Is pseudonimiseren genoeg voor de AVG?

Pseudonimisering is een door de AVG erkende beschermingsmaatregel (artikel 4 lid 5 en artikel 32). Zolang jij de sleutel houdt, blijft het persoonsgegevensverwerking aan jouw kant, maar wat je naar de AI-leverancier stuurt bevat geen direct herleidbare gegevens meer. Dat is precies wat minimalisatie vraagt.

Moet ik dit in mijn verwerkingsregister zetten?

Als je structureel klantdocumenten met AI verwerkt: ja, neem de werkwijze op. Een vaste, gedocumenteerde route met pseudonimisering is daar juist makkelijk in te beschrijven.

Geldt dit ook voor Claude, Gemini en Copilot?

Ja. De AVG kijkt naar wat jij verstuurt, niet naar welk merk het ontvangt. De veilige route is voor elke AI dezelfde.

Mijn klant vindt het prima, mag het dan?

Toestemming van de klant helpt, maar dataminimalisatie blijft gelden en toestemming van het bedrijf dekt niet automatisch de personen in het document (medewerkers, wederpartijen). Veilig maken blijft de sterkere route.

Mag ik klantdata uploaden naar ChatGPT? Dit zegt de AVG

Het korte antwoord. Meestal niet zomaar. Zodra een document persoonsgegevens van klanten bevat, is uploaden naar ChatGPT een verwerking onder de AVG. Jij blijft verantwoordelijk, ook met een betaald abonnement. Het mag pas als je een grondslag hebt, aan dataminimalisatie doet en de verwerking kunt verantwoorden. De praktische route: verwijder of vervang eerst alle herleidbare gegevens. Dan upload je geen klantdata meer, maar een veilig document. Dat kan binnen een minuut met ShareSafe.ai.

→ Maak je document eerst veilig

Waarom dit geen formaliteit is

Drie redenen waarom "even snel in ChatGPT" je probleem wordt, niet dat van OpenAI:

Jij bent de verwerkingsverantwoordelijke. Je klant gaf zijn gegevens aan jou, niet aan een Amerikaans AI-bedrijf. Bij een datalek of klacht kijkt de Autoriteit Persoonsgegevens naar jou.
Dataminimalisatie is een harde eis. Artikel 5 AVG: je verwerkt niet meer gegevens dan nodig. Voor een samenvatting of analyse heeft ChatGPT de echte namen en bedragen niet nodig. Ze meesturen is dus per definitie meer dan nodig.
Je beroepsgeheim of contract kan strenger zijn dan de AVG. Veel adviesovereenkomsten, NDA's en beroepsregels verbieden het delen van klantinformatie met derden. Een AI-leverancier is een derde.

"Maar ik heb ChatGPT Team, dan traint OpenAI toch niet op mijn data?"

Klopt, en dat is waardevol. Maar niet trainen is een ander onderwerp dan niet versturen. Met een Team-abonnement verstuur je nog steeds de ruwe klantgegevens naar de servers van OpenAI. De vraag van je klant is niet "is erop getraind?" maar "waarom stonden mijn gegevens daar überhaupt?". Minimaliseren wat je verstuurt lost beide vragen op. Meer hierover: [ChatGPT Team en vertrouwelijke documenten].

Wanneer mag het wel?

Een snelle beslislijn:

Geen persoonsgegevens in het document? Dan speelt de AVG niet en mag het, binnen je contractuele afspraken.
Wel persoonsgegevens, maar gepseudonimiseerd en jij houdt de sleutel? Dan verstuur je geen herleidbare gegevens naar de AI-leverancier en voldoe je aan minimalisatie. Dit is de werkbare route voor dagelijks gebruik.
Ruwe persoonsgegevens, met expliciete toestemming en een verwerkersconstructie? Juridisch mogelijk, praktisch zwaar: toestemming moet specifiek en intrekbaar zijn, en je moet de hele keten kunnen verantwoorden.

De middelste route is in vrijwel alle adviespraktijken de juiste. Niet omdat het moet van een jurist, maar omdat het de enige route is die snel én uitlegbaar is.

Zo werkt de veilige route

Sleep het klantdocument in ShareSafe.ai. Geen account, verwerking in de EU, geen opslag na de run.
Controleer wat er gevonden is: namen, bedrijven, bedragen, IBAN's, adressen worden consistente placeholders.
Download het veilige bestand en je Identity Key. Het veilige bestand gaat naar ChatGPT; met de sleutel vertaal je het antwoord terug. De sleutel verlaat jouw beheer nooit.

Veelgestelde vragen

Is pseudonimiseren genoeg voor de AVG?: Pseudonimisering is een door de AVG erkende beschermingsmaatregel (artikel 4 lid 5 en artikel 32). Zolang jij de sleutel houdt, blijft het persoonsgegevensverwerking aan jouw kant, maar wat je naar de AI-leverancier stuurt bevat geen direct herleidbare gegevens meer. Dat is precies wat minimalisatie vraagt.
Moet ik dit in mijn verwerkingsregister zetten?: Als je structureel klantdocumenten met AI verwerkt: ja, neem de werkwijze op. Een vaste, gedocumenteerde route met pseudonimisering is daar juist makkelijk in te beschrijven.
Geldt dit ook voor Claude, Gemini en Copilot?: Ja. De AVG kijkt naar wat jij verstuurt, niet naar welk merk het ontvangt. De veilige route is voor elke AI dezelfde.
Mijn klant vindt het prima, mag het dan?: Toestemming van de klant helpt, maar dataminimalisatie blijft gelden en toestemming van het bedrijf dekt niet automatisch de personen in het document (medewerkers, wederpartijen). Veilig maken blijft de sterkere route.

ShareSafe.ai is onderdeel van VaultLM. Ruwe bestanden blijven in de EU. Minimale bewaring. Jij houdt de sleutel. Probeer het met je eigen document →