Sjoerd Postma, jurist bij een advieskantoor, krijgt een Slack-bericht van een collega. "Ik laat ChatGPT even de aansprakelijkheidsparagraaf samenvatten, scheelt me een uur." In het document staan de namen van twee partijen, een rekeningnummer en de schikkingsbedragen. De collega gebruikt zijn eigen gratis account. Sjoerd typt één vraag terug: hebben we daar eigenlijk een verwerkersovereenkomst voor?
Het antwoord is bijna altijd: die heb je nodig, en bij een gratis account heb je die niet.
Verwerkingsverantwoordelijke of verwerker?
De AVG kent twee rollen die bepalen wie waarvoor verantwoordelijk is. De verwerkingsverantwoordelijke stelt het doel van en de middelen voor de verwerking vast: waarom de gegevens worden verwerkt en hoe. Dat is jouw organisatie. De verwerker verwerkt persoonsgegevens ten behoeve van de verantwoordelijke en mag dat alleen doen op basis van schriftelijke instructies (Autoriteit Persoonsgegevens, geraadpleegd juni 2026).
Plakt een medewerker een klantmail in een AI-tool om een nette reactie op te stellen, dan bepaalt jouw organisatie het doel. De AI-leverancier verwerkt de gegevens in jouw opdracht. In die situatie is de leverancier verwerker, en dat is precies het moment waarop de AVG een contract eist.
Wanneer is een verwerkersovereenkomst verplicht?
De regel is kort: laat je persoonsgegevens verwerken door een externe partij, dan is een verwerkersovereenkomst verplicht (artikel 28 AVG). Geen drempel, geen uitzondering voor "maar het is maar een chatbot".
Twee dingen bepalen of je er een nodig hebt. Komen er persoonsgegevens in de prompt? Bij zakelijk gebruik vrijwel altijd: een naam, een e-mailadres, een rekeningnummer, een dossiernummer. En verwerkt de leverancier die gegevens namens jou? Bij een AI-tool die jouw invoer verwerkt om een antwoord te geven: ja. Daarmee staat de verplichting vast.
Hier telt welk soort account je gebruikt. Een gratis of persoonlijk AI-account valt onder consumentenvoorwaarden. Daar hoort geen verwerkersovereenkomst bij, en de invoer kan worden gebruikt om het model te verbeteren. Voor zakelijk gebruik met persoonsgegevens is een beheerd zakelijk account met een verwerkersovereenkomst het uitgangspunt. Meer over dat onderscheid lees je in ons artikel over gratis en zakelijke AI-accounts.
Wat moet er volgens artikel 28 in?
Artikel 28, lid 3 AVG schrijft de inhoud voor. Een verwerkersovereenkomst legt vast:
- Onderwerp en duur van de verwerking, de aard en het doel, de soorten persoonsgegevens en de categorieën betrokkenen.
- Verwerking alleen op instructie. De verwerker verwerkt de gegevens uitsluitend op basis van jouw gedocumenteerde instructies, tenzij de wet hem tot iets anders verplicht.
- Geheimhouding. Iedereen die toegang heeft tot de gegevens, is tot geheimhouding verplicht.
- Beveiliging. Passende technische en organisatorische maatregelen (artikel 32 AVG).
- Subverwerkers. De verwerker schakelt geen andere verwerker in zonder jouw toestemming, en legt subverwerkers dezelfde verplichtingen op.
- Hulp bij rechten van betrokkenen. De verwerker helpt je verzoeken om inzage, rectificatie en verwijdering af te handelen.
- Hulp bij beveiliging en meldplicht. De verwerker ondersteunt je bij beveiliging, datalekken en, waar nodig, een DPIA.
- Teruggave of wissen. Na afloop van de opdracht geeft de verwerker de gegevens terug of wist hij ze, naar jouw keuze.
- Audit. De verwerker stelt alle informatie beschikbaar om naleving aan te tonen en maakt audits mogelijk.
Ontbreekt een van deze punten, dan voldoet de overeenkomst niet aan artikel 28. De Autoriteit Persoonsgegevens onderzocht eerder verwerkersovereenkomsten in de praktijk en zag op deze punten regelmatig gaten (Autoriteit Persoonsgegevens, geraadpleegd juni 2026).
Welke AI-leveranciers bieden een verwerkersovereenkomst?
De grote leveranciers bieden een verwerkersovereenkomst, maar steeds alleen op hun zakelijke abonnementen. Het gratis consumentenaccount valt erbuiten.
| Leverancier | Verwerkersovereenkomst beschikbaar op | Niet op |
|---|---|---|
| OpenAI (ChatGPT) | API, ChatGPT Business, ChatGPT Enterprise | Persoonlijk (gratis) ChatGPT-account |
| Anthropic (Claude) | API, Team, Enterprise (opgenomen in de commerciële voorwaarden) | Free en Pro |
| Google (Gemini) | Workspace en Cloud, via het Cloud Data Processing Addendum | Persoonlijk Google-account |
| Microsoft (Copilot) | Microsoft 365 / Copilot zakelijk, via de Products and Services DPA en Product Terms | Consumentenaccount |
Bronnen, geraadpleegd juni 2026: OpenAI (Data Processing Addendum voor API en zakelijke diensten; met een persoonlijk account kun je de overeenkomst niet sluiten), Anthropic (de DPA is opgenomen in de commerciële voorwaarden voor API, Team en Enterprise; Free en Pro hebben er geen), Google (Cloud Data Processing Addendum voor Workspace en Cloud, inclusief SCC's), Microsoft (Microsoft 365 Copilot voor organisaties valt onder het Products and Services Data Protection Addendum en de Product Terms, met Microsoft als verwerker).
De praktische conclusie: kies het accounttype waarbij een verwerkersovereenkomst hoort, en controleer of de overeenkomst ook echt geldt voor het product dat je gebruikt.
Bij vier leveranciers is dat te overzien. Dat verandert zodra een team stilletjes een twintigste AI-tool gebruikt die nergens is geregistreerd. De catalogus van BeeSensible beoordeelt meer dan 1.000 AI-tools op precies dit soort vragen, waaronder of er een verwerkersovereenkomst beschikbaar is, naast datagovernance, rechtsmacht en incidenten. Zo begin je niet bij elke nieuwe tool weer bij nul.
Outlook
