico.
De BYOK-architectuur verwijdert de softwareleverancier volledig uit de nalevingsvergelijking. Je gegevens raken nooit een tussenpersoon aan. Geen verwerkersovereenkomst (DPA) vereist. Geen AVG-artikel 28-verplichtingen bij de softwareleverancier. Geen onbepaalde bewaring van de gesprekken van je team op servers van derden.
De keuze is niet tussen wel of geen AI. Het is de keuze tussen AI met governance en AI zonder.
Caiioo maakt gebruik van de BYOK-architectuur met local-first opslag. Je gesprekken raken onze servers nooit aan. Lees meer over onze privacy-architectuur of ga gratis aan de slag.