Het privacybeleid van ChatGPT uitgelegd in begrijpelijke taal

Volgens het privacybeleid van OpenAI bewaart ChatGPT je accountgegevens, alles wat je typt en uploadt en technische gegevens over je apparaat. Het kan je chats gebruiken om zijn modellen te trainen, tenzij je dat uitzet. Het deelt gegevens met zijn leveranciers en gelieerde bedrijven en, wanneer de wet dat vereist, met overheidsinstanties. Een verwijderde chat wordt binnen 30 dagen verwijderd, behoudens uitzonderingen. Hieronder volgt het beleid per onderdeel, zoals het geldt in oktober 2026, en wat het betekent als je met cliëntdocumenten werkt.

Drie versies, en welke voor jou geldt

OpenAI publiceert zijn privacybeleid in drie versies. De onderdelen zijn vrijwel hetzelfde; de verschillen zitten in advertenties, rechtsgronden en gegevensdoorgiften.

Het bedrijf in de laatste kolom is de "verwerkingsverantwoordelijke": het bepaalt hoe je gegevens worden gebruikt en is daarvoor verantwoordelijk onder de wetgeving inzake gegevensbescherming. Gebruikers in Zuid-Korea hebben ook een afzonderlijke aanvulling.

Alle drie de versies beginnen met dezelfde zin over wat ze niet omvatten: "Dit privacybeleid is niet van toepassing op inhoud die we namens klanten van onze zakelijke diensten verwerken, zoals onze API."

Wat OpenAI verzamelt

Het beleid verdeelt de gegevens in wat je zelf verstrekt, wat tijdens je gebruik van de dienst wordt geregistreerd en wat via anderen wordt verkregen.

• Accountgegevens: naam, contactgegevens, wachtwoord, geboortedatum, betalingsgegevens en transactiegeschiedenis.
• Gebruikersinhoud: "je prompts en andere inhoud die je uploadt", waaronder bestanden, afbeeldingen, audio en video, en gegevens van diensten die je met ChatGPT verbindt.
• Communicatiegegevens: wat je per e-mail of op sociale media aan OpenAI schrijft.
• Contacten, als je ervoor kiest het adresboek van je telefoon te koppelen.
• Log-, gebruiks- en apparaatgegevens: IP-adres, browser, tijdstip van elk verzoek, gebruikte functies, apparaattype en identificatiegegevens.
• Locatie: de algemene omgeving, afgeleid van je IP-adres. Je exacte gps-locatie alleen als je ervoor kiest die te delen.
• Cookies en vergelijkbare technologieën, vermeld als gegevenstype in de Europese versie en beschreven in een apart cookiebeleid.
• Gegevens van anderen: beveiligingspartners, marketingleveranciers en openbare informatie op internet die wordt gebruikt om de modellen te bouwen.

De Amerikaanse en Europese versies voegen nog een onderdeel toe: voor gebruikers van Free en Go verzamelt OpenAI "advertentiegeschiedenis en interesses" en kan het informatie van adverteerders ontvangen, bijvoorbeeld "over aankopen die je doet". De versie voor de rest van de wereld, voor het laatst bijgewerkt in februari, vermeldt geen advertenties.

Waarvoor de gegevens worden gebruikt

De lijst bevat wat je zou verwachten: de dienst laten werken, verbeteren en personaliseren, je berichten sturen, fraude voorkomen en aan de wet voldoen. Een van de doeleinden is het trainen van modellen: "we mogen de inhoud die je ons verstrekt gebruiken om onze diensten te verbeteren, bijvoorbeeld om de modellen te trainen die ChatGPT aandrijven."

Bij persoonlijke abonnementen staat training aan totdat je die uitzet. In het beleid staat een link naar de instructies van OpenAI om je af te melden, en onze gids over AI-gegevensinstellingen laat zien waar de schakelaar staat. Tijdelijke chats worden ook niet voor training gebruikt.

De Europese versie vermeldt ook de rechtsgrond voor elk doel. Training is gebaseerd op de „gerechtvaardigde belangen van OpenAI en die van derden en de samenleving als geheel”, niet op jouw toestemming. Gepersonaliseerde advertenties voor gebruikers van Free en Go zijn gebaseerd op toestemming. Dat verschil is belangrijk: onder de AVG kun je bezwaar maken tegen verwerking op basis van gerechtvaardigde belangen.

In de Amerikaanse versie zegt OpenAI geen persoonsgegevens te „verkopen”, maar kan het beperkte gegevens delen met marketingpartners om op andere websites reclame te maken voor OpenAI. Je kunt je hiervoor afmelden met de privacyinstelling voor marketing in de instellingen of met Global Privacy Control in je browser.

Met wie gegevens worden gedeeld

• Leveranciers en dienstverleners: hosting, cloud, klantenservice, betalingen, analyses, leeftijds- en identiteitscontroles, zoek- en winkelproviders. Zij mogen de gegevens „alleen gebruiken bij de uitvoering van hun taken” voor OpenAI.
• Gelieerde ondernemingen: andere bedrijven binnen de OpenAI-groep.
• Bedrijfsoverdrachten: kopers of rechtsopvolgers bij een fusie, reorganisatie of faillissement.
• Overheidsinstanties en andere derden: om aan de wet te voldoen, de rechten van OpenAI te beschermen, of als OpenAI „naar eigen goeddunken” vaststelt dat de voorwaarden of de wet zijn geschonden.
• Beheerders van zakelijke accounts: als je deelneemt aan de werkruimte van een bedrijf, kunnen de beheerders ervan „toegang krijgen tot je OpenAI-account en dit beheren, waaronder toegang tot je Inhoud”.
• Ouders of voogden van tieners die hun accounts koppelen.
• Andere gebruikers en derden met wie je informatie deelt: een gedeelde chatlink, of informatie die je doorgeeft aan zoek- en winkelpartners, waarop vervolgens hun eigen beleid van toepassing is.

Gedeelde links zijn het enige onderdeel op deze lijst waar je zelf rechtstreeks controle over hebt. Ons artikel over ChatGPT-datalekken beschrijft wat er gebeurde toen gedeelde chats vindbaar werden via zoekmachines.

Hoe lang gegevens worden bewaard

Er is geen vaste bewaartermijn. Het beleid noemt drie gevallen:

• Bewaard totdat je het verwijdert: chats, herinneringen en het account. Nadat je iets hebt verwijderd, zegt OpenAI dat het „binnen 30 dagen uit onze systemen wordt verwijderd”.
• Automatisch verwijderd: Tijdelijke chats, binnen 30 dagen.
• Langer bewaard: als de wet dat vereist (het genoemde voorbeeld is „een rechtmatig dagvaarding”), voor fraude en misbruik, na een verbanning, voor betalingsgegevens en voor de registratie van je eigen verwijderingsverzoek.

Er is één uitzondering op verwijdering. Inhoud die voor modeltraining „al is gedeïdentificeerd en losgekoppeld van je account” wordt niet verwijderd wanneer je de chat verwijdert. Als je training uitschakelt, geldt dat voor toekomstige chats, niet voor chats die al zijn gebruikt.

Je rechten en hoe je die uitoefent

Elke versie vermeldt het recht om je gegevens in te zien, te corrigeren en te verwijderen, het gebruik ervan te beperken, een kopie over te dragen naar een andere dienst en je toestemming in te trekken. De Europese versie voegt twee rechten om bezwaar te maken toe: tegen direct marketing en tegen verwerking op basis van gerechtvaardigde belangen. De Amerikaanse versie vermeldt de rechten die sommige staatswetten toekennen, waaronder het recht om in beroep te gaan tegen een afgewezen verzoek.

Zo maak je er gebruik van:

• In de instellingen van ChatGPT: exporteer je gegevens, verwijder chats of verwijder je hele account.
• Via de privacyportal of per e-mail aan dsar@openai.com, voor zaken die je niet via de instellingen kunt regelen.
• De functionaris voor gegevensbescherming: dpo@openai.com.
• Een klacht indienen bij een toezichthouder: in de EER bij de Ierse gegevensbeschermingscommissie als leidende toezichthouder of bij je eigen nationale toezichthouder; in het VK bij de Information Commissioner's Office; in Zwitserland bij de Federal Data Protection and Information Commissioner.

Het beleid gaat ook over onjuiste antwoorden over jou. ChatGPT kan onjuiste feiten over een echt persoon produceren; je kunt om correctie of verwijdering vragen, en OpenAI zal dit beoordelen „op basis van toepasselijk recht en de technische mogelijkheden van onze modellen”. Dat is geen belofte dat de onjuistheid wordt hersteld.

Kinderen en internationale doorgiften

ChatGPT is niet bedoeld voor kinderen jonger dan 13 jaar. Gebruikers jonger dan 18 jaar hebben toestemming van een ouder of voogd nodig, en tieners kunnen hun accounts aan die van een ouder koppelen.

Gegevens worden verwerkt in de Verenigde Staten en in de landen waar de gelieerde ondernemingen en leveranciers van OpenAI gevestigd zijn. Voor gebruikers in Europa vermeldt het beleid dat doorgifte is gebaseerd op adequaatheidsbesluiten van de Europese Commissie, de adequaatheidsregels van het VK en de standaardcontractbepalingen met het aanhangsel voor het VK. De andere twee versies zeggen alleen dat OpenAI „wettelijk geldige doorgiftemechanismen” gebruikt.

Het gedeelte over beveiliging is kort en eindigt met een advies dat het citeren waard is: „je moet zorgvuldig overwegen welke informatie je aan de Diensten verstrekt."

Het volledige beleid in één tabel

Wat dit betekent voor professionele documenten

Het beleid is geschreven vanuit jouw perspectief als accounthouder. Afgezien van contacten in je adresboek is er geen afzonderlijk onderdeel voor mensen die alleen voorkomen in wat je plakt. Als je een contract van een cliënt in een persoonlijk ChatGPT-account plakt, worden de naam en gegevens van de cliënt onderdeel van jouw „Inhoud”: ze worden opgeslagen, vallen onder je trainingsinstelling en zijn onderworpen aan dezelfde regels voor delen en bewaren als je eigen woorden. De cliënt heeft zelf geen instellingen.

Zakelijke abonnementen werken anders. De OpenAI Services Agreement is van toepassing op de API, ChatGPT Business en ChatGPT Enterprise, en „is niet van toepassing op OpenAI-diensten die door consumenten of particulieren worden gebruikt”. Het Data Processing Addendum dat eraan is toegevoegd, zegt: „OpenAI treedt op als verwerker namens de klant”: jouw bedrijf neemt de beslissingen, OpenAI verwerkt de gegevens. Klanten in de EER of Zwitserland sluiten het met OpenAI Ireland. Op de privacy-pagina voor zakelijke klantenzegt OpenAI dat zakelijke gegevens standaard niet worden gebruikt voor training.

Een zakelijk abonnement verandert wie beslissingen neemt over de gegevens. Het zorgt er niet voor dat de gegevens op jouw computer blijven: chats worden nog steeds door OpenAI opgeslagen en beheerders van werkruimten kunnen ze lezen. Of jouw bedrijf ChatGPT überhaupt voor cliëntbestanden mag gebruiken, bij welk abonnement dan ook, is een vraag voor je functionaris voor gegevensbescherming of een advocaat die jouw beroepsregels kent. Ons artikel over documenten uploaden naar ChatGPT beschrijft de opslag en toegang per abonnement.

De methode die bij elk abonnement werkt, is minder versturen. Vervang namen, adressen, accountnummers en identificatienummers door plaatsaanduidingen voordat de tekst je computer verlaat, en zet de echte namen daarna terug in het antwoord. Wat OpenAI volgens zijn beleid opslaat, is dan een document over Person_1 en Company_1.

Veelgestelde vragen

Leest OpenAI mijn ChatGPT-gesprekken?

Volgens het beleid controleert OpenAI inhoud om fraude, misbruik en oneigenlijk gebruik te voorkomen, en kunnen leveranciers zoals aanbieders van ondersteuning en veiligheidsdiensten de inhoud verwerken. Het beleid belooft niet dat niemand ooit een chat zal zien.

Valt een betaald Plus- of Pro-abonnement onder een ander beleid?

Nee. Plus en Pro zijn persoonlijke abonnementen en vallen onder hetzelfde privacybeleid als het gratis abonnement. De afzonderlijke zakelijke voorwaarden gelden voor ChatGPT Business, ChatGPT Enterprise en de API.

Kan ik OpenAI vragen alles over mij te verwijderen?

Je kunt je account verwijderen via de instellingen of een verzoek indienen via de privacyportal. OpenAI kan gegevens blijven bewaren die nodig zijn om juridische, veiligheids- of betalingsredenen, evenals inhoud die al voor training is gedeïdentificeerd.

Voldoet ChatGPT aan de AVG?

Het beleid beschrijft hoe OpenAI de AVG toepast op zijn eigen verwerkingen. Of jouw gebruik van ChatGPT met persoonsgegevens van cliënten aan de regels voldoet, is een aparte vraag en hangt af van je abonnement, je contract en je eigen verplichtingen.

ClientSafe vervangt namen van cliënten, adressen, telefoonnummers, accountnummers en identificatienummers op je pc door plaatsaanduidingen. Zo bevat de kopie die je in ChatGPT plakt plaatsaanduidingen in plaats van namen, en worden de echte namen teruggezet in het antwoord. De detectie is niet perfect, dus controleer wat er is gevonden voordat je de tekst kopieert.