Sjoerd Postma, jurist bij een advieskantoor, krijgt een Slack-bericht van een collega. "Ik laat ChatGPT even de aansprakelijkheidsparagraaf samenvatten, scheelt me een uur." In het document staan de namen van twee partijen, een rekeningnummer en de schikkingsbedragen. De collega gebruikt zijn eigen gratis account. Sjoerd typt één vraag terug: hebben we daar eigenlijk een verwerkersovereenkomst voor?
Het antwoord is bijna altijd: die heb je nodig, en bij een gratis account heb je hem niet.
Verwerkingsverantwoordelijke of verwerker?
De AVG kent twee rollen die bepalen wie waarvoor verantwoordelijk is. De verwerkingsverantwoordelijke stelt het doel van en de middelen voor de verwerking vast: waarom worden de gegevens verwerkt en hoe. Dat is jouw organisatie. De verwerker verwerkt persoonsgegevens ten behoeve van de verantwoordelijke en mag dat alleen doen op basis van schriftelijke instructies (Autoriteit Persoonsgegevens, geraadpleegd juni 2026).
Zet een medewerker een klantmail in een AI-tool om er een nette reactie van te maken, dan bepaalt jouw organisatie het doel. De AI-leverancier verwerkt de gegevens in die opdracht. In die situatie is de leverancier verwerker, en dat is precies het moment waarop de AVG een contract eist.
Wanneer is een verwerkersovereenkomst verplicht?
De regel is kort: laat je persoonsgegevens verwerken door een externe partij, dan is een verwerkersovereenkomst verplicht (artikel 28 AVG). Geen drempel, geen uitzondering voor "maar het is maar een chatbot".
Twee dingen bepalen of je er een nodig hebt. Komen er persoonsgegevens in de prompt? Bij zakelijk gebruik vrijwel altijd: een naam, een e-mailadres, een rekeningnummer, een dossiernummer. En verwerkt de leverancier die gegevens namens jou? Bij een AI-tool die jouw invoer verwerkt om een antwoord te geven: ja. Daarmee staat de verplichting vast.
Hier zit het verschil tussen accounttypes. Een gratis of persoonlijk AI-account werkt onder consumentenvoorwaarden. Daar hoort geen verwerkersovereenkomst bij, en de invoer kan worden gebruikt voor modelverbetering. Voor zakelijk gebruik met persoonsgegevens is een beheerd zakelijk account met een verwerkersovereenkomst het uitgangspunt. Meer over dat onderscheid in gratis versus zakelijk AI-account.
Wat moet er volgens artikel 28 in?
Artikel 28, lid 3 AVG schrijft de inhoud voor. Een verwerkersovereenkomst legt vast:
- Onderwerp en duur van de verwerking, de aard en het doel, de soorten persoonsgegevens en de categorieën betrokkenen.
- Verwerking alleen op instructie. De verwerker verwerkt de gegevens uitsluitend op basis van jouw gedocumenteerde instructies, tenzij een wet hem iets anders verplicht.
- Geheimhouding. Iedereen die toegang heeft tot de gegevens is tot vertrouwelijkheid verplicht.
- Beveiliging. Passende technische en organisatorische maatregelen (artikel 32 AVG).
- Subverwerkers. De verwerker schakelt geen andere verwerker in zonder jouw toestemming, en legt subverwerkers dezelfde verplichtingen op.
- Hulp bij rechten van betrokkenen. De verwerker helpt je verzoeken om inzage, rectificatie en verwijdering af te handelen.
- Hulp bij beveiliging en meldplicht. De verwerker ondersteunt je bij beveiliging, datalekken en, waar nodig, een DPIA.
- Teruggave of wissen. Na afloop van de opdracht geeft de verwerker de gegevens terug of wist hij ze, naar jouw keuze.
- Audit. De verwerker stelt alle informatie beschikbaar om naleving aan te tonen en maakt audits mogelijk.
Ontbreekt een van deze punten, dan voldoet de overeenkomst niet aan artikel 28. De Autoriteit Persoonsgegevens onderzocht eerder verwerkersovereenkomsten in de praktijk en zag op deze punten regelmatig gaten (Autoriteit Persoonsgegevens, geraadpleegd juni 2026).
Welke AI-leveranciers bieden een verwerkersovereenkomst?
De grote leveranciers bieden een verwerkersovereenkomst, maar steeds alleen op de zakelijke abonnementen. Het gratis consumentenaccount valt erbuiten.
| Leverancier | Verwerkersovereenkomst beschikbaar op | Niet op |
|---|---|---|
| OpenAI (ChatGPT) | API, ChatGPT Business, ChatGPT Enterprise | Persoonlijk (gratis) ChatGPT-account |
| Anthropic (Claude) | API, Team, Enterprise (opgenomen in de commerciële voorwaarden) | Free en Pro |
| Google (Gemini) | Workspace en Cloud, via de Cloud Data Processing Addendum | Persoonlijk Google-account |
| Microsoft (Copilot) | Microsoft 365 / Copilot zakelijk, via de Products and Services DPA en Product Terms | Consumentenaccount |
Bronnen, geraadpleegd juni 2026: OpenAI (Data Processing Addendum voor API en zakelijke diensten; een persoonlijk account kan de overeenkomst niet aangaan), Anthropic (de DPA is opgenomen in de commerciële voorwaarden voor API, Team en Enterprise; Free en Pro hebben er geen), Google (Cloud Data Processing Addendum voor Workspace en Cloud, inclusief SCC's), Microsoft (Microsoft 365 Copilot voor organisaties valt onder de Products and Services Data Protection Addendum en de Product Terms, met Microsoft als verwerker).
De praktische conclusie: kies het accounttype waarbij een verwerkersovereenkomst hoort, en controleer dat de overeenkomst ook echt geldt voor het product dat je gebruikt.
Dat is te overzien bij vier leveranciers. Het houdt op overzichtelijk te zijn zodra een team stilletjes de twintigste AI-tool gebruikt die nooit is gelogd. De catalogus van BeeSensible beoordeelt 865 AI-tools op precies dit soort vraag, waaronder of er een verwerkersovereenkomst beschikbaar is, naast datagovernance, rechtsmacht en incidenten, zodat de check niet bij elke nieuwe tool opnieuw bij nul begint.
Outlook
