Mag ik klantdossiers in ChatGPT zetten?

Door Ron Meijer RB, register belastingadviseur. Laatst bijgewerkt: 7 augustus 2026.

Klantdossiers in ChatGPT zetten mag niet met de gratis versie of met ChatGPT Plus. Bij die abonnementen ontbreekt een verwerkersovereenkomst en kan OpenAI je invoer gebruiken om modellen te trainen, tenzij je dat uitzet. Met ChatGPT Business, Enterprise of de API kan het wel, mits je een verwerkersovereenkomst hebt, de bewaartermijn kent en je geheimhoudingsplicht apart hebt beoordeeld. Anonimiseren blijft in vrijwel alle gevallen de veiligste route.

De kern in zes punten

• De AVG verbiedt AI niet. De AVG stelt voorwaarden aan AI.
• Gratis en Plus: OpenAI kan invoer gebruiken voor training, tenzij de gebruiker dat uitzet.
• Business, Enterprise, Edu, Healthcare en de API: OpenAI traint hier standaard niet op.
• Niet trainen is niet hetzelfde als niet opslaan. Invoer kan tot dertig dagen bewaard blijven voor misbruikdetectie.
• De geheimhoudingsplicht van een belastingadviseur gaat verder dan de AVG en vraagt een eigen afweging.
• Anonimiseren kost weinig tijd en lost het grootste deel van het probleem op.

Welke ChatGPT-abonnementen mogen klantgegevens verwerken?

Het abonnement bepaalt het antwoord, niet de tool. ChatGPT Free en ChatGPT Plus zijn consumentenproducten. ChatGPT Business, ChatGPT Enterprise en de API zijn zakelijke producten met andere voorwaarden. Het plan dat tot eind 2025 ChatGPT Team heette, heet sindsdien ChatGPT Business.

Europese dataopslag is beschikbaar voor ChatGPT Enterprise, Edu, Healthcare en de API. Voor ChatGPT Business noemt OpenAI die mogelijkheid niet in hetzelfde overzicht.

Verbiedt de AVG het gebruik van AI door belastingadviseurs?

Nee. De AVG verbiedt AI niet. De AVG stelt voorwaarden.

Een AI-aanbieder die klantgegevens verwerkt is een verwerker in de zin van de AVG. Daarbij hoort een verwerkersovereenkomst, plus duidelijkheid over subverwerkers, bewaartermijnen en de vraag of invoer wordt gebruikt om modellen te trainen. Dat laatste punt is het belangrijkste onderscheid tussen consumentenversies en zakelijke versies.

Betekent “niet getraind op mijn data” dat mijn data niet wordt opgeslagen?

Nee. Niet trainen en niet opslaan zijn twee verschillende dingen. Dit is het punt dat de meeste kantoren over het hoofd zien.

OpenAI documenteert dat invoer en uitvoer van de API tot dertig dagen bewaard kunnen worden om de dienst te leveren en misbruik op te sporen. Deze logbestanden worden standaard voor al het API-gebruik aangemaakt en kunnen prompts en antwoorden bevatten. Na dertig dagen worden ze verwijderd, tenzij OpenAI wettelijk verplicht is ze te bewaren.

Er kan onder omstandigheden een mens meekijken. OpenAI beschrijft dat toegang tot opgeslagen gesprekken beperkt is tot geautoriseerde medewerkers voor technische ondersteuning, onderzoek naar misbruik en juridische naleving, plus gespecialiseerde externe contractanten.

De cijfers hierboven komen uit OpenAI’s eigen documentatie: zie Enterprise privacy at OpenAI en de platformdocumentatie over data controls.

Zero Data Retention en Modified Abuse Monitoring kunnen deze opslag beperken. Beide vereisen goedkeuring vooraf van OpenAI en aanvullende voorwaarden. Beide gelden voor de API, niet voor een gewoon ChatGPT-abonnement. Bij Azure OpenAI geldt een vergelijkbare regeling, beperkt tot klanten met een enterprise-overeenkomst.

Is een verwerkersovereenkomst genoeg voor een belastingadviseur?

Nee. Een verwerkersovereenkomst dekt de AVG. De geheimhoudingsplicht van een belastingadviseur loopt daarnaast en gaat verder.

De AVG gaat over persoonsgegevens. De geheimhoudingsplicht gaat over alles wat een cliënt toevertrouwt, inclusief gegevens die geen persoonsgegeven zijn, zoals de omzetcijfers van een BV. Toestemming vanuit de AVG maakt het delen daarom nog niet toelaatbaar vanuit de beroepsregels. Beoordeel beide sporen apart.

Welke vijf stappen zet een belastingadviseur voordat klantdossiers in ChatGPT gaan?

1. Stel vast welk abonnement je gebruikt. Free, Plus, Business, Enterprise en API zijn juridisch verschillende producten.
2. Controleer of er een verwerkersovereenkomst is. Zonder verwerkersovereenkomst gaan er geen klantgegevens in.
3. Ga na waar de data staat en hoe lang. Kijk naar doorgifte buiten de EER, naar de bewaartermijn en naar wie toegang heeft.
4. Beoordeel je geheimhoudingsplicht apart. Deze staat los van de AVG-beoordeling.
5. Leg vast wat je doet. Werk je verwerkingsregister bij en overweeg een DPIA bij verwerkingen met een hoog risico.

Hoe anonimiseer ik een fiscaal dossier voor AI-gebruik?

Anonimiseren is de eenvoudigste oplossing en werkt in de meeste gevallen. Een goed advies vraagt zelden om namen.

De vraag “een DGA van 58 met een pensioen in eigen beheer en een rekening-courantschuld van vier ton” levert hetzelfde antwoord op als dezelfde vraag met de naam van de cliënt erin. Het risico is alleen verdwenen.

Drie werkwijzen die in de praktijk standhouden:

• Gebruik vaste placeholders: [CLIËNT], [BV], [BEDRAG]. Vul ze pas in bij het terugzetten in het dossier.
• Knip het dossier in stukken. Vaak is één alinea genoeg, niet de volledige jaarrekening.
• Maak er een vaste kantoorprocedure van in plaats van een gewoonte.

Let op indirecte herleidbaarheid. De combinatie van branche, plaats en omzet kan een onderneming alsnog identificeerbaar maken. Dit speelt vooral bij kleine of bijzondere praktijken.

Is AI-geletterdheid verplicht voor accountantskantoren?

Ja. Artikel 4 van de EU AI Act verplicht elke organisatie die AI inzet om maatregelen te nemen rond AI-geletterdheid. Deze verplichting geldt sinds 2 februari 2025. Toezicht en handhaving zijn gestart op 2 augustus 2026.

De Digital Omnibus heeft artikel 4 afgezwakt. Sinds 27 juli 2026 vraagt de bepaling om maatregelen die AI-geletterdheid ondersteunen en ontwikkelen, in plaats van maatregelen die een voldoende niveau waarborgen. Er is expliciet toegevoegd dat organisaties geen bepaald kennisniveau bij individuele medewerkers hoeven te garanderen.

De verplichting om iets te doen blijft bestaan. Voor een kantoor betekent dit: inventariseren waar AI wordt gebruikt, per rol bepalen welke kennis nodig is, opleiding regelen en vastleggen wat er is gedaan. Dat dossier is het bewijs van naleving.

De uitgestelde deadlines voor hoogrisico-AI, verschoven naar 2 december 2027 en 2 augustus 2028, gaan over een andere categorie en raken een adviespraktijk die AI als schrijfhulp gebruikt niet.

Kan AI verwijzingen naar jurisprudentie verzinnen?

Ja. AI-tools genereren arresten, artikelnummers en publicatiedata die niet bestaan maar overtuigend ogen. Een ECLI-nummer dat niet bestaat is aan de vorm niet te herkennen.

Controleer elke verwijzing in de originele bron voordat deze in een advies of bezwaarschrift terechtkomt. De verantwoordelijkheid voor het advies blijft bij de adviseur. Dit is een aansprakelijkheidsvraag, geen AVG-vraag.

Samengevat

Klantgegevens horen niet in de gratis versie of in ChatGPT Plus. Met een zakelijk abonnement, een verwerkersovereenkomst en een aparte toets aan de geheimhoudingsplicht is AI-gebruik verantwoord mogelijk. Anonimiseren blijft de eenvoudigste route en is voor de meeste kantoren realistischer dan Zero Data Retention aanvragen. Controleer elke verwijzing zelf. Leg vast wat je doet.

De voorwaarden van AI-aanbieders wijzigen regelmatig. Controleer de actuele voorwaarden van je eigen abonnement voordat je dit als vaststaand aanneemt.

Veelgestelde vragen

Mag ik de gratis versie van ChatGPT gebruiken voor klantwerk?

Voor algemene vragen zonder klantgegevens kan dat. Voor klantgegevens niet: er is geen verwerkersovereenkomst en OpenAI kan de invoer gebruiken voor training, tenzij de gebruiker dat uitzet.

Is een verwerkersovereenkomst genoeg?

Nee. Een verwerkersovereenkomst dekt de AVG. De geheimhoudingsplicht van een belastingadviseur loopt daarnaast en vraagt een eigen afweging.

Als training uitstaat, is mijn invoer dan weg?

Nee. Invoer kan tot dertig dagen bewaard blijven voor misbruikdetectie. Onder omstandigheden kan een geautoriseerde medewerker of externe contractant meekijken.

Moet ik mijn cliënt vertellen dat ik AI gebruik?

Niet in alle gevallen wettelijk verplicht, maar wel verstandig. Een passage in de opdrachtbevestiging voorkomt discussie achteraf.

Helpt anonimiseren?

Ja, aanzienlijk, en het kost weinig tijd. Let op indirecte herleidbaarheid: branche, plaats en omzet samen kunnen een onderneming identificeerbaar maken.

Wat als AI een fout arrest noemt?

Dat gebeurt en het oogt overtuigend. De verantwoordelijkheid voor het advies blijft bij de adviseur. Controleer elke verwijzing in de originele bron.

Wil je dit op je eigen kantoor goed regelen? In de AI-cursus voor belastingadviseurs en accountants lopen we deze afwegingen door aan de hand van je eigen dossiers. Ron Meijer RB gaf de cursus aan meer dan 500 vakgenoten.