Een beleidsmedewerker bij een gemeente gebruikt ChatGPT om een lange adviesnota samen te vatten voordat ze die leest. Een collega ziet het en vraagt of dat nog mag, nu de AI-verordening geldt. Ze weet het niet zeker, en de berichten over miljoenenboetes maken het er niet duidelijker op.
Het korte antwoord: in haar dagelijkse werk verandert weinig. ChatGPT draait op een AI-model voor algemene doeleinden, en de zware verplichtingen uit de AI-verordening liggen bij OpenAI als aanbieder. Haar organisatie moet drie dingen doen: uitleg geven over AI-gebruik, een paar toepassingen achterwege laten en bij bepaalde toepassingen de hoogrisicoregels volgen. Zelf moet ze vooral weten wat de organisatie over ChatGPT heeft besloten en welke gegevens niet in een prompt horen. Dat was vóór de AI-verordening ook al zo.
Wat is ChatGPT volgens de AI-verordening?
De wet maakt onderscheid tussen een AI-model en een AI-systeem. Het model is de techniek eronder; het systeem is de dienst die je gebruikt. ChatGPT is een AI-systeem dat draait op modellen van OpenAI, en dat zijn AI-modellen voor algemene doeleinden: ze kunnen veel verschillende taken uitvoeren en zijn niet voor één doel gebouwd.
Voor zulke modellen heeft de AI-verordening een apart hoofdstuk. De verplichtingen daarin gelden sinds 2 augustus 2025 en liggen bij de aanbieder: technische documentatie, informatie voor partijen die op het model voortbouwen, een auteursrechtbeleid en een samenvatting van de trainingsdata. Dat is werk van OpenAI, niet van jouw organisatie en niet van jou. De volledige tijdlijn, inclusief wat er in 2026 verschoof, staat in de tijdlijn van de AI-verordening na de Digital Omnibus.
Wat geldt er dan voor mijn organisatie?
Onder de AI-verordening is je werkgever gebruiksverantwoordelijke: een organisatie die onder eigen gezag een AI-systeem van een ander gebruikt. Daar horen minder verplichtingen bij dan bij de aanbieder. De volledige lijst staat in ons artikel over wat de AI-verordening voor werkgevers betekent; hieronder staat de kern voor wie ChatGPT gebruikt.
| Verplichting | Bij wie | Sinds | Wat jij ervan merkt |
|---|---|---|---|
| Documentatie en transparantie over het model | OpenAI, als aanbieder | 2 augustus 2025 | Niets direct |
| Maatregelen voor AI-geletterdheid (artikel 4) | Je organisatie | 2 februari 2025 | Uitleg over welke tools mogen en welke gegevens niet in een prompt horen |
| Verboden praktijken (artikel 5), zoals emotieherkenning op de werkplek | Je organisatie | 2 februari 2025 | Zulke functies worden niet ingezet |
| Transparantie bij chatbots en AI-inhoud (artikel 50) | Aanbieder en organisatie, afhankelijk van de toepassing | 2 augustus 2026 | Bij een chatbot voor klanten of burgers is duidelijk dat het AI is |
| Hoogrisicoregels (artikel 26) bij toepassingen uit bijlage III, zoals het beoordelen van sollicitanten | Je organisatie | 2 december 2027 | Alleen als ChatGPT voor zo'n toepassing wordt ingezet |
Over de laatste rij bestaat de meeste verwarring. De AI-verordening deelt toepassingen in, geen tools. ChatGPT gebruiken om een vacaturetekst te schrijven is geen toepassing met een hoog risico. Dezelfde tool vragen om vijftig sollicitaties op volgorde van geschiktheid te zetten, is een toepassing uit bijlage III. Daar beslist een medewerker niet in z'n eentje over. Dat besluit ligt bij de organisatie, die dan moet zorgen voor toezicht en instructies en de mensen om wie het gaat vooraf moet informeren.
Wat verandert er door artikel 50?
Sinds 2 augustus 2026 gelden de transparantieregels. Wie een chatbot voor klanten of burgers inzet, moet duidelijk maken dat mensen met AI praten. Aanbieders van systemen die tekst, beeld of geluid genereren, moeten ervoor zorgen dat die inhoud machineleesbaar gemarkeerd is; voor systemen die al op de markt waren, loopt daarvoor een overgangstermijn tot 2 december 2026. Deepfakes moeten als kunstmatig herkenbaar zijn.
Bij een interne mail of een verslag dat een collega naleest, hoef je volgens de AI-verordening niets te vermelden. Voor teksten die een organisatie publiceert om het publiek te informeren, kunnen aanvullende eisen gelden. Werk je in communicatie of woordvoering, vraag het dan na bij wie het beleid van de organisatie beheert. Daar wordt de grens getrokken, niet door de medewerker die een samenvatting maakt.
Wat blijft hetzelfde?
De AVG. Die gold al voor elke prompt met persoonsgegevens erin en verandert niet door de AI-verordening. Een adviesnota met namen van inwoners in ChatGPT plakken was vorig jaar een AVG-vraag en is dat nog steeds. Welk account je gebruikt, maakt daarbij uit: OpenAI stelt dat gegevens uit ChatGPT Business, Enterprise en Edu standaard niet voor modeltraining worden gebruikt, terwijl je dat bij een persoonlijk account zelf moet uitzetten. Wat er verder bij ChatGPT speelt, lees je in ons artikel over de privacyrisico's van ChatGPT; wat er wel en niet in een prompt kan, in onze gids over wat je met AI mag delen.
Hoe ziet dat eruit bij de gemeente?
De beleidsmedewerker vraagt het na. In het register van de gemeente blijken drie regels voor haar van belang te zijn: Copilot toegestaan; ChatGPT met een zakelijk account toegestaan voor openbare stukken; ChatGPT met een persoonlijk account niet toegestaan, met Copilot als alternatief. De adviesnota is openbaar, dus haar samenvatting was in orde. Wat ze niet wist: een collega bij werving beoordeelde sinds kort sollicitatiebrieven met ChatGPT, en juist over die toepassing zegt de AI-verordening wel iets. Dat gebruik ligt stil tot HR heeft bepaald hoe het toezicht eruit moet zien.
Uit een inventarisatie blijkt ook dat Perplexity en twee gespecialiseerde tools in gebruik zijn die nog niet in het register staan. Dat is geen incident. Het laat zien dat de vraag "wat hebben we over ChatGPT besloten?" alleen te beantwoorden is als de organisatie weet welke tools er in gebruik zijn, en dat een eenmalig gemaakte lijst snel verouderd is.
