AI en GDPR: waar gaan je gegevens naartoe?

In de chat: werk met een zakelijk account

Plak je een klantdossier in een gratis of persoonlijk chataccount, dan deel je het met een bedrijf waarmee je organisatie geen contract heeft. Bij de meeste persoonlijke accounts mag de aanbieder je gesprekken gebruiken om zijn modellen te trainen, tenzij je dat uitzet.

De Nederlandse toezichthouder kreeg al datalekmeldingen over medewerkers die patiëntgegevens of klantadressen in een chatbot plakten. Gebeurt dat tegen de afspraken in, dan gaat het om een datalek dat je vaak moet melden.

Zakelijke abonnementen zoals ChatGPT Business of Enterprise, Claude Team of Enterprise, Microsoft 365 Copilot en Gemini in Google Workspace werken met een verwerkersovereenkomst. De aanbieder traint dan standaard niet op je gegevens. Koppel je de chat aan Odoo, dan vallen je Odoo-gegevens onder de voorwaarden van dat account. Een koppeling met Odoo hoort dus bij een zakelijk account.

In je systemen: de hele keten moet kloppen

Werkt AI via een API, een agent of een MCP-koppeling met Odoo, dan blijft je bedrijf verantwoordelijk voor de gegevens. De AI-aanbieder verwerkt ze in jouw opdracht, met een verwerkersovereenkomst die ook zijn onderaannemers dekt. Ook de ingebouwde AI van Odoo 20 stuurt je vraag en de gegevens van het record via Odoo naar OpenAI of Google.

Werkt een aanbieder buiten de EU, dan heeft de doorgifte een geldige basis nodig, zoals het EU-VS-gegevensbeschermingskader of modelcontractbepalingen. Kies waar het kan voor verwerking in de EU. Stuur alleen de velden mee die de taak nodig heeft, en geef een agent eerst alleen leesrechten.

Laat AI geen beslissingen over mensen nemen zonder echte menselijke beoordeling, bijvoorbeeld over sollicitanten of kredietlimieten. In augustus 2026 kreeg Uber van de Nederlandse toezichthouder bijna 825 miljoen euro boete omdat het chauffeurs volledig automatisch blokkeerde.

Voor een agent die met klant- of personeelsgegevens werkt, is een DPIA, een risicoanalyse voor gegevensbescherming, vaak verplicht. Zet elke AI-verwerking ook in je verwerkingsregister en je privacyverklaring.

Daarbovenop: de AI Act

Sinds 2 augustus 2026 moet een chatbot mensen laten weten dat ze met AI praten, tenzij dat duidelijk is. Bedrijven die AI inzetten, moeten ook maatregelen nemen om de AI-kennis van hun medewerkers te ondersteunen.

Voor AI bij aanwerving, personeelsbeheer of kredietbeoordeling gelden vanaf 2 december 2027 strengere regels.

De voorgestelde versoepeling van de GDPR via de Digital Omnibus is nog geen wet. Tot dan geldt de huidige GDPR, met een melding aan de Gegevensbeschermingsautoriteit binnen 72 uur bij een datalek.

Zo pakken wij het aan

Bij elke AI-koppeling brengen we in kaart welke gegevens naar welke aanbieder gaan, onder welk contract en in welke regio. We beginnen met leesrechten, beperken wat een agent mag doen en voorzien een goedkeuringsstap. Je kunt de toegang op elk moment intrekken.

Deze pagina schetst het kader. Verwerk je gevoelige gegevens, vraag dan ook juridisch advies, bijvoorbeeld aan je DPO of jurist.

Meer over AI in Odoo