Documenten uploaden in ChatGPT of Claude: is dat veilig?.

Zo gebruikt het bedrijfsleven AI echt

Er is een beeld van AI op kantoor dat in vrijwel elk beleidsstuk terugkomt: de medewerker die een tekstje laat herschrijven of een mailtje laat opstellen. Dat gebeurt, maar het is niet waar de tijdwinst zit en het is niet waar het risico zit. In de praktijk ziet AI-gebruik in een bedrijf er zo uit: iemand opent ChatGPT of Claude, sleept er een bestand in en typt "vat dit samen", "wat staat hier over de opzegtermijn", "vergelijk deze twee offertes" of "controleer deze jaarrekening op afwijkingen". De bijlage is het werk. De prompt is bijzaak.

De cijfers laten zien hoe gewoon dat is geworden. Uit de Newcom AI Monitor 2026 blijkt dat 5,2 miljoen Nederlanders AI gebruiken op het werk en dat het voor 57 procent van hen deel is van de vaste routine. Tegelijk verwijdert maar 34 procent gevoelige informatie voordat ze iets versturen. Onderzoek van Awareways, gepubliceerd in april 2026, komt op 78 procent van de medewerkers die AI-tools gebruiken zonder dat de IT-afdeling ervan weet.

Kijk naar de voorbeelden die de Autoriteit Persoonsgegevens zelf noemt en je ziet steeds hetzelfde patroon: het gaat om bestanden, niet om zinnen. In augustus 2024 waarschuwde de AP dat het gebruik van AI-chatbots tot datalekken leidt, met als voorbeelden een huisartsenpraktijk waar medische gegevens van patiënten werden ingevoerd en een telecombedrijf waar een medewerker een bestand met klantadressen in een chatbot zette. Eind 2025 meldde de AP dat het aantal van dat soort meldingen verder was gestegen, met de gemeente Eindhoven als voorbeeld, waar cv's en jeugdzorgdossiers in publieke chatbots belandden. Een cv is een document. Een jeugdzorgdossier is een document. Niemand typt die over.

Dit artikel gaat daarom niet over de vraag of je medewerkers AI mogen gebruiken. Het gaat over wat er gebeurt op het moment dat iemand een document loslaat in een chatvenster, waarom de nieuwe "AVG-proof" abonnementen daar minder aan veranderen dan ze beloven, en hoe je het wél goed regelt zonder je mensen een andere werkplek op te dringen.

Wat er gebeurt als je een document uploadt

Om te begrijpen waarom een bijlage zwaarder weegt dan een prompt, helpt het om te weten wat er technisch gebeurt. Dat is bij alle aanbieders in grote lijnen gelijk.

Het bestand wordt naar de servers van de aanbieder gestuurd en daar opgeslagen. Wie wil weten hoe die verwerking technisch in elkaar zit, leest onze uitleg over documentanalyse met AI. Hier gaat het om de vraag waar dat gebeurt en wat er daarna met je bestand overblijft. Een PDF of scan is voor een computer eerst een plaatje, dus de tekst wordt eruit gehaald, inclusief tabellen en handgeschreven aantekeningen als de kwaliteit het toelaat. Die tekst wordt in stukken geknipt en doorzoekbaar gemaakt, zodat het model bij je vraag de relevante passages kan vinden. Pas daarna ziet het model je vraag. Dat hele traject vindt plaats bij de aanbieder, op zijn infrastructuur, en de vragen die ertoe doen zijn: hoe lang blijft het staan, wordt er op getraind, waar staat het, en wie kan erbij.

Hoe lang, en wordt erop getraind

Bij persoonlijke accounts is het antwoord ongunstig. OpenAI gebruikt gesprekken en bijlagen van gratis en betaalde persoonlijke accounts standaard om het model te verbeteren, tenzij je dat zelf uitzet. Anthropic legde die keuze in september 2025 actief voor: bestaande gebruikers moesten vóór 8 oktober kiezen, en wie niet koos kon Claude daarna niet blijven gebruiken. Sta je training toe, dan gaat de bewaartermijn van dertig dagen naar vijf jaar. Weiger je, dan blijft het dertig dagen. Dat geldt voor de gratis, Pro- en Max-accounts, en dus voor de meeste accounts waarmee medewerkers op eigen initiatief werken. Wie de duimpjes gebruikt om feedback te geven, moet weten dat Anthropic die feedback als aparte categorie vijf jaar bewaart.

Bij zakelijke abonnementen, ChatGPT Business en Enterprise en Claude Team en Enterprise, wordt er standaard niet getraind en is er een verwerkersovereenkomst. Dat is een wezenlijk verschil. Maar bewaard wordt het wel, en hier zit een misverstand dat vaak in beleidsstukken terechtkomt: gesprekken blijven staan tot iemand ze zelf verwijdert. Er is geen automatische opschoning. Verwijder je een gesprek, dan verdwijnt het direct uit je account en binnen dertig dagen definitief uit de systemen van de aanbieder. Dat is dus een bovengrens voor het opruimen, geen periode waarin het per se bewaard moet blijven.

Voor bijlagen geldt bovendien iets wat mensen zelden weten. Een bestand dat je uploadt komt bij OpenAI los in je bibliotheek te staan, en het verwijderen van het gesprek wist dat bestand niet. Wie na een gevoelige upload het gesprek weggooit en denkt dat het daarmee weg is, vergist zich: het document staat er nog en moet apart worden verwijderd. Daarnaast mag een aanbieder langer bewaren als dat wettelijk of om veiligheidsredenen moet, en voor de zwaarste modellen van Anthropic geldt sinds juni 2026 een verplichte bewaartermijn van dertig dagen die je ook als zakelijke klant niet kunt uitzetten.

Waar het staat

Hier zit het punt dat de meeste organisaties verrast. OpenAI biedt sinds februari 2025 Europese opslag aan, maar alleen voor Enterprise en Edu. ChatGPT Business, het abonnement dat de meeste kleine en middelgrote bedrijven hebben, valt daarbuiten. Anthropic biedt voor de chatomgeving helemaal geen Europese verwerking; Europese verwerking van Claude bestaat alleen via de clouddiensten van Amazon en Google, en dat is de route voor wie zelf software bouwt, niet voor wie de app gebruikt. Wie een document in ChatGPT Business of in Claude sleept, zet het dus in de Verenigde Staten. Ook Microsoft, dat met Copilot wel een Europese datagrens hanteert, stuurt sinds april 2026 bij piekbelasting standaard verwerking naar andere regio's, tenzij een beheerder dat uitzet.

Daar komt bij dat de aanbieders bijlagen en gesprekken kunnen laten bekijken door eigen medewerkers bij vermoeden van misbruik. Dat is geen theorie maar beleid dat in hun documentatie staat. Bij Europese uitrol van de Microsoft-variant zitten die medewerkers in Europa; bij de gewone ChatGPT- en Claude-apps niet.

Wat dit betekent voor het document

Zet het op een rij en het beeld is helder. Een contract met de naam, het adres en de handtekening van je klant, een jaarrekening met de gegevens van de bestuurders, een personeelsdossier met een burgerservicenummer: al die gegevens worden na een upload opgeslagen, uitgelezen en geknipt, blijven staan tot iemand ze actief verwijdert, staan bij een persoonlijk account met training aan zelfs vijf jaar in de boeken, en zijn in te zien bij een misbruikcontrole. Een zakelijk abonnement haalt de training eraf en geeft je een contract. Het haalt de gegevens niet uit het document.

En ja, er is één route waarbij het niet in de Verenigde Staten belandt: ChatGPT Enterprise. Dat is dan ook precies waar de meeste organisaties op stuklopen. OpenAI publiceert er geen prijs voor, verkoopt het per jaarcontract en hanteert volgens marktbronnen een ondergrens van rond de honderdvijftig gebruikers. Voor een kantoor van tien man is dat geen alternatief maar een gesloten deur. En bij Claude helpt zelfs dat niet: daar bestaat voor de chatomgeving geen Europese variant, op geen enkel abonnement.

Een zakelijk abonnement regelt wat de aanbieder met je document mag doen. Het regelt niet wat erin staat.

Waarom één document zwaarder weegt dan honderd prompts

Een medewerker die de naam van een klant intypt, deelt één persoonsgegeven. Dat is onwenselijk, maar het is overzichtelijk en met een beetje beleid te ondervangen. Wie een dossier meestuurt, deelt in één handeling tientallen namen, adressen, geboortedata, rekeningnummers en soms burgerservicenummers. Een financieringsdossier, een personeelsdossier of een bouwaanvraag bevat in tweehonderd pagina's meer persoonsgegevens dan een medewerker in een jaar aan losse prompts zou intypen.

En juist daar is AI het nuttigst. De vragen waarvoor mensen AI willen gebruiken zijn precies de vragen waarvoor het hele dossier nodig is. Welke rentepercentages worden er genoemd en spreken die elkaar tegen? Wat zijn de verschillen tussen deze twee voorstellen? Welke afspraken staan er over rapportage? Wat ontbreekt er nog? Dat zijn vragen waar iemand anders een halve dag mee bezig is.

Beleid dat zegt "voer geen persoonsgegevens in" betekent in die situatie feitelijk "gebruik AI niet voor je eigenlijke werk". Dat is precies de instructie die genegeerd wordt, en dan gaat het dossier alsnog naar de chatbot. Alleen weet niemand het.

Wie AI verbiedt op dossiers, verbiedt AI. En wie AI toestaat zonder de stroom te regelen, stuurt zijn hele archief naar de Verenigde Staten.

Wat de "AVG-proof" abonnementen hieraan doen

Er is een groeiende groep aanbieders die dit probleem per medewerker per maand belooft op te lossen. Leg er tien naast elkaar en "AVG-proof" blijkt drie verschillende dingen te betekenen. Het verschil ertussen is groter dan het prijsverschil, en bij alle drie moet je dezelfde vraag stellen: wat doet het met de bijlage?

Niveau 1: een contract en een Europese server

Dit is verreweg de grootste groep. Je krijgt een verwerkersovereenkomst, opslag binnen de EU en de toezegging dat er niet op jouw invoer wordt getraind. Dat is netjes geregeld en beter dan een gratis account, maar er verandert niets aan de inhoud van wat je verstuurt. De naam van je klant, het dossiernummer en het adres gaan gewoon mee naar het model, alleen via een andere leverancier en met een ander contract eronder. Voor een bijlage geldt dat onverkort: het document wordt bij die leverancier opgeslagen en uitgelezen, en gaat daarna onbewerkt door naar het model dat hij inhuurt.

In deze categorie vallen onder meer SafeGPT, GovGPT en CareGPT, GreenPT, Loes.ai en het Duitse Langdock. Het zijn geen slechte producten. Ze lossen alleen een ander probleem op dan veel kopers denken.

Niveau 2: persoonsgegevens eruit vóór het model ze ziet

Dit is de categorie die daadwerkelijk verandert wat er over de lijn gaat. Namen worden vervangen door pseudoniemen, rekeningnummers en burgerservicenummers worden herkend en weggehaald, en na afloop kan de oorspronkelijke waarde weer worden teruggezet voor wie daartoe bevoegd is.

Binnen deze categorie zit een tweedeling die in geen enkele brochure staat, en die alles bepaalt.

Sommige tools signaleren en laten de beslissing aan de medewerker. Het Nederlandse BeeSensible markeert namen, IBAN's en burgerservicenummers terwijl je typt, waarna je zelf kiest of je vervangt, maskeert of weghaalt. De eigen documentatie is er helder over: de software verandert je tekst nooit uit zichzelf en houdt verzending nooit tegen.

Andere tools vervangen automatisch, altijd. Het Duitse nele.ai filtert persoonsgegevens vóór de AI-verwerking en plaatst ze achteraf terug. Omnifact verkoopt een vergelijkbaar privacyfilter. Beide werken alleen binnen hun eigen chatomgeving.

Dat verschil lijkt klein maar is het niet. Een tool die signaleert, werkt precies zolang je medewerkers opletten op een drukke donderdagmiddag. Een tool die vervangt, werkt ook als niemand oplet. Let wel: allebei werken ze alleen op wat ze herkennen. Een filter dat een ongebruikelijke achternaam of een creatief geschreven rekeningnummer mist, laat dat gewoon door. Honderd procent bestaat hier niet, en een leverancier die dat wel belooft, verkoopt schijnzekerheid. Waar het om gaat is of de bescherming afhangt van menselijke oplettendheid of niet.

En let op wat beide soorten wél en niet zien. Een filter dat meeleest terwijl je typt, leest de tekst in het invoerveld. Een PDF die je ernaast sleept, gaat daar niet doorheen. De partijen die ook de bijlage bewerken, doen dat uitsluitend binnen hun eigen chatomgeving, dus daar lever je je vertrouwde app voor in.

Niveau 3: waarschuwen en blokkeren

De derde groep verandert niets aan de tekst of de bijlage, maar aan het gedrag. Harmonic Security vat de eigen aanpak samen als coachen in plaats van blokkeren: een medewerker die iets gevoeligs plakt krijgt een melding, moet een reden opgeven of wordt omgeleid. LayerX, sinds juli 2026 van Akamai, blokkeert het plakken van gevoelige gegevens in externe AI-diensten.

Hier hoort ook Microsoft Purview thuis, dat veel organisaties al in huis hebben zonder het te gebruiken. Purview pseudonimiseert niet: de acties zijn toestaan, blokkeren of meekijken, zonder maskering of terugplaatsing. Maar onderschat blokkeren niet, want het tegenhouden van een upload is echte bescherming, alleen een botte. Purview kan naast Edge ook Chrome afdekken via een extensie, en de dekking verschilt per besturingssysteem en per app, dus controleer voor je eigen situatie wat er precies onder valt. Wie Purview heeft, heeft een rem, geen filter. Verderop in dit artikel blijkt die rem juist heel bruikbaar als aanvulling.

Wat de aanbieders vragen per medewerker

De prijzen hieronder komen van de openbare prijspagina's van de aanbieders zelf, geraadpleegd op 10 september 2026. Let bij het vergelijken op drie dingen die bijna elke aanbieder anders doet: het verschil tussen maand- en jaarbetaling loopt op tot twintig procent, lang niet iedereen vermeldt of btw is inbegrepen, en sommige tarieven gelden pas vanaf een minimum aantal gebruikers. Enterprise-tarieven zijn vrijwel overal alleen op aanvraag.

Twee dingen vallen op als je die kolommen naast elkaar legt. Ten eerste: de goedkoopste aanbieders zijn goedkoper dan een gewoon zakelijk ChatGPT-abonnement. De optelsom loopt bij hen dus helemaal niet uit de hand. Ten tweede, en dat is belangrijker: in de kolom die er inhoudelijk toe doet staat vrijwel overal "nee". En de enkele partij die zowel anonimiseert als je vertrouwde werkplek intact laat, is meteen een van de duurdere.

De rekening die je pas later ziet

Tot hier lijkt het meevallen. Het beeld kantelt zodra je zoekt naar een laag die bovenop je bestaande ChatGPT of Claude komt en die wél echt persoonsgegevens weghaalt. Dat is precies de categorie waar leveranciers minimumafnames hanteren. De onderstaande drempels stonden op 10 september 2026 in hun eigen vermeldingen op de marktplaats van Amazon, en zijn de enige plek waar deze partijen überhaupt een bedrag publiceren.

• LayerX, sinds juli 2026 onderdeel van Akamai, verkoopt via de AWS Marketplace vanaf 50 gebruikers. Met drie medewerkers betaal je dus voor 47 mensen die er niet zijn.
• Harmonic Security hanteert een minimum van 200 gebruikers, tegen 163 dollar per gebruiker per jaar.
• WitnessAI begint bij 1.000 gebruikers, tegen 180 dollar per gebruiker per jaar. Dat is 180.000 dollar per jaar.
• Portal26 vraagt 250.000 dollar per twaalf maanden als basisbedrag.
• Prompt Security, sinds september 2025 onderdeel van SentinelOne, publiceert helemaal geen bedrag meer: de marktplaatsvermelding verwijst voor elke variant naar de verkoopafdeling. Hetzelfde geldt voor Nightfall.

Ook aan de kant van de Europese werkplekken zie je die drempel terugkomen. SafeGPT verkoopt zijn Enterprise-variant pas vanaf 200 gebruikers, Telekom Business GPT begint bij 50, en Aleph Alpha levert uitsluitend via enterprisecontracten. Voor een organisatie van drie tot vijfentwintig mensen valt daarmee een flink deel van de markt gewoon weg, ongeacht budget.

Wat "Nederlands gehost" meestal betekent

Dit is het punt waar marketing en documentatie het vaakst uit elkaar lopen. "Gehost op Nederlandse bodem" slaat bij vrijwel alle aanbieders op de opslag, niet op de plek waar het taalmodel je vraag verwerkt.

Artific schrijft op de eigen beveiligingspagina dat het voor het gebruik van modellen derden inschakelt en dat informatie daarmee wordt gedeeld; in de technische documentatie gaat het om OpenAI en Google Vertex AI. SafeGPT vermeldt in de eigen gebruiksvoorwaarden dat het draait op de Azure OpenAI-diensten van Microsoft. GovGPT en CareGPT draaien standaard bij het Franse Scaleway, maar bieden Azure OpenAI "op verzoek" aan, wat betekent dat de route per klant verschilt.

Dat is niet per se verkeerd. Azure OpenAI in een Europese regio is een verdedigbare keuze, en Microsoft documenteert inmiddels dat bij modellen die in de Europese Economische Ruimte zijn uitgerold ook de medewerkers die eventueel meekijken bij misbruikcontrole zich in de EER bevinden. Maar er zit wel een verschil tussen "je gegevens blijven in Nederland" en "je gegevens gaan naar een Amerikaanse leverancier met een Europees datacenter". Wie een leverancier kiest op de eerste belofte, moet de tweede werkelijkheid kennen.

Een aanbieder die het wel volledig Europees doet, zoals GreenPT met open modellen bij Scaleway en Verda, levert daarmee een echt ander product. Alleen: ook daar gaan de persoonsgegevens onbewerkt naar het model. Je hebt de leverancier verplaatst, niet het risico weggenomen.

Draaien ze eigenlijk wel op een actueel model?

Dit is de vraag die in geen enkele vergelijking staat, en die bij navraag het meest oplevert. Want als je voor privacy betaalt maar er een model van twee jaar oud voor terugkrijgt, betaal je twee keer.

Het antwoord verschilt sterk per aanbieder, en het patroon is opvallend: de Duitse platformen lopen bij, een deel van de Nederlandse loopt ver achter. Onderstaande vermeldingen stonden op 10 september 2026 op hun eigen sites. Juist hier is de houdbaarheid kort, dus gebruik dit vooral als aanwijzing dát je ernaar moet vragen, niet als eindoordeel over een leverancier.

Het duidelijkste voorbeeld staat bij twee zusterproducten van dezelfde leverancier. GovGPT noemt op de eigen site "GPT-5" als voorbeeldmodel, terwijl CareGPT in exact dezelfde zin nog "GPT-4o" noemt. Dat is een model dat OpenAI in februari 2026 uit ChatGPT heeft gehaald. Eén sjabloontekst, twee verschillende invullingen: de modelnaam is daar marketingtekst geworden, geen productspecificatie. Bij Adwise staat in de veelgestelde vragen zelfs nog "GPT-4", een model uit maart 2023 dat OpenAI op 23 oktober 2026 helemaal uit de API haalt. En IntraGPT noemt Llama 3 uit april 2024 "state-of-the-art", op een site die sinds februari 2025 niet meer is bijgewerkt.

Een tweede groep is niet verouderd maar simpelweg stil. SafeGPT, Kweekers en Notuly noemen op hun productpagina's geen enkele modelnaam. Notuly spreekt van een "eigen AI-model" zonder naam, versie of onderliggend model. Artific en AIStudio noemen wel de merken maar nooit een versie. Dat is op zichzelf een bevinding: je kunt bij die partijen niet controleren wat je koopt, en dus ook niet of het volgend jaar nog actueel is.

Het tegenvoorbeeld is belangrijk, want het ontneemt iedereen het excuus. Langdock voegde de recente modellen van Anthropic en Google op de dag van hun release toe, met de vermelding dat ze in de EU draaien, en de nieuwste OpenAI-modellen binnen enkele dagen. Een Europese tussenpartij kán dus bij zijn. Wie ver achterloopt, doet dat door achterstallig onderhoud, niet door de AVG.

Ligt het dan aan de EU-hosting?

Dat is het excuus dat je zou verwachten, en het is grotendeels onterecht. Het nieuwste Gemini-model kreeg bij zijn release in september 2026 meteen EU-gebonden verwerking op Google Cloud. Claude Opus 5 werd in juli 2026 gelanceerd met Ierland en Stockholm als twee van de vier startregio's. Nieuwe modellen kunnen dus wel degelijk direct in Europa draaien.

Wat wél waar is, is dat "in de EU" drie verschillende niveaus kent, en dat het strengste niveau je een oud model oplevert. Het ruimste niveau is een Europese regio zonder garantie waar de verwerking plaatsvindt; daar is vrijwel alles meteen beschikbaar. Het middelste is een Europese datazone met een echte verwerkingsgarantie. Het strengste is verwerking in één benoemd land.

Op dat middelste niveau zitten de echte gaten. In de Europese datazone van Microsoft ontbreken meerdere OpenAI-modellen uit eind 2025 en begin 2026 nog steeds, en Microsoft geeft daar in de eigen documentatie geen leverdatum voor. Anthropic-modellen hebben op dat platform helemaal geen Europese datazone. Bij Amazon hebben de recente Claude-modellen Sonnet 5 en Opus 5 wel een Europees profiel, maar de zwaarste Claude-modellen niet. En wie eist dat de verwerking in één benoemde Europese regio blijft, zit bij Microsoft vast aan een model uit november 2025.

Dat maakt het een reële afweging in plaats van een excuus. Een aanbieder die "AVG-proof" zegt, hoort erbij te vertellen wélk van die drie niveaus hij levert. Levert hij het ruimste niveau, dan heeft hij geen verwerkingsgarantie en is een oud model helemaal niet te verklaren. Levert hij het strengste, dan is een ouder model logisch en hoort dat gewoon in het gesprek.

Een derde groep aanbieders kiest bewust voor een ouder model, en dat is een eerlijke keuze die je anders moet beoordelen. SwissGPT draait alles op eigen hardware in Zwitserland en gebruikt daarom geen Amerikaanse modellen. GreenPT en Loes.ai draaien op open modellen bij Europese providers. Zij lopen achter op wat OpenAI en Anthropic kunnen, maar dat is de prijs van de belofte, geen slordigheid. Zeg dat er dan wel bij, en reken erop dat het verschil in kwaliteit merkbaar is.

Daar hoort nog een ongemakkelijke waarheid bij die zelden wordt uitgesproken. Wie kiest voor een echt Europese hoster, krijgt geen GPT, Claude of Gemini: die modellen bestaan simpelweg niet buiten de laboratoria die ze maken. Wat je wel krijgt zijn open modellen, en die zijn tegenwoordig overwegend Chinees. In de catalogi van de Franse en Duitse aanbieders voeren Qwen, DeepSeek en GLM de boventoon, terwijl Europese modellen een krimpende minderheid vormen. Het Europees gefinancierde Nederlands-Duitse model Teuken werd in april 2026 door een van die aanbieders uitgezet en vervangen door een Frans model uit 2024. Ook GPT-NL, dat regelmatig wordt genoemd als het Nederlandse antwoord, is nog niet algemeen leverbaar.

Dat maakt Europese hosting niet verkeerd. Het maakt de afweging wel eerlijker: je ruilt Amerikaanse jurisdictie in voor Chinese modelherkomst en een merkbaar zwakker model. Voor een bedrijf dat vooral wil dat er niets naar de Verenigde Staten gaat, kan dat de juiste ruil zijn. Weet alleen dat je hem maakt.

Vraag een aanbieder niet of hij AVG-proof is, maar welk model hij vandaag draait en wanneer hij het laatste model heeft toegevoegd. Het antwoord op die tweede vraag zegt meer.

De prijs die niet op de factuur staat

Bij elke aanbieder in de eerste categorie levert je organisatie iets in wat nergens in een prijstabel voorkomt: de werkplek waar je mensen aan gewend zijn.

Dat klinkt als een detail totdat je bedenkt waarom mensen naar ChatGPT of Claude grijpen. Ze hebben er projecten in staan, het systeem onthoudt hoe ze schrijven, ze gebruiken spraakinvoer onderweg, ze hebben de app op hun telefoon. Een Europese chatomgeving die functioneel op 2023 staat, wint die vergelijking niet. En dan gebeurt precies wat je wilde voorkomen: de officiële tool staat open op de ene tab, en het echte werk gebeurt in de andere. Dat is shadow AI, alleen dan met een factuur erbij.

Een veilige tool die niemand vrijwillig kiest, verhoogt je kosten en verlaagt je risico niet.

Dat is de reden dat de vraag zo vaak terugkomt: kunnen we de bestaande ChatGPT of Claude houden en er iets vóór zetten? Voor losse invoer kan dat, zoals verderop blijkt. Voor de bijlage vraagt het een andere manier van kijken.

Een andere manier om ernaar te kijken

Zet de opties uit de eerste helft van dit artikel naast elkaar, dan valt op dat ze allemaal op hetzelfde punt ingrijpen: het moment waarop een medewerker iets in een chatvenster zet. De ene aanbieder vervangt dat venster door een Europees venster, de andere legt er een filter overheen, de derde waarschuwt. Allemaal aan het uiteinde van de keten, en allemaal met de aanname dat het risico daar ontstaat.

Maar een dossier komt niet uit het chatvenster. Het komt binnen per mail of via een portaal, het wordt opgeslagen, gelezen, gedeeld met een collega, aangevuld en doorgestuurd. Ergens onderweg besluit iemand er een vraag over te stellen aan AI. Op dat moment is het te laat om nog te filteren, want het hele bestand gaat in één handeling mee.

Draai de vraag daarom om. Niet: hoe houd ik tegen wat mijn mensen in een venster plakken. Maar: hoe zorg ik dat wat mijn dossiers verlaat onderweg al is schoongemaakt, zonder dat mijn mensen daar iets van merken.

De derde route: regel de documentenstroom

Dat is wat deze aanpak doet. Je legt de documenten niet meer rechtstreeks voor aan de AI, maar laat ze eerst door je eigen omgeving lopen. Die omgeving bewaart de stukken, leest ze uit, haalt de persoonsgegevens eruit en geeft de AI alleen de bewerkte fragmenten die bij de gestelde vraag horen. Het dossier zelf verlaat je omgeving nooit.

Dat klinkt zwaarder dan het is, want de meeste stappen gebeuren nu ook al, alleen bij iemand anders. Wie vandaag een PDF in ChatGPT sleept, laat dat bestand daar opslaan, uitlezen en in stukken knippen. De vraag is niet óf die bewerking plaatsvindt, maar wie hem uitvoert en waar.

De verwerkingsstraat ziet er zo uit, en elke stap heeft één taak:

• Het document komt binnen in je eigen omgeving, op Europese infrastructuur die jij beheert, met rechten per project en per gebruiker.
• De tekst wordt uitgelezen. Een PDF of scan is voor een computer eerst een plaatje. Die stap gebeurt hier bij een Europese partij, niet bij een Amerikaanse. Dit is trouwens geen extra stap die deze aanpak verzint: ook als je een document rechtstreeks in ChatGPT gooit, gebeurt hetzelfde onder water. Alleen dan bij hen.
• Persoonsgegevens worden herkend en vervangen. Namen, adressen, e-mailadressen, telefoonnummers, rekeningnummers en burgerservicenummers worden pseudoniemen. Wat inhoudelijk nodig is blijft gewoon staan: bedragen, rentepercentages, looptijden, ratio's en voorwaarden. Het doel is niet het dossier leegmaken maar het onherleidbaar maken.
• De bewerkte tekst wordt doorzoekbaar gemaakt op betekenis, zodat een vraag over voorwaarden bij vervroegde aflossing ook passages vindt waar die term niet letterlijk staat.
• Een koppeling stelt een handvol zoekfuncties beschikbaar aan de AI. Niet je database, niet je bestanden, alleen de functies die jij hebt vrijgegeven.

De koppeltabel tussen pseudoniem en echte waarde blijft versleuteld in je eigen omgeving. Het model krijgt die tabel nooit en kan een pseudoniem dus niet zelf herleiden. Wie wil weten wie er achter een pseudoniem zit, doet dat binnen de eigen applicatie, met logging en alleen als hij daartoe bevoegd is.

Moet je dan alles opnieuw uploaden?

Dat is meestal de eerste praktische vraag, en het antwoord is nee. Je documenten staan al ergens: in SharePoint, op een netwerkschijf, in een documentmanagementsysteem, in een dataroom of in het branchepakket waar je toch al mee werkt. Zo'n omgeving kan die bronnen uitlezen via hun koppeling, zodat mensen niet worden gedwongen hun werkwijze om te gooien.

Er is één regel die daarbij het verschil maakt tussen netjes en een achterdeur: haal documenten op onder de rechten van de ingelogde gebruiker, niet met een beheerdersaccount dat overal bij kan. Dan komt er via deze route nooit meer naar buiten dan waar die persoon zelf al bij mocht, en vervalt de toegang automatisch zodra die in het bronsysteem wordt ingetrokken.

Waar je wel voor moet oppassen is de verleiding om alles automatisch en in twee richtingen te laten synchroniseren. Dat klinkt handig en is technisch lastiger dan het lijkt. Zodra documenten heen en weer bewegen, ontstaan er kopieën op twee plekken, wordt het moeilijker om aan te tonen waar een stuk staat en wie erbij kan, en moeten bewaartermijnen en verwijdering aan beide kanten kloppen. Precies de dingen die je met deze opzet juist wilde vereenvoudigen.

Het advies is daarom: begin met één richting en met de dossiers die je daadwerkelijk wilt bevragen. Niet je hele archief, maar de lopende zaken. Blijkt een echte koppeling later waarde toe te voegen, dan kan die er alsnog bij, met open ogen over wat het aan complexiteit toevoegt.

Twee maatregelen die elkaar aanvullen

Er zitten twee beschermingen in deze opzet, en het verschil ertussen is belangrijk genoeg om te benoemen.

Dataminimalisatie betekent dat de AI niet het hele dossier krijgt maar alleen de passages die de vraag nodig heeft. Bij een project van vijfenzeventig documenten gaan er bij een concrete vraag misschien tien passages uit vier documenten mee. Dat scheelt enorm, maar het is een maatregel die afhangt van de vraag. Bij "wat zijn de verschillen tussen deze twee voorstellen" gaan er in de praktijk gewoon twee complete documenten doorheen.

Pseudonimisering heeft die afhankelijkheid niet. Die bewerking vindt altijd plaats, ongeacht welke vraag iemand stelt en ongeacht hoe goed de zoekfunctie die dag raak schiet. Dat is precies waarom je hem niet moet wegbezuinigen als je wilt versimpelen. Dataminimalisatie beperkt de hoeveelheid, pseudonimisering beperkt de gevoeligheid. Je hebt ze allebei nodig, maar als er één structureel werkt, is het de tweede.

Het kan ook helemaal lokaal, op één laptop

Niet elke situatie vraagt om een gehoste omgeving. Als het om één persoon gaat, of om een klein team dat met dezelfde bestanden op dezelfde machine werkt, kan de hele keten ook op de laptop zelf draaien. Er is dan geen server, geen hosting en geen maandlast.

Technisch werkt dat zo: er draait een klein programma op de computer dat je bestandsmap of je eigen database uitleest, de persoonsgegevens eruit haalt en de bewerkte fragmenten aanbiedt aan Claude. Claude Desktop ondersteunt dat officieel, via een configuratiebestand of als installeerbare uitbreiding, en beheerders kunnen via bedrijfsbeheer vastleggen welke uitbreidingen zijn toegestaan. De gegevens verlaten de laptop niet, op de gepseudonimiseerde fragmenten na die naar het model gaan.

Dat is de goedkoopste route en vaak een goede eerste stap. Er zitten wel drie beperkingen aan die je vooraf moet kennen.

• Het werkt alleen op dat apparaat. Niet op de laptop van je collega en niet onderweg. Wie elders iets naslaat, valt terug op de gewone chat zonder bescherming.
• Bij ChatGPT werkt het niet in de gewone chat. Die accepteert alleen koppelingen die via een publiek webadres bereikbaar zijn. Voor deze route is Claude Desktop op dit moment de praktische keuze.
• Elke laptop is een eiland. Iedereen krijgt zijn eigen installatie, zijn eigen koppeltabel en zijn eigen versie. Dezelfde persoon krijgt bij twee collega's een ander pseudoniem, er is geen centraal auditspoor, en bij elke update moet je langs alle apparaten.

De vuistregel die daaruit volgt: gaat het om één persoon of een handjevol mensen dat met eigen bestanden werkt, dan is lokaal prima en ben je snel klaar. Moeten meerdere collega's dezelfde dossiers kunnen bevragen, wil je kunnen aantonen wie wat heeft opgevraagd, of moet het ook op de telefoon werken, dan is een gehoste omgeving met een koppeling de betere investering. De pseudonimiseringsengine eronder is in beide gevallen dezelfde, dus je kunt klein beginnen en later verhuizen zonder opnieuw te beginnen.

En je werkt gewoon in je eigen ChatGPT of Claude

Dit is het deel dat mensen verrast. Zo'n omgeving vraagt niet dat je medewerkers een nieuwe applicatie leren. Ze openen gewoon Claude of ChatGPT en stellen daar hun vraag.

Iemand typt bijvoorbeeld: zoek in project X naar alle informatie over rente, looptijd en zekerheden. De AI roept via de koppeling jouw zoekfunctie aan. Jouw omgeving controleert wie de gebruiker is, tot welke projecten die toegang heeft, zoekt in de documenten, kiest de relevante passages en stuurt alleen die terug, met vermelding van het document en de pagina. De AI leest dat, legt het verband en antwoordt met bronvermelding. De medewerker vraagt door alsof het een gewoon gesprek is.

Omdat die koppeling op jouw server draait en niet op het apparaat van de gebruiker, is hij niet gebonden aan één laptop. Dat is een wezenlijk verschil met een filterprogramma dat je per apparaat installeert.

Wel moet je weten waar de grenzen liggen, want die verschillen per aanbieder en ze zijn strenger dan de marketing suggereert. Bij ChatGPT werken eigen koppelingen uitsluitend in de webversie, dus niet in de mobiele app, en volledige ondersteuning is er alleen op Business en Enterprise. Bij Claude is het ruimer opgezet en werken koppelingen ook op de reguliere abonnementen. Reken dus niet op dekking overal: ga uit van de werkplek waar het echte werk gebeurt, en controleer bij de start welke apparaten en abonnementen je organisatie gebruikt.

Een beheerder zet de koppeling één keer klaar voor de organisatie, waarna medewerkers hem in hun eigen omgeving activeren en inloggen met hun eigen account. Vanaf dat moment is het onzichtbaar.

De achterdeur die je moet dichtzetten

Er is één ding dat deze opzet niet uit zichzelf oplost, en dat is belangrijk genoeg om niet weg te moffelen. De koppeling geldt alleen voor documenten die er doorheen gaan. Sleept een medewerker het oorspronkelijke dossier alsnog rechtstreeks in ChatGPT, dan is de hele constructie omzeild. Het bestand staat dan gewoon bij de aanbieder, precies zoals in het begin van dit artikel beschreven.

Dat vraagt om twee dingen naast de techniek. Een afspraak, want mensen doen wat werkt en de veilige route moet de makkelijkste zijn. En bij organisaties waar het echt niet mag misgaan een technische rem: bestandsuploads naar externe AI-diensten blokkeren op de werkplek.

Daar is Microsoft Purview onverwacht geschikt voor, en veel organisaties hebben het al liggen. Het pseudonimiseert niet, maar het kan het uploaden van gevoelige bestanden naar generatieve AI-sites tegenhouden, met een kant-en-klare groep voor dat soort websites. Dat werkt in Edge en, met de bijbehorende extensie, ook in Chrome en Firefox. Let op dat uploads blokkeren en plakken blokkeren twee verschillende instellingen zijn, en dat de dekking per besturingssysteem verschilt. Wie de koppeling en die rem combineert, heeft een route die werkt en een deur die dicht zit.

En een tweede laag over wat mensen zelf typen

Er blijft één gat, en dat hoort er meteen bij verteld te worden. Wat een medewerker zélf intypt, gaat rechtstreeks naar de AI-aanbieder. Als iemand letterlijk schrijft "zoek alles op over Jan de Vries", dan heeft de aanbieder die naam al ontvangen voordat jouw koppeling überhaupt wordt aangeroepen. Pseudonimisering aan de kant van je documenten kan dat niet meer terugdraaien.

Dat gat is te dichten met een tweede laag over de invoer. Die kan twee dingen doen, en welke je kiest hangt af van hoe streng je wilt zijn.

• Waarschuwen. De medewerker ziet terwijl hij typt dat er een naam, een rekeningnummer of een burgerservicenummer in zijn tekst staat, en beslist zelf of hij het vervangt of laat staan. Dat werkt goed voor bewustwording en het houdt mensen scherp, maar het beschermt precies zolang iemand oplet.
• Automatisch vervangen. De laag herschrijft de invoer voordat die verstuurd wordt, met dezelfde pseudoniemen als je documentenstroom gebruikt. Dan is de bescherming niet afhankelijk van oplettendheid, en, minstens zo belangrijk, blijft de naam in de prompt consistent met de naam in de opgehaalde documentfragmenten. Vraagt iemand naar Jan de Vries, dan ziet het model hetzelfde pseudoniem dat ook in het dossier staat, en klopt het antwoord gewoon.

Dat laatste is het argument om die twee lagen door dezelfde partij te laten bouwen. De detectie-engine die je toch al nodig hebt voor je documenten, met de Nederlandse patronen en de testset die erbij hoort, is precies dezelfde engine die je op de invoer loslaat. Je bouwt hem één keer en gebruikt hem op twee plekken. Koop je in plaats daarvan een losse extensie van een andere leverancier, dan heb je twee filters die elkaars pseudoniemen niet kennen, en dan valt het antwoord uit elkaar.

Wees wel eerlijk over het bereik. Zo'n invoerlaag draait op het apparaat of in de browser, dus die dekt de werkplek en niet de telefoon. Samen met de documentenkoppeling dek je daarmee de plekken af waar het echte werk gebeurt, niet alles.

Blijft over: een korte gebruiksafspraak om het af te maken. Verwijs naar dossiers en projecten, niet naar personen. Dat is een makkelijke regel om te volgen, juist omdat het alternatief werkt, en het is iets heel anders dan "gebruik geen persoonsgegevens", want de inhoud van het dossier mag gewoon.

Waarom dit meer is dan een privacymaatregel

Wie deze route kiest, krijgt er twee dingen bij die los staan van de AVG. Je documenten worden doorzoekbaar op betekenis, wat op zichzelf al werk scheelt. En je krijgt een auditspoor: wie heeft wanneer welke vraag gesteld, welke passages zijn eruit gegaan en uit welk document kwamen ze. Dat is precies wat je nodig hebt als een klant, een financier of een toezichthouder ernaar vraagt.

Dat maakt de investering ook makkelijker te verantwoorden. Je koopt geen verzekering tegen een boete, je koopt een dossierontsluiting waar de compliance in zit ingebakken.

Kun je alleen die privacylaag kopen?

Een terechte vraag voordat je iets laat bouwen: als je ChatGPT of Claude al hebt, kun je dan niet gewoon alléén de anonimisering erbij kopen, als module? Het antwoord is ja, maar van de aanbieders die wij in september 2026 hebben onderzocht kwamen er twee in de buurt, allebei met een beperking die je moet kennen. Dit is een markt die snel beweegt, dus check bij een offerte altijd de actuele stand.

BeeSensible verkoopt de privacymodule los voor vijf euro per gebruiker per maand bij jaarbetaling. Het is de enige aanbieder die alle drie de dingen tegelijk doet: je koopt echt alleen die ene module, hij werkt in de gewone webversie van ChatGPT en Claude, en er is een bureaubladprogramma dat ook de geïnstalleerde apps dekt. Voor tien mensen kost dat zeshonderd euro per jaar bovenop je bestaande abonnement. De beperking staat hierboven al: hij signaleert en laat de keuze aan de medewerker. Daarnaast draait de detectie op de servers van de leverancier in Amsterdam en Duitsland, niet op je eigen laptop.

PrivacyScrubber rekent een vast bedrag van 99 dollar per maand voor je hele organisatie, ongeacht het aantal mensen. Die verwerkt wel volledig lokaal in de browser. Maar daar zit ook de beperking: het is een browserextensie, en die doet niets in de geïnstalleerde ChatGPT- of Claude-app.

Drie partijen wekken de indruk dat het kan, maar leveren het niet. Omnifact adverteert met een eigen privacyfilter en heeft sinds juni 2026 ook een koppelpunt waar je eigen software op kan aansluiten, wat leest als een laag die je ervoor kunt hangen. De eigen documentatie zegt bij de vraag of het filter daarop werkt letterlijk: nog niet, dat staat gepland. Het filter zit vast aan hun chatomgeving. Bij ICTRecht klopt de losse prijs, maar de Anonimiseer Assistent is een documentprogramma: je haalt er een bestand doorheen en plakt daarna zelf de schone versie waar je wilt. Hij hangt niet tussen jou en het model. En Microsoft Purview, dat veel organisaties al hebben, anonimiseert helemaal niet.

Waarom dit gat er is

De reden is niet dat leveranciers het te duur vinden, maar dat ze op de verkeerde plek aansluiten. Vrijwel alle bestaande privacygereedschappen werken op het API-verkeer van OpenAI en Anthropic. Een abonnement op ChatGPT Business of Claude Team geeft je geen API-verkeer maar een chatvenster, en er is geen instelling om dat venster ergens langs te leiden. Wie zo'n gereedschap wil gebruiken, moet dus alsnog een aparte API-sleutel afnemen bovenop het abonnement dat hij juist wilde houden.

De uitzondering zijn de controlekoppelingen waarmee je achteraf kunt zien wat er is verstuurd. Die bestaan bij beide aanbieders, maar alleen op het duurste niveau: bij Anthropic vanaf Enterprise en bij OpenAI vanaf Enterprise en Edu. Wie op Team of Business zit, kan er niet bij.

Er is een veelzeggend precedent. Het bedrijf Private AI, inmiddels Limina, verkocht een product dat letterlijk PrivateGPT heette en zichzelf aanprees als de privacylaag voor ChatGPT: het haalde meer dan vijftig soorten persoonsgegevens uit prompts voordat ze naar OpenAI gingen, en zette ze in het antwoord weer terug. De landingspagina staat er vandaag nog. Elke knop erop leidt naar een foutmelding, en op de nieuwe bedrijfssite komt het product niet meer voor. Precies de belofte waar dit artikel over gaat, is als los product uit de markt verdwenen.

Dat de blokkade commercieel is en niet technisch, bewijst Strac het duidelijkst. Hun documentatie zegt met zoveel woorden dat hun beveiliging werkt op elk Claude-abonnement, van gratis tot Enterprise, omdat ze de gegevens onderscheppen voordat die Claude bereiken, ongeacht welk pakket je hebt. Precies wat je zoekt, dus. Alleen: er staat nergens een prijs, er is geen manier om het zelf af te nemen, en de rekenhulp op hun eigen offertepagina begint pas bij tien medewerkers. Een bedrijf van drie kan zijn omvang letterlijk niet invullen.

Wat we in dit onderzoek niet als kant-en-klaar product tegenkwamen: een laag die persoonsgegevens automatisch vervangt, in de werkplek die je mensen al gebruiken, zonder minimumafname of verkoopgesprek, en die ook bijlagen meeneemt. Dat gat is precies waar maatwerk begint.

Nog iets om nuchter over te zijn: dit is een jonge markt. De twee partijen die het dichtst in de buurt komen, hebben in de Chrome-webwinkel enkele tientallen gebruikers. Dat zegt niets over de kwaliteit van hun software, maar het zegt wel iets over de kans dat ze er over drie jaar nog zijn. Als je bouwt op een leverancier, weeg dat mee.

Herkent zo'n filter Nederlandse persoonsgegevens wel?

Dit is de vraag die in verkooppraatjes ontbreekt en die in de praktijk het verschil maakt tussen werkende software en schijnzekerheid.

De meest gebruikte open bibliotheek voor deze taak, Microsoft Presidio, bevat standaard geen enkele Nederlandse herkenner. Er zit wel een generieke IBAN-controle in, maar geen burgerservicenummer met elfproef, geen KvK-nummer, geen kenteken en geen Nederlands telefoonformaat. Die moet je zelf toevoegen. Voor namen en plaatsen leun je op een Nederlands taalmodel dat op de standaardtestset ergens rond de 76 procent nauwkeurigheid haalt.

Een onafhankelijke vergelijking van open detectiemodellen uit juni 2026 is er eerlijk over: geen van de geteste modellen is echt goed, en op Nederlandse krantentekst haalde de beste opzet een score van 0,78. In de zorg bestaat wel een gespecialiseerd Nederlands alternatief, DEDUCE van het UMC Utrecht, dat in het oorspronkelijke onderzoek een score van 0,86 haalde op verpleegkundige notities.

De conclusie die daaruit volgt is niet dat het niet kan, maar dat de bouw ervan echt werk is. Je combineert vaste regels voor alles met een herkenbaar patroon, een taalmodel voor namen en organisaties, en een eigen Nederlandse testset om te meten wat er doorheen glipt. Wie een filter koopt of bouwt zonder die testset, weet domweg niet wat het tegenhoudt.

Nog een ontwerpkeuze die de bruikbaarheid bepaalt: vervang je door een label als PERSOON_001, of door een realistisch ogende vervangwaarde? Onderzoek uit juni 2026 naar deze vraag laat zien dat modellen aanzienlijk beter blijven presteren met realistische vervangers dan met kale labels. Een nep-IBAN dat als IBAN leest, laat het model gewoon doorredeneren; een blokje tekst met vierkante haken haalt de logica uit de zin.

Wat het Hof van Justitie hierover besliste

Op 4 september 2025 deed het Hof van Justitie van de Europese Unie uitspraak in de zaak EDPS tegen de Gemeenschappelijke Afwikkelingsraad. De kern is dat gepseudonimiseerde gegevens niet automatisch voor iedereen persoonsgegevens zijn. Het Hof stelt dat pseudonimisering, afhankelijk van de omstandigheden, daadwerkelijk kan verhinderen dat anderen dan de verwerkingsverantwoordelijke de betrokkene identificeren, waardoor die persoon voor hen niet of niet meer identificeerbaar is.

Dat is het juridische fundament onder deze hele aanpak. Maar lees de toets die het Hof eraan verbindt, want die is streng en tweeledig. De ontvanger moet de maatregel niet ongedaan kunnen maken, én de maatregel moet ook verhinderen dat hij de gegevens alsnog aan een persoon koppelt door vergelijking met andere gegevens waarover hij beschikt. Kan een derde wel redelijkerwijs kruisverwijzen, dan blijven het volgens hetzelfde arrest persoonsgegevens, zowel voor de doorgifte als voor alles wat daarna gebeurt.

Voor jouw organisatie verandert er sowieso niets: jij hebt de koppeltabel, dus voor jou blijven het persoonsgegevens. Het Hof was daar expliciet over: de informatieplicht wordt beoordeeld op het moment van verzamelen en vanuit het oogpunt van de verwerkingsverantwoordelijke, ongeacht wat de gegevens later voor de ontvanger zijn. Je privacyverklaring moet dus al vermelden dat gegevens naar zo'n verwerker gaan.

De European Data Protection Board bevestigde die lijn in de ontwerprichtsnoeren over anonimisering van 7 juli 2026. Daarin staat ook een punt dat relevant is voor iedereen die hoopt het met een contract op te lossen: een verbod dat in een overeenkomst staat, hoe bindend ook tussen partijen, mag niet worden behandeld als een wettelijk verbod. Een clausule waarin je leverancier belooft niet te herleiden, maakt je gegevens dus niet anoniem.

Pseudonimiseren is geen anonimiseren

Dat onderscheid wordt in verkoopmateriaal stelselmatig door elkaar gehaald, en het is te belangrijk om te laten passeren. De AVG zegt in overweging 26 dat gepseudonimiseerde gegevens die met aanvullende informatie aan een persoon kunnen worden gekoppeld, gewoon persoonsgegevens blijven. Alleen echt anonieme gegevens vallen buiten de verordening.

De Europese privacytoezichthouders schreven al in 2014 dat pseudonimisering geen anonimiseringsmethode is, maar de koppelbaarheid slechts vermindert en daarmee vooral een beveiligingsmaatregel is. Die lijn is sindsdien niet veranderd. Wat wel veranderde is de waardering ervan: de AVG noemt pseudonimisering in artikel 25 expliciet als maatregel voor privacy by design en in artikel 32 als beveiligingsmaatregel, en de EDPB stelt dat de risicovermindering die je ermee bereikt kan meewegen bij de beoordeling van je gerechtvaardigd belang.

Er is bovendien een praktische grens. Een dossier kan uniek genoeg zijn om herleidbaar te blijven, ook zonder namen. De EDPB gebruikt daar een treffend voorbeeld voor: iemand kan geïdentificeerd worden als "degene met het noordelijke accent". Vervang alle namen in een verhaal over één specifieke transactie in één specifieke gemeente op één specifieke datum, en je hebt de persoon nog steeds beschreven. Daarom hoort bij pseudonimisering altijd dataminimalisatie: stuur alleen de passages mee die de vraag nodig heeft.

De rekensom over twee jaar

Nu de vergelijking die dit artikel aanleiding gaf. Hieronder de totale kosten over 24 maanden, gerekend met de goedkoopste openbare variant van elke aanbieder op 10 september 2026, meestal dus jaarbetaling. Waar een leverancier in dollars factureert is gerekend met een koers van 0,92. Eenmalige kosten zitten er niet in, want geen van deze partijen brengt die in rekening. Reken het bij een echte keuze na met de tarieven van dat moment; de verhouding tussen de routes verandert minder snel dan de bedragen zelf.

Wat opvalt aan die kolommen: elk bedrag groeit mee met je personeelsbestand. Neem je er volgend jaar vijf mensen bij, dan groeit de factuur mee, ieder jaar opnieuw, en je bezit aan het eind van de rit niets.

Een eigen documentomgeving werkt precies andersom. Die kost een eenmalige investering en daarna alleen hosting en beheer, ongeacht hoeveel mensen ermee werken. Voor een organisatie tot ongeveer vijfentwintig medewerkers, de rechterkolom van de tabel hierboven dus, ligt die investering vanaf 5.000 euro tot ongeveer 12.000 euro, afhankelijk van de omvang van je organisatie en van hoeveel documentsoorten er doorheen moeten. Daarbovenop komt een beperkte maandlast voor de Europese hosting en het beheer.

De lokale variant uit de vorige paragraaf zit daar nog onder, omdat er geen server en geen hosting bij komen kijken. Werkt er één iemand of een klein team met eigen bestanden, dan is dat de snelste manier om te beginnen.

Zet dat naast de tabel en het beeld is duidelijk. Bij vijfentwintig medewerkers ben je met de goedkoopste route die daadwerkelijk pseudonimiseert al 15.600 euro kwijt over twee jaar, en bij de partijen met een minimumafname loopt dat op tot boven de 20.000. Daar is een eigen omgeving binnen die twee jaar terugverdiend, en daarna blijft hij van jou.

Bouw wel gefaseerd. Het duurste onderdeel is niet het herkennen en vervangen van gegevens, maar het samenvoegen van schrijfwijzen over documenten heen: herkennen dat J. de Vries, Jan de Vries en dhr. De Vries dezelfde persoon zijn. Laat dat in de eerste versie weg. Alle drie de schrijfwijzen worden dan gewoon gedetecteerd en vervangen, ze krijgen alleen verschillende pseudoniemen. Voor de bescherming maakt dat niets uit, privacytechnisch is het zelfs strenger, en bij de meeste vragen merkt niemand het verschil.

Zet je die getallen naast de tabel, dan valt het antwoord in twee stukken uiteen, en beide zijn waar.

Vergelijk je met een eenvoudige Europese chatomgeving, dan wint maatwerk niet. Tegenover SafeGPT Essentials verdien je een smalle eigen laag pas terug bij ongeveer 46 medewerkers, en een volledige uitrol pas rond de 144. Dat is eerlijk gezegd geen serieuze afweging voor een klein team. Wie alleen een contract, een Europese server en de zekerheid dat er niet op zijn data getraind wordt nodig heeft, is met zo'n abonnement gewoon voordeliger uit.

Wil je alleen dat medewerkers erop gewezen worden, dan is er iets goedkoops. De losse BeeSensible-module bovenop je bestaande abonnement kost voor drie mensen nog geen tweeduizend euro over twee jaar. Daar begint een eigen laag zich pas rond de dertien medewerkers terug te verdienen. Voor een organisatie die vooral bewustwording zoekt, is dat de verstandige keuze.

Maar wil je een garantie in plaats van een signaal, dan draait het om. Dan gelden twee eisen: persoonsgegevens moeten er automatisch uit, ook als niemand oplet, en je mensen moeten hun eigen werkplek houden. Voor die combinatie bestaat commercieel geen betaalbaar product voor een klein team. Wat overblijft zijn partijen met een minimumafname van vijftig gebruikers of meer, en daar ligt het omslagpunt al bij één medewerker.

Dat laatste verdient uitleg, want daar zit het echte prijsprobleem. Betaal je bij LayerX voor vijftig gebruikers terwijl je er drie hebt, dan kost de bescherming van die drie mensen bijna 11.000 euro over twee jaar. Bij Harmonic, met een minimum van tweehonderd, loopt dat op tot ruim 61.000 euro. Voor dat geld bouw je twee keer een eigen laag die daarna van jou is en niet meegroeit met je personeelsbestand.

Wanneer welke route wint

De keuze hangt niet af van je omvang of je budget, maar van één vraag: gaan er dossiers doorheen?

• Een Europese chatomgeving volstaat als je medewerkers vooral teksten schrijven, samenvatten en code bespreken, en er zelden een dossier in gaat. Je koopt dan een contract en een Europese server, en dat is precies wat je nodig hebt. Vraag wel welk model er draait.
• Een gewoon zakelijk abonnement met heldere afspraken volstaat als het werk zich goed laat scheiden: geen klantnamen, geen dossiers, geen medische of financiële stukken in de chat. Combineer dat met instructie en steekproeven. Goedkoper dan alle alternatieven, en verdedigbaar, mits je het handhaaft.
• Een invoerlaag erbovenop is de logische aanvulling zodra je merkt dat mensen tóch namen intypen, maar er geen dossiers doorheen gaan. Voor een paar euro per medewerker per maand koop je waarschuwingen op de plek waar het misgaat.
• Je documentenstroom regelen is de enige route die werkt als het werk zelf uit dossiers bestaat. Notariaat, accountancy, financieringsadvies, VvE-beheer, corporaties, zorg, advocatuur, verzekeringen: daar zijn persoonsgegevens niet de uitzondering maar de inhoud. Daar is elk filter op losse prompts symptoombestrijding.

Die laatste categorie is ook de enige waar de investering zich terugverdient op meer dan alleen licentiekosten. Wie vandaag een dossier van tweehonderd pagina's handmatig doorleest omdat het niet in een chatbot mag, koopt met zo'n omgeving niet alleen een verdedigbaar verhaal maar vooral uren terug. Hoe je dat doorrekent staat in ons artikel over de ROI van maatwerk software.

Waarom dit een klassieke build-versus-buy-afweging is

Los van de rekensom zijn er drie redenen waarom zelf bouwen hier vaak beter uitpakt dan huren, en ze hebben allemaal met eigenaarschap te maken.

• Je betaalt één keer in plaats van eeuwig. Een abonnement groeit mee met je personeelsbestand, ieder jaar opnieuw, en na vijf jaar bezit je niets. Een eigen omgeving is een investering met een restwaarde. Dat is precies de afweging uit build versus buy.
• Je richt het in op jouw organisatie. Welke documentsoorten je verwerkt, welke gegevens eruit moeten, wie bij welk dossier mag, hoe lang je bewaart: dat verschilt per branche en vaak per klant. Een standaardproduct doet wat de leverancier bedacht heeft voor het gemiddelde. Bij een eigen omgeving bepaal jij de regels, en kun je ze aanpassen als je werkwijze verandert.
• Je bent niet afhankelijk van andermans keuzes. Dit is in deze markt geen theoretisch punt. Aanbieders worden overgenomen, producten verdwijnen, prijzen veranderen en modellen lopen achter zonder dat je er iets aan kunt doen. Wie zelf bouwt, kiest zijn eigen model en kan wisselen als er iets beters komt.

Wees wel eerlijk over de andere kant: je koopt er ook onderhoud bij. Een eigen omgeving vraagt updates, af en toe een aanpassing als een aanbieder iets wijzigt, en iemand die zich er verantwoordelijk voor voelt. Dat is te overzien en het is in te kopen, maar het is geen nul.

Wat er sowieso geregeld moet zijn

Geen enkel abonnement en geen enkele maatwerkoplossing neemt de volgende vier punten van je over. Ze staan los van de techniek.

Een DPIA is vaker verplicht dan mensen denken. De lijst van de Autoriteit Persoonsgegevens noemt onder meer grootschalige verwerking van gezondheidsgegevens en stelselmatige monitoring van activiteiten van werknemers als categorieën waarvoor een beoordeling vooraf verplicht is. In juli 2026 publiceerde de AP een handreiking over generatieve AI en de AVG, samen met het advies dat de toezichthouder gaf aan een gemeente die Microsoft 365 Copilot wilde invoeren. De AP concludeerde daar dat de voorgenomen verwerking inbreuk zou maken op de AVG, en adviseert organisaties eerst te onderzoeken of ze generatieve AI kunnen gebruiken zónder persoonsgegevens te verwerken. Dat advies is precies het argument voor pseudonimisering.

De ondernemingsraad heeft instemmingsrecht. Dit wordt bij AI-beveiligingssoftware stelselmatig over het hoofd gezien. Artikel 27 van de Wet op de ondernemingsraden vraagt instemming voor een regeling over voorzieningen die geschikt zijn voor waarneming van of controle op gedrag van medewerkers. De AP is daar expliciet over: de OR heeft dat recht ook bij een systeem dat de werkgever nog niet gebruikt om medewerkers te volgen, maar waarbij dat wel zou kunnen. Een gateway die alle prompts van je team bewaart, valt daaronder. Zonder instemming is het besluit nietig zodra de OR daar schriftelijk een beroep op doet.

AI-geletterdheid is een verplichting. Artikel 4 van de AI Act geldt sinds 2 februari 2025 en verplicht organisaties maatregelen te nemen zodat medewerkers die met AI werken weten wat ze doen. Het wijzigingspakket van juli 2026 heeft die verplichting verzacht: er hoeft geen specifiek niveau te worden gegarandeerd. De verplichting zelf blijft staan, en de Europese Commissie bevestigt in haar toelichting dat een bedrijf waarvan medewerkers ChatGPT gebruiken hieraan moet voldoen, bijvoorbeeld door hen te informeren over specifieke risico's zoals hallucinatie. Een certificaat is niet nodig, een interne registratie van trainingen wel handig. Meer hierover staat in ons artikel over AI-beleid opstellen.

De doorgifte naar de Verenigde Staten loopt via standaardcontractbepalingen. Noch OpenAI noch Anthropic staat in het register van het EU-US Data Privacy Framework; beide baseren doorgifte op standaardcontractbepalingen met een eigen risicobeoordeling. Anthropic bevestigt dat in het eigen privacybeleid. Dat is werkbaar, maar het betekent dat je die beoordeling zelf moet kunnen laten zien. Pseudonimisering vóór verzending maakt die beoordeling aanzienlijk eenvoudiger te verdedigen.

De kern in zes zinnen

Het document is de eenheid, niet de prompt. Zo gebruikt het bedrijfsleven AI: door een bestand in ChatGPT of Claude te slepen. Dat bestand wordt bij de aanbieder opgeslagen, uitgelezen en geknipt, en één dossier bevat meer persoonsgegevens dan een medewerker in een jaar aan losse prompts intypt. Bij Claude gebeurt dat altijd in de Verenigde Staten en bij ChatGPT bij elk abonnement behalve Enterprise.

De markt lost het verkeerde probleem op. Vrijwel elk AVG-proof abonnement grijpt in op het moment dat iemand iets in een chatvenster typt, of vervangt dat venster door een ander venster. Aan wat er in de bijlage staat verandert geen van beide iets.

De partijen die het wél goed doen, willen jou niet als klant. Wie zowel echt pseudonimiseert als je eigen werkplek intact laat, begint bij vijftig, tweehonderd of duizend gebruikers. Dat gat onder die drempel is geen toeval en verdwijnt ook niet vanzelf.

Aan de bewerking ontkom je niet, alleen aan de vraag wie hem uitvoert. Wie een PDF in ChatGPT sleept, laat dat bestand daar opslaan, uitlezen en in stukken knippen. Je kiest niet óf het gebeurt, je kiest waar het gebeurt en wie er daarna nog bij kan.

Van alle maatregelen is pseudonimisering de enige die niet van geluk afhangt. Minder meesturen helpt, maar hangt af van hoe goed je zoekvraag die dag toevallig uitpakt. Persoonsgegevens vervangen gebeurt altijd, ongeacht wat iemand vraagt.

Voor wie zijn eigen app wil houden zonder enterprisecontract blijft er één route over. Losse invoer kun je nog afdekken met een extensie van een paar euro. Maar zodra er dossiers doorheen gaan en je geen Enterprise-abonnement hebt, vallen de kant-en-klare opties af: de gateways beginnen bij vijftig gebruikers, en de controlekoppelingen van OpenAI en Anthropic zijn Enterprise-only. Wat overblijft is een eigen omgeving met een koppeling. Dat is geen overstap, want je mensen blijven juist in dezelfde app werken. Het is een laag eronder.

En het hoeft niemand iets aan gemak te kosten. Dat is uiteindelijk waarom dit werkt waar beleid faalt: je mensen blijven in de app die ze toch al openen en merken van de hele constructie weinig. Let wel op waar die koppelingen werken, want dat verschilt per aanbieder en per abonnement.

Mijn kijk hierop

Ik heb dit voorstel het afgelopen jaar een paar keer uitgewerkt voor organisaties die met vertrouwelijke dossiers werken, en er zit één argument in dat elke keer het gesprek kantelt.

De meeste organisaties denken dat ze veilig zitten door minder mee te sturen: alleen het relevante fragment, alleen de passage die de vraag nodig heeft. Dat helpt, maar het is een maatregel die afhangt van geluk. Wat er daadwerkelijk naar het model gaat, hangt af van hoe goed je zoekfunctie toevallig raak schiet. Bij een vraag als "wat zijn de verschillen tussen deze twee voorstellen" gaan er in de praktijk gewoon twee complete documenten doorheen. Pseudonimisering is de enige maatregel in dit rijtje die niet afhangt van de vraag die iemand toevallig stelt. Die transformatie gebeurt altijd.

Wat ik verder zou meegeven: onderschat niet hoeveel je er los van de AVG bij krijgt. Zodra je documenten doorzoekbaar zijn op betekenis, verandert het werk zelf. Vragen waar iemand eerst een halve dag mee bezig was, zoals uitzoeken of twee stukken elkaar tegenspreken of wat er nog ontbreekt in een dossier, zijn dan een kwestie van vragen. Ik zie dat klanten daar uiteindelijk enthousiaster over worden dan over de compliance, terwijl die compliance nou juist de aanleiding was.

En wees eerlijk over wat je koopt. Pseudonimisering is geen vrijbrief. Je blijft verwerkingsverantwoordelijke, je hebt nog steeds een grondslag en een informatieplicht, en een uniek dossier blijft herleidbaar hoeveel namen je er ook uithaalt. Wat je wél koopt is een verdedigbaar verhaal richting klanten, financiers en toezichthouders, en het feit dat de gevoeligste gegevens de grens niet over gaan. Dat is genoeg reden, maar noem het bij de juiste naam.

— Jasper

Zo helpt Coding Agency hierbij

Wij bouwen deze documentomgeving als maatwerk, en de opzet is inmiddels een beproefde blauwdruk. Documenten komen binnen in een eigen omgeving op Europese infrastructuur, met rechten per project en per gebruiker. De tekst wordt uitgelezen bij een Europese partij. Persoonsgegevens worden herkend en vervangen door pseudoniemen, waarbij de koppeltabel versleuteld en gescheiden wordt opgeslagen. De inhoud wordt doorzoekbaar op betekenis. En via een beveiligde koppeling stellen we een handvol zoekfuncties beschikbaar aan Claude of ChatGPT, zodat je mensen in hun eigen vertrouwde omgeving blijven werken in plaats van een nieuwe applicatie te moeten leren.

Daaromheen zit wat een dossieromgeving nodig heeft: bewaartermijnen per project, gecontroleerde verwijdering, tweestapsverificatie, en een auditlog waarmee je kunt laten zien wie wanneer welke vraag stelde en welke passages eruit zijn gegaan. Wil je ook de invoerkant afdekken, dan zetten we dezelfde detectie-engine in als tweede laag, zodat de pseudoniemen aan beide kanten gelijk blijven.

We beginnen bij voorkeur met een afgebakende eerste versie op een echt dossier van jou, zodat je in de praktijk kunt zien wat het filter tegenhoudt en waar het te ruim of te streng is. Die meting bepaalt daarna wat de uitbreidingen waard zijn. Zo weet je wat je koopt voordat je het koopt.

Wij zijn geen juristen: de formele toets of jouw route past binnen je eigen AVG-beleid en binnen de afspraken met je opdrachtgevers ligt bij jou, eventueel met een privacyjurist. Wat wij leveren is de techniek die die toets haalbaar maakt.

Lees ook AI en AVG bij OpenAI en Anthropic voor de contractkant, AVG-compliance en dataveiligheid bij AI voor het bredere plaatje, en werken met een eigen koppeling naar AI voor de techniek eronder. Of neem contact op voor een vrijblijvend gesprek over wat er in jouw dossiers omgaat.