AI is krachtig, maar niet vanzelf privacyvriendelijk
Steeds meer bedrijven willen AI inzetten: klantvragen automatisch beantwoorden, documenten analyseren, offertes genereren. De modellen van OpenAI (GPT-5, o3) en Anthropic (Claude Sonnet 4.6, Opus 4.6) maken dat mogelijk. Maar zodra je persoonsgegevens verwerkt — namen, e-mailadressen, medische gegevens, financiële data — gelden de regels van de AVG.
En daar gaat het vaak mis. Want de meest voor de hand liggende manier om AI te gebruiken — gewoon typen in ChatGPT of Claude — is voor zakelijk gebruik met persoonsgegevens simpelweg niet geschikt.
De chatinterface: waarom die niet AVG-compliant is
Zowel OpenAI als Anthropic bieden een gratis chatinterface aan: ChatGPT en Claude.ai. Handig voor persoonlijk gebruik, maar problematisch zodra je er bedrijfsdata in stopt.
ChatGPT (OpenAI)
Bij de gratis en betaalde consumentenversie van ChatGPT worden je gesprekken standaard gebruikt om de modellen te trainen. Je kunt dit uitschakelen via Instellingen > Datacontroles, maar zelfs dan bewaart OpenAI je data 30 dagen voor misbruikdetectie. Alle verwerking vindt plaats in de Verenigde Staten.
In december 2024 legde de Italiaanse privacytoezichthouder OpenAI een boete op van €15 miljoen wegens het verwerken van EU-gebruikersdata zonder adequate juridische grondslag en gebrek aan transparantie. Hoewel het Tribunale di Roma deze boete in maart 2026 heeft vernietigd, illustreert de zaak wel het risico: Europese toezichthouders kijken actief mee naar hoe AI-aanbieders omgaan met persoonsgegevens, en handhaving is geen theoretisch scenario.
Claude (Anthropic)
Anthropic heeft in augustus 2025 het beleid voor consumentenaccounts gewijzigd. Gesprekken worden sindsdien standaard in geanonimiseerde vorm bewaard tot 5 jaar en gebruikt voor modeltraining — tenzij je actief opt-out kiest. Alle data wordt verwerkt in de VS. Er is geen EU-dataresidentie voor de consumentenversie.
De gratis chatinterfaces van ChatGPT en Claude zijn ontworpen voor consumenten. Zodra je er klantgegevens, medische data of financiële informatie in verwerkt, handel je in strijd met de AVG.
ChatGPT zakelijk: Business, Enterprise en Edu
OpenAI biedt meerdere zakelijke abonnementen aan: ChatGPT Business (voorheen Team), Enterprise en Edu. Bij alle drie worden gesprekken niet gebruikt voor modeltraining. Dat is een belangrijk verschil met de gratis en Plus-versie.
Daarnaast kun je bij alle zakelijke plannen bij het aanmaken van een nieuwe workspace kiezen voor EU-dataresidentie. Gesprekken, geüploade bestanden en gegenereerde afbeeldingen worden dan opgeslagen binnen Europa. Dat maakt de zakelijke ChatGPT-plannen geschikt voor teams die de chatinterface willen gebruiken zonder zelf een API-koppeling te bouwen.
Belangrijk: de EU-dataresidentie geldt alleen voor nieuwe workspaces — bestaande workspaces kunnen niet worden gemigreerd.
Voor Anthropic bestaat een vergelijkbaar zakelijk aanbod: Claude Business en Claude Enterprise gebruiken je data niet voor training en bieden een verwerkersovereenkomst. EU-dataresidentie is bij Anthropic via de chatinterface echter nog niet beschikbaar — alle verwerking loopt via de VS.
De API: volledige controle over je data
De API-versie van beide platformen werkt fundamenteel anders dan de chatinterface. Het belangrijkste verschil: data die via de API wordt verwerkt, wordt niet gebruikt voor modeltraining. Dat geldt voor zowel OpenAI als Anthropic.
Via de API bouw je AI in als onderdeel van je eigen applicatie. Je bepaalt welke data wordt verstuurd, hoe lang die bewaard wordt en waar de verwerking plaatsvindt. Dat geeft je de controle die de AVG vereist.
OpenAI API met EU-endpoint
Sinds februari 2025 biedt OpenAI een Europees API-endpoint aan: eu.api.openai.com. Hiermee worden je verzoeken verwerkt binnen Europa met zero data retention — je input en output worden niet opgeslagen.
Om dit te gebruiken maak je een nieuw Project aan in het OpenAI-dashboard en selecteer je "Europe" als regio. Bestaande projecten kunnen niet worden gemigreerd. Het EU-endpoint ondersteunt dezelfde modellen als het standaard endpoint, inclusief GPT-5 en o3.
- Dataretentie — zero data retention bij EU-endpoint, standaard 30 dagen bij VS-endpoint
- Training — API-data wordt nooit gebruikt voor modeltraining
- Verwerkersovereenkomst — beschikbaar via het OpenAI-platform
Anthropic API: let op, verwerking in de VS
De directe Anthropic API verwerkt alle data in de Verenigde Staten. Anthropic biedt geen eigen EU-endpoint aan. De dataretentie is beperkt tot 7 dagen (verlaagd sinds september 2025), en data wordt niet voor training gebruikt. Maar voor organisaties die gebonden zijn aan de AVG is verwerking in de VS een probleem — ook met Standard Contractual Clauses.
AWS Bedrock: Claude AVG-compliant in Frankfurt
De oplossing voor AVG-compliant gebruik van Claude-modellen is Amazon Bedrock. Dit is een beheerde dienst van AWS waarmee je AI-modellen van verschillende aanbieders — waaronder Anthropic — kunt aanroepen via de AWS-infrastructuur. Het cruciale verschil: jij kiest de regio waar de verwerking plaatsvindt.
Hoe werkt Bedrock?
In plaats van je API-verzoeken naar de servers van Anthropic in de VS te sturen, routeer je ze via AWS. Je configureert de regio eu-central-1 (Frankfurt) en alle verwerking vindt plaats binnen het AWS-datacenter in Frankfurt. Anthropic ontvangt je data niet — AWS fungeert als tussenpersoon die het model draait zonder de data te delen met de modelaanbieder.
Technisch gezien gebruik je de AWS SDK of REST API in plaats van de Anthropic SDK. De aanroep is vergelijkbaar, maar gaat via een ander endpoint. Voor ontwikkelaars is de overstap minimaal — het vergt alleen een andere configuratie, geen fundamentele code-aanpassing.
Beschikbare modellen
Via Bedrock in Frankfurt zijn alle Claude-modellen beschikbaar: Claude Sonnet 4.6, Claude Opus 4.6 en Claude Haiku. Nieuwe modelversies worden doorgaans kort na release op de directe API ook beschikbaar op Bedrock.
Prestaties via Bedrock versus directe API
In benchmarks scoren modellen op Bedrock soms marginaal lager dan via de directe Anthropic API. Dit komt doordat AWS een eigen optimalisatielaag toepast voor de hosting. In de praktijk is dit verschil verwaarloosbaar: de output is functioneel identiek en voor zakelijke toepassingen als documentanalyse, klantvraagafhandeling of tekstgeneratie merk je er niets van.
AVG-compliance via Bedrock
- Dataresidentie — verwerking vindt plaats in Frankfurt (
eu-central-1), data verlaat de EU niet - Geen training — Anthropic ontvangt geen data via Bedrock en gebruikt niets voor modeltraining
- Zero data retention — AWS bewaart je input en output niet na verwerking
- Verwerkersovereenkomst — via AWS, die een uitgebreide DPA biedt onder GDPR
- Encryptie — data is versleuteld in transit (TLS) en at rest, met optie voor eigen encryptiesleutels (CMK)
- Logging en audit — via AWS CloudTrail heb je volledig inzicht in wie wanneer welk model heeft aangeroepen
AWS Bedrock met Claude in Frankfurt combineert de kracht van Anthropic's nieuwste modellen met volledige EU-dataresidentie. Data wordt niet gedeeld met Anthropic en niet gebruikt voor training.
Waarom Claude via Bedrock de moeite waard is
AWS Bedrock is op dit moment de enige manier om Claude AVG-compliant in te zetten. De directe Anthropic API verwerkt alles in de VS, en de chatinterface biedt geen EU-dataresidentie. Dat maakt Bedrock niet zomaar een alternatief — het is de enige route.
En die route is het overwegen waard. Claude-modellen produceren een andere stijl output dan OpenAI's GPT-modellen: vaak genuanceerder in langere teksten, sterker in het volgen van complexe instructies en met een andere toon. Dat is geen kwestie van beter of slechter — het hangt af van je use case. Voor sommige organisaties sluit Claude beter aan bij wat ze nodig hebben. Door beide opties AVG-compliant beschikbaar te hebben — OpenAI via het EU-endpoint, Claude via Bedrock — kun je per toepassing het model kiezen dat het beste past bij je businesscase.
Verwerkersovereenkomst: wat staat erin?
Bij elke AI-koppeling waarbij persoonsgegevens worden verwerkt, is een verwerkersovereenkomst (DPA) verplicht. Dit document regelt:
- Rolverdeling — jij bent verwerkingsverantwoordelijke, de AI-provider is verwerker
- Doelbinding — de provider mag data alleen gebruiken voor het leveren van de dienst
- Subverwerkers — welke derde partijen betrokken zijn bij de verwerking
- Dataretentie — hoe lang data bewaard wordt en wanneer deze wordt verwijderd
- Beveiligingsmaatregelen — encryptie, toegangscontrole en incidentrespons
- Meldplicht — de provider moet datalekken binnen 72 uur melden
- Rechten van betrokkenen — ondersteuning bij inzage-, verwijder- en portabiliteitsverzoeken
Met wie sluit je een verwerkersovereenkomst?
Dat hangt af van de gekozen route:
- OpenAI API (EU-endpoint) — je sluit een Data Processing Addendum (DPA) af met OpenAI. Dit kan direct via het OpenAI-platform bij het aanmaken van je organisatie.
- Anthropic API (direct) — Anthropic biedt een DPA aan onder GDPR. Let op: de directe API verwerkt data in de VS, dus de DPA alleen maakt het nog niet volledig AVG-compliant.
- AWS Bedrock — je sluit een verwerkersovereenkomst af met Amazon Web Services. AWS is in dit geval de verwerker. Anthropic ontvangt geen data en is geen partij in de overeenkomst — dat is precies wat Bedrock zo sterk maakt vanuit AVG-perspectief.
En je ontwikkelpartij?
Als een ontwikkelaar zoals Coding Agency een AI-koppeling voor je bouwt, is er sprake van een beperkte verwerkersrelatie tijdens de ontwikkeling en het beheer. De ontwikkelaar heeft mogelijk toegang tot de API-configuratie en kan tijdens testen in aanraking komen met (test)data. In de praktijk is de rol van de ontwikkelaar echter beperkt: de productiedata loopt rechtstreeks van jouw applicatie naar de AI-provider, zonder tussenkomst van de ontwikkelaar.
Desgewenst kan een aparte verwerkersovereenkomst met je ontwikkelpartij worden afgesloten, maar de scope daarvan is beperkter dan die met de AI-provider zelf. Het gaat dan vooral om toegangsbeheer, geheimhoudingsplicht en het correct omgaan met credentials — niet om de structurele verwerking van persoonsgegevens.
Overzicht: welke optie is AVG-compliant?
| Optie | Training | EU-verwerking | Retentie | AVG-compliant |
|---|---|---|---|---|
| ChatGPT (gratis/Plus) | Standaard aan | Nee (VS) | 30 dagen | Nee |
| ChatGPT Business/Enterprise/Edu | Nee | Ja (EU workspace) | Beheerd | Ja |
| Claude.ai (gratis/Pro) | Standaard aan | Nee (VS) | Tot 5 jaar | Nee |
| Claude Business/Enterprise | Nee | Nee (VS) | Beheerd | Deels |
| OpenAI API (VS-endpoint) | Nee | Nee (VS) | 30 dagen | Deels |
| OpenAI API (EU-endpoint) | Nee | Ja (EU) | Zero | Ja |
| Anthropic API (directe API) | Nee | Nee (VS) | 7 dagen | Deels |
| AWS Bedrock (Frankfurt) | Nee | Ja (EU) | Zero | Ja |
Wat kost het? API-tokens en licenties
Een veelgestelde vraag: wat kost het om AI via de API te gebruiken? Het antwoord is eenvoudig: je betaalt per token — de eenheid waarin tekst wordt gemeten. Elke vraag die je stelt en elk antwoord dat je ontvangt verbruikt tokens. Dit staat volledig los van eventuele abonnementen op ChatGPT of Claude.
Bij AWS Bedrock loopt de facturatie via je bestaande AWS-account. De tokenprijzen zijn gelijk aan wat Anthropic zelf rekent voor de directe API — je betaalt geen toeslag voor de EU-hosting. Hetzelfde geldt voor het OpenAI EU-endpoint: de prijzen zijn identiek aan het standaard endpoint.
Hier zit een interessante zakelijke kans. Veel organisaties betalen per medewerker voor ChatGPT- of Claude-abonnementen — ook voor collega's die het nauwelijks gebruiken. Met een maatwerkkoppeling betaal je alleen voor daadwerkelijk gebruik. Collega's zonder AI-affiniteit kunnen via een op maat gemaakte interface toch profiteren van AI, zonder dat ze zelf hoeven te leren werken met ChatGPT of Claude. Je vervangt slapende abonnementen door een tool die precies doet wat je team nodig heeft — en je betaalt alleen voor de tokens die daadwerkelijk verbruikt worden. De ROI zit hem niet in de technologie zelf, maar in het wegnemen van ongebruikte licenties en het toegankelijk maken van AI voor je hele team.
Hoe Coding Agency AI-koppelingen bouwt
Bij Coding Agency bouwen we AI-koppelingen uitsluitend via AVG-compliant configuraties. Dat betekent: geen consumentenchat, geen VS-endpoints zonder dataresidentie. Elke koppeling die we opleveren voldoet aan de AVG.
Concreet betekent dat:
- OpenAI-integraties — via het EU API-endpoint (
eu.api.openai.com) met zero data retention - Claude-integraties — via AWS Bedrock in Frankfurt (
eu-central-1) met volledige EU-dataresidentie - Verwerkersovereenkomst — standaard onderdeel van elke oplevering
- Maatwerk — de koppeling wordt ingebouwd in je eigen applicatie, met volledige controle over welke data wordt verwerkt
AI inzetten hoeft niet ten koste te gaan van privacy. Met de juiste architectuur en configuratie combineer je de kracht van GPT-5 en Claude Sonnet 4.6 met volledige AVG-compliance. Dat is geen concessie — dat is gewoon hoe het hoort.
