Checklist: Zo gebruik je Claude zonder AVG-problemen
Je zet Claude in voor klantvragen of administratie en vraagt je af of dat mag. Het antwoord hangt af van welk plan je hebt en wat je invoert. Hieronder een praktische checklist voor als je Claude wilt inzetten zonder dat het juridisch fout gaat.
Zakelijk plan, zelfs voor kleine teams
Gebruik je Claude met persoonsgegevens van klanten of medewerkers? Schakel dan meteen over naar het Team-plan ($25 per maand per gebruiker, $20 bij jaarcontract). Dat zorgt ervoor dat jouw content niet voor training wordt gebruikt en dat een Data Processing Agreement (DPA) automatisch geldt. Bij de gratis en Pro-plannen ben je individuele gebruiker, niet controller. Je hebt dus geen contractuele waarborg dat data van derden gescheiden blijft.
Toggle uitzetten is niet genoeg
Consumentenplannen hebben een schakelaar ‘Help improve our AI models’ in de instellingen. Die uitzetten lijkt voldoende, maar chats blijven tot vijf jaar bewaard als je hem ooit aan hebt gehad. Bovendien kunnen veiligheidsreviews alsnog training activeren, zelfs als de toggle uitstaat.
Incognito-chats vormen een uitzondering: die worden nooit voor training gebruikt, ongeacht de toggle. Voor structureel zakelijk gebruik biedt dat echter te weinig zekerheid.
Invoer sorteren met een verkeerslicht
Groen: blogconcept, productomschrijvingen zonder persoonsgegevens, factuurbedragen zonder naam.
Geel: klantnaam op een factuur, afspraakverzoek met datum en onderwerp. Hier heb je een DPA nodig en moet je overwegen data te anonimiseren voordat je het invoert.
Rood: gezondheidsgegevens, politieke overtuiging, vakbondslidmaatschap, biometrische data. Dit valt onder artikel 9 AVG en hoort niet in een cloud-AI zonder extra waarborgen. Gebruik voor dit soort content lokale modellen in plaats van een externe API.
EU-verwerking via een omweg
Anthropic zelf verwerkt standaard in de VS, met standaard contractclausules voor de datatransfer. Wil je dat data binnen de EU blijft, schakel dan Claude in via Amazon Bedrock in een Europese regio. Dat voegt een extra schakel toe, maar zorgt dat je binnen de AVG-definitie van een Europese verwerking blijft.
Dergelijke constructies zijn gebruikelijk bij Amerikaanse cloud-providers en vormen geen juridisch bezwaar, zolang je documenteert welke route je gebruikt.
Stopregels voor bijzondere categorieën
Je kunt een AI-assistent inzetten om e-mail te sorteren of bonnetjes voor te bereiden, maar je hebt een vangnet nodig voor uitzonderingen. Stel een vaste instructie in die bijzondere categorieën markeert in plaats van automatisch doorverwerkt.
Voorbeeld: een reiskostendeclaratie met per ongeluk bijgevoegd doktersbriefje. De AI leest de bijlage om te herkennen dat het om een doktersbriefje gaat, maar voert dan geen vervolgstappen uit (archiveren of samenvatten) en meldt dit als uitzondering. Die eerste leesactie voorkom je niet zonder voorafgaande filtering, maar je beperkt wel de verdere verwerking tot wat echt nodig is.
Bewaartermijnen bijhouden
Verwijderde chats verdwijnen binnen dertig dagen uit de backend. Chats die gekoppeld zijn aan een schending van de gebruiksvoorwaarden blijven twee jaar bewaard, classificaties voor veiligheid tot zeven jaar. Wil je voorkomen dat content langer blijft staan dan nodig, verwijder chats dan actief. Bij een zakelijk plan met DPA blijft de bewaarplicht gekoppeld aan jouw instructie, niet aan een standaardtermijn van de aanbieder.
Documenteer je keuze
Verwerk je persoonsgegevens via Claude, vermeld dat dan in je privacybeleid, inclusief bewijs van de DPA en de subprocessors die Anthropic inzet. Die lijst staat op trust.anthropic.com/subprocessors.
Duitse toezichthouders (DSK) wijzen erop dat invoeren van persoonsgegevens in AI een juridische grondslag vereist en dat je duidelijke routines moet hebben om het te vermijden waar het kan. Dat betekent concreet: anonimiseer vooraf, filter bijzondere categorieën eruit of kies een ander proces.
Probeer deze week: één workflow met anonieme data
Pak een terugkerende taak: productomschrijvingen herschrijven, blogideeën uitwerken, standaardmails opstellen. Gebruik Claude daarvoor een week lang zonder dat je persoonsgegevens invoert. Dat laat zien waar de tool helpt zonder dat juridische vragen meteen aan de orde zijn. Lukt dat, dan kun je overwegen of een zakelijk plan rendabel is voor de taken waar persoonsgegevens wél een rol spelen.
