Is pseudonimiseren genoeg voor de AVG?

Pseudonimisering is een door de AVG erkende beschermingsmaatregel (artikel 4 lid 5 en artikel 32). Zolang jij de sleutel houdt, blijft het persoonsgegevensverwerking aan jouw kant, maar de persoonsgegevens die je hebt vervangen zitten niet meer in wat je naar de AI-leverancier stuurt. Dat ondersteunt minimalisatie; het is geen garantie dat je compliant bent.

Moet ik dit in mijn verwerkingsregister zetten?

Als je structureel klantdocumenten met AI verwerkt: ja, neem de werkwijze op. Een vaste, gedocumenteerde route met pseudonimisering is daar juist makkelijk in te beschrijven.

Geldt dit ook voor Claude, Gemini en Copilot?

Ja. De AVG kijkt naar wat jij verstuurt, niet naar welk merk het ontvangt. De veilige route is voor elke AI dezelfde.

Mijn klant vindt het prima, mag het dan?

Toestemming van de klant helpt, maar dataminimalisatie blijft gelden en toestemming van het bedrijf dekt niet automatisch de personen in het document (medewerkers, wederpartijen). Eerst de persoonsgegevens vervangen blijft de sterkere route.

Alle gidsen

Mag ik klantgegevens uploaden naar ChatGPT?

Het korte antwoord. Meestal niet zomaar. Zodra een document persoonsgegevens van klanten bevat, is uploaden naar ChatGPT een verwerking onder de AVG. Jij blijft verantwoordelijk, ook met een betaald abonnement. Het mag pas als je een grondslag hebt, aan dataminimalisatie doet en de verwerking kunt verantwoorden. De praktische route: vervang eerst de gegevens die de taak niet nodig heeft, zoals namen, contactgegevens en rekeningnummers. Dan upload je een beschermd document in plaats van de ruwe klantgegevens. ShareSafe.ai doet dat per bestand, zonder account.

→ Bescherm je document eerst

Waarom dit geen formaliteit is

Drie redenen waarom "even snel in ChatGPT" je probleem wordt, niet dat van OpenAI:

Jij bent de verwerkingsverantwoordelijke. Je klant gaf zijn gegevens aan jou, niet aan een Amerikaans AI-bedrijf. Bij een datalek of klacht kijkt de Autoriteit Persoonsgegevens naar jou.
Dataminimalisatie is een harde eis. Artikel 5 AVG: je verwerkt niet meer gegevens dan nodig. Voor een samenvatting of analyse heeft ChatGPT de echte namen of rekeningnummers meestal niet nodig. Ze meesturen is dan meer dan nodig.
Je beroepsgeheim of contract kan strenger zijn dan de AVG. Veel adviesovereenkomsten, NDA's en beroepsregels verbieden het delen van klantinformatie met derden. Een AI-leverancier is een derde.

"Maar ik heb ChatGPT Business, dan traint OpenAI toch niet op mijn data?"

Klopt, en dat is waardevol. ChatGPT Business (voorheen ChatGPT Team) traint standaard niet op je zakelijke data. Maar niet trainen is een ander onderwerp dan niet versturen. Met een zakelijk abonnement verstuur je nog steeds de ruwe klantgegevens naar OpenAI. De vraag van je klant is niet "is erop getraind?" maar "waarom stonden mijn gegevens daar überhaupt?". Minimaliseren wat je verstuurt beantwoordt beide vragen. Meer hierover: ChatGPT Business en vertrouwelijke documenten.

Wanneer mag het wel?

Een snelle beslislijn:

Geen persoonsgegevens in het document? Dan speelt de AVG niet en mag het, binnen je contractuele afspraken.
Wel persoonsgegevens, maar vervangen door plaatshouders en jij houdt de herstelsleutel? Dan bereiken de persoonsgegevens die je hebt vervangen de AI-leverancier niet, en dat past goed bij minimalisatie. Controleer de rest van de tekst op details die nog naar iemand wijzen. Dit is de werkbare route voor dagelijks gebruik.
Ruwe persoonsgegevens, met expliciete toestemming en een verwerkersconstructie? Juridisch mogelijk, praktisch zwaar: toestemming moet specifiek en intrekbaar zijn, en je moet de hele keten kunnen verantwoorden.

De middelste route is in de meeste adviespraktijken de juiste. Niet omdat het een juridische garantie is, maar omdat hij snel is en je hem kunt uitleggen.

Zo werkt de veilige route

Sleep het klantdocument in ShareSafe.ai. Geen account, verwerking in de EU, niet als bestand bewaard.
Controleer wat er gevonden is: namen, bedrijven, IBAN's en adressen worden consistente plaatshouders. Vervang gegevens die voor de taak niet nodig zijn. Laat bedragen die het model moet vergelijken of doorrekenen staan.
Download het beschermde bestand en je herstelsleutel (Identity Key). Het beschermde bestand gaat naar ChatGPT; met de sleutel zet je de echte namen terug in het antwoord. Je krijgt de sleutel zelf en ShareSafe Free bewaart geen kopie.

Plaatshouders vervangen persoonsgegevens. Contractvoorwaarden, bedrijfsgeheimen of medische inhoud blijven leesbaar. Bij de controle kun je zelf extra tekst selecteren en laten vervangen.

Veelgestelde vragen

Is pseudonimiseren genoeg voor de AVG?: Pseudonimisering is een door de AVG erkende beschermingsmaatregel (artikel 4 lid 5 en artikel 32). Zolang jij de sleutel houdt, blijft het persoonsgegevensverwerking aan jouw kant, maar de persoonsgegevens die je hebt vervangen zitten niet meer in wat je naar de AI-leverancier stuurt. Dat ondersteunt minimalisatie; het is geen garantie dat je compliant bent.
Moet ik dit in mijn verwerkingsregister zetten?: Als je structureel klantdocumenten met AI verwerkt: ja, neem de werkwijze op. Een vaste, gedocumenteerde route met pseudonimisering is daar juist makkelijk in te beschrijven.
Geldt dit ook voor Claude, Gemini en Copilot?: Ja. De AVG kijkt naar wat jij verstuurt, niet naar welk merk het ontvangt. De veilige route is voor elke AI dezelfde.
Mijn klant vindt het prima, mag het dan?: Toestemming van de klant helpt, maar dataminimalisatie blijft gelden en toestemming van het bedrijf dekt niet automatisch de personen in het document (medewerkers, wederpartijen). Eerst de persoonsgegevens vervangen blijft de sterkere route.

ShareSafe.ai houdt ruwe bestanden in de EU. Minimale bewaring. Jij houdt de sleutel. Probeer het met je eigen document →