AVG-proof AI-tools zijn tools waarbij je precies weet waar je bedrijfsdata wordt opgeslagen, waar die wordt verwerkt en of die wordt hergebruikt voor training. Dat is bij vrijwel elke grote aanbieder inmiddels instelbaar, maar bijna nooit standaard aan. In dit artikel zie je per platform wat er in augustus 2026 werkelijk mogelijk is, en hoe je zonder juridische opleiding een verantwoorde keuze maakt.
Wat zijn AVG-proof AI-tools precies?
De vraag "is deze tool AVG-proof?" valt uiteen in drie losse vragen. Aanbieders beantwoorden ze zelden alle drie tegelijk, en juist daar gaat het mis.
- Opslag (data at rest). Waar staan je gesprekken, geüploade bestanden en gegenereerde documenten fysiek opgeslagen?
- Verwerking (inferentie). Waar draait het model op het moment dat het jouw prompt beantwoordt? Dit is een andere vraag dan opslag, en het antwoord is vaak minder gunstig.
- Training. Worden jouw prompts en documenten gebruikt om het model te verbeteren?
Voor zakelijke abonnementen is de derde vraag meestal het makkelijkst. OpenAI stelt dat modellen niet worden getraind op data uit zakelijke plannen of de API, tenzij een klant daar expliciet voor kiest. Microsoft stelt dat prompts, antwoorden en via Microsoft Graph benaderde data niet worden gebruikt om de onderliggende taalmodellen te trainen. Mistral biedt op zijn betaalde plannen een opt-out voor modeltraining — dat is dus iets wat je zelf moet aanzetten. De eerste twee vragen bepalen vervolgens of je écht van AVG-proof AI-tools kunt spreken.
Let op: een goede technische inrichting vervangt geen afspraken. Wie welke gegevens in welke tool mag zetten, leg je vast in een AI-beleid voor je organisatie.
Waar staat je bedrijfsdata bij de grote platformen?
ChatGPT (OpenAI)
OpenAI biedt dataresidentie in Europa voor ChatGPT Enterprise, ChatGPT Edu en het API-platform. Sinds 16 januari 2026 komt daar in-region GPU-inferentie in Europa bij voor daarvoor in aanmerking komende Enterprise-, Edu- en Healthcare-klanten. Belangrijke beperking: dataresidentie kun je alleen instellen bij het aanmaken van een nieuwe workspace of een nieuw API-project. Bestaande projecten kun je achteraf niet omzetten. OpenAI noemt bij dit aanbod uitsluitend Enterprise, Edu, Healthcare en het API-platform; de consumentenabonnementen staan er niet bij.
Microsoft Copilot
Microsoft Copilot (tot voor kort Microsoft 365 Copilot) is voor EU-klanten een dienst binnen de EU Data Boundary. Microsoft schrijft in zijn documentatie dat aanroepen naar het taalmodel naar het dichtstbijzijnde datacenter in de regio gaan, en dat EU-verkeer binnen de EU Data Boundary blijft. Wereldwijd verkeer kan wél naar de EU en andere regio's worden gestuurd.
Eén uitzondering verdient aandacht: modellen die Anthropic als subverwerker levert binnen Copilot vallen op dit moment buiten de EU Data Boundary. Als beheerder bepaal je zelf of je die modellen inschakelt — in een gereguleerde sector is dat een bewuste keuze.
Google Gemini en Google Workspace
Google Workspace kent "dataregio's": als beheerder kies je in de Admin-console tussen Verenigde Staten, Europa of geen voorkeur. Die keuze geldt voor opgeslagen data. De optie om óók de verwerking in dezelfde regio te laten plaatsvinden zit alleen in de zwaardere edities: Frontline Plus, Enterprise Plus en Enterprise Essentials Plus. Google waarschuwt daarbij zelf dat sommige geavanceerde functies kunnen vervallen als je verwerking in je dataregiobeleid opneemt.
Met andere woorden: op Business Standard of Business Plus regel je de opslag in Europa, maar niet automatisch de verwerking.
Mistral (Vibe, voorheen Le Chat)
De Franse aanbieder Mistral hernoemde zijn assistent Le Chat in 2026 naar Vibe; bestaande gesprekken, instellingen en abonnementen gingen mee over. Er is een gratis plan, Pro voor 14,99 dollar per maand en Team voor 24,99 dollar per gebruiker per maand (exclusief btw). Op 11 augustus 2026 maakte Mistral zijn Regional Endpoints algemeen beschikbaar: klanten kiezen zelf of hun inferentie in Europa of de Verenigde Staten draait. Mistral tekent daarbij aan dat beperkte, contractueel afgedekte doorgiften naar subverwerkers buiten die regio kunnen plaatsvinden. Enterprise-klanten kunnen Vibe on-premises of in een private cloud draaien.
Voor wie Europese dataverwerking als harde eis heeft, is dit momenteel het meest rechttoe rechtaan aanbod. Op inhoudelijke kwaliteit is de vergelijking genuanceerder; zie daarvoor onze vergelijking van ChatGPT, Copilot en Gemini.
Is een AI-platform met ingebouwde AVG genoeg?
"AI-platform met ingebouwde AVG" is een term die je in marketingteksten vaker tegenkomt dan in contracten. Een aanbieder kan je een verwerkersovereenkomst, encryptie en een Europese opslaglocatie leveren, maar de verwerkingsverantwoordelijke blijf je zelf. Dat betekent concreet:
- Je moet weten welke persoonsgegevens er via prompts en uploads de tool in gaan.
- Je hebt een verwerkersovereenkomst (DPA) nodig met de aanbieder.
- Je moet kunnen uitleggen hoe lang gegevens bewaard blijven en hoe je ze verwijdert.
- Je moet je medewerkers instrueren, want de meeste incidenten ontstaan bij het plakken van gevoelige informatie in een gratis consumentenaccount.
Die laatste is in de praktijk de grootste risicofactor. We werkten dat uit in AI en AVG: zo gebruik je AI veilig met bedrijfsgegevens.
AI lokaal draaien: wanneer is dat verstandig?
Wie zoekt op "AI lokaal" wil meestal één ding: data die het pand niet verlaat. Dat kan. Open modellen — waaronder die van Mistral — kun je zelf hosten, in je eigen datacenter of private cloud. Mistral bevestigt dat zijn open-weight modellen zelf te hosten zijn, waarbij commerciële inzet een aparte licentie vereist.
Realistisch blijft: lokaal draaien vraagt hardware, beheer en kennis, en een zelf gehost open model is doorgaans minder krachtig dan het nieuwste model van een grote aanbieder. Voor de meeste MKB-bedrijven is een zakelijk abonnement met Europese dataresidentie de verstandigere eerste stap. Lokaal draaien wordt interessant bij structureel gevoelige dossiers of harde sectorafspraken. Wat de verschillende routes kosten, zetten we op een rij in wat AI kost voor het MKB.
Wat de AI-verordening hier wel en niet over zegt
De AVG gaat over persoonsgegevens; de AI-verordening gaat over het systeem zelf. Sinds 2 augustus 2026 gelden de transparantieverplichtingen uit de AI-verordening. Het Digital Omnibus op AI (Verordening (EU) 2026/1744) trad op 27 juli 2026 in werking en verschoof de belangrijkste verplichtingen voor zelfstandige hoog-risico AI-systemen uit bijlage III naar 2 december 2027. Voor hoog-risico systemen die zijn ingebouwd in gereguleerde producten uit bijlage I geldt 2 augustus 2028.
Voor een gemiddeld MKB-bedrijf dat ChatGPT, Copilot of Vibe gebruikt voor teksten, samenvattingen en analyses, betekent dit vooral: zorg dat je transparant bent over AI-gebruik richting klanten en medewerkers. De zware conformiteitsverplichtingen raken je pas als je AI inzet voor bijvoorbeeld werving, selectie of kredietbeoordeling.
Veelgestelde vragen
Bestaat er een AI-platform met ingebouwde AVG?
Geen enkel platform maakt je automatisch AVG-conform. Aanbieders leveren bouwstenen — een verwerkersovereenkomst, encryptie, Europese opslag, geen training op klantdata — maar jij blijft verwerkingsverantwoordelijke en moet zelf bepalen welke gegevens erin mogen.
Welke AI-tool slaat data in Europa op?
OpenAI biedt Europese dataresidentie voor ChatGPT Enterprise, Edu en de API. Microsoft Copilot is voor EU-klanten een dienst binnen de EU Data Boundary. Google Workspace kent een dataregio Europa voor opslag. Mistral laat je per endpoint kiezen tussen Europa en de Verenigde Staten.
Is opslag in Europa hetzelfde als verwerking in Europa?
Nee. Opslag gaat over waar je bestanden en gesprekken staan; verwerking gaat over waar het model draait wanneer het je vraag beantwoordt. Bij Google Workspace is verwerking in dezelfde regio bijvoorbeeld alleen beschikbaar in Frontline Plus, Enterprise Plus en Enterprise Essentials Plus.
Kun je AI lokaal draaien op je eigen server?
Ja, met open modellen kun je AI op eigen infrastructuur draaien, waarbij data je omgeving niet verlaat. Reken wel op hardware-, beheer- en kenniskosten, en op modellen die doorgaans minder krachtig zijn dan de nieuwste commerciële varianten.
Mag ik bedrijfsgegevens in een gratis AI-account zetten?
Dat is af te raden. Gratis consumentenaccounts kennen doorgaans geen verwerkersovereenkomst en andere voorwaarden rond hergebruik van data. Voor bedrijfsgegevens, en zeker voor persoonsgegevens, hoor je op een zakelijk plan met een verwerkersovereenkomst te zitten.