Versie: 10 september 2026 - opgesteld door WAIMAKERS B.V.

1 Doel

OpenAI-diensten kunnen een AVG-conforme inzet ondersteunen, maar geen enkel abonnement is automatisch ‘AVG-compliant’. De organisatie die de dienst gebruikt blijft verantwoordelijk voor de rechtsgrond, transparantie, dataminimalisatie, toegangsbeheer, bewaartermijnen, rechten van betrokkenen en, waar nodig, een DPIA en beoordeling van doorgiften.

Doorslaggevend zijn het product en abonnement, of de OpenAI-DPA van toepassing is, welke residentie-instellingen werkelijk zijn ingeschakeld, welke functies of derden gegevens ontvangen en of de ingestelde bewaring bij het doel past.

2 Vergelijking van versies

Route	Contract en training	Residentie	Bewaring	Praktische beoordeling
Free / Plus	Consumentenvoorwaarden gelden. ChatGPT kan gesprekken gebruiken om modellen te verbeteren zolang ‘Improve the model for everyone’ aanstaat; de gebruiker kan dit via Data Controls accountbreed uitschakelen.	Geen organisatorische residentietoezegging.	Training uitschakelen verwijdert gewone chatgeschiedenis niet. Temporary Chats worden binnen 30 dagen verwijderd, worden niet gebruikt voor training en kunnen alleen voor misbruikmonitoring worden beoordeeld.	Niet gelijkstellen aan een zakelijke werkruimte met DPA. Vermijd klantgegevens en gevoelige persoonsgegevens tenzij de concrete inzet is beoordeeld.
ChatGPT Business	OpenAI stelt dat zakelijke invoer en uitvoer standaard niet worden gebruikt voor modeltraining. Controleer of de actuele DPA voor de klant en dienst geldt.	Regionale opslag wordt geleidelijk uitgerold en is niet voor iedere klant beschikbaar. Een regio buiten de VS biedt geen inference residency; veiligheids- en misbruikmonitoringgegevens, waaronder tijdelijk een kopie van prompts en antwoorden, worden in de VS opgeslagen.	Beschrijf Business-bewaring niet als een algemene termijn van 30 dagen. Controleer werkruimte-instellingen en actuele productspecifieke regels.	Potentieel geschikt voor regulier zakelijk gebruik na controle van abonnement, DPA, residentie en functies.
ChatGPT Enterprise / Edu	Zakelijke gegevens worden standaard niet voor training gebruikt; DPA en enterprise-controls zijn beschikbaar.	Geschikte nieuwe werkruimten kunnen Europa kiezen voor bepaalde klantinhoud in rust. Geschikte werkruimten kunnen daarnaast Europese GPU-inferentie inschakelen. CPU-verwerking, systeemgegevens, externe integraties en niet-ondersteunde functies kunnen buiten de regio blijven.	Bewaarinstellingen zijn beschikbaar voor geschikte abonnementen. Uitzonderingen voor verwijdering, wet en beveiliging blijven gelden.	Sterkere governanceroute, maar compliance blijft afhankelijk van configuratie en gebruik.
OpenAI API	API-invoer en -uitvoer worden standaard niet gebruikt voor modeltraining, tenzij de klant daar expliciet voor kiest.	Europese opslag en verwerking zijn alleen beschikbaar voor geschikte projecten, endpoints en modellen. Een niet-Amerikaanse regio vereist goedkeuring voor abuse-monitoringcontrols en een Modified Retention-amendement. Ondersteunde regionale verwerking kan vanuit een project met Global geography ook per request worden gekozen via het regionale endpoint.	Abuse-monitoringlogs kunnen klantinhoud bevatten en worden standaard maximaal 30 dagen bewaard. ZDR/MAM en application state zijn endpointspecifiek.	Alleen geschikt nadat elk endpoint, hulpmiddel, opslagobject en iedere externe integratie in kaart is gebracht.

Publieke prijzen verschillen per land, valuta, belasting en factureringsroute. Controleer direct voor aankoop de officiële prijspagina of offerte; de prijs bewijst geen privacydekking.

3 Geverifieerde toezeggingen en grenzen

OpenAI stelt dat gegevens uit ChatGPT Business, Enterprise, Edu en de API standaard niet voor training worden gebruikt. Een expliciete opt-in kan dat veranderen.
Volgens de DPA treedt OpenAI voor gedekte Customer Data op als verwerker. Voor klanten in de EER en Zwitserland is OpenAI Ireland Ltd. de contractspartij; verdere doorgiften kunnen steunen op SCC's of een adequaatheidsbesluit.
ChatGPT-residentie geldt alleen voor genoemde categorieën klantinhoud. Accountgegevens, factuurgegevens, geaggregeerde gebruiksstatistieken, logs zonder inhoud en andere systeemgegevens vallen erbuiten.
Europese inference residency voor ChatGPT ziet op GPU-uitvoering. Zij garandeert niet dat alle verwerking, zoals routing, authenticatie, CPU-extractie of externe integraties, in Europa blijft. OpenAI noemt per deze controle ook de Verenigde Staten en de Verenigde Arabische Emiraten als ondersteunde ChatGPT-inferentieregio's.
API-residentie wordt per project ingesteld en vereist het gedocumenteerde regionale endpoint. Niet-ondersteunde endpoints of tools kunnen application state opslaan of buiten de regio verwerken.
Connectors, apps, GPT's van derden, MCP-servers, websearch en andere externe diensten hebben eigen voorwaarden en gegevensstromen. Beoordeel ze afzonderlijk.

4 EU-uitrolchecklist

Gebruik een organisatorisch Business-, Enterprise/Edu- of API-contract en leg dienst en abonnement exact vast.
Bevestig dat de actuele DPA is geïncorporeerd en bepaal de contracterende OpenAI-entiteit.
Leg de gekozen opslag- en inferentieregio vast vanuit de beheerconsole; leid die niet af uit het adres van de klant.
Inventariseer apps, connectors, GPT's, tools en API-endpoints en documenteer welke buiten residentie of ZDR vallen.
Stel bewaring en verwijdering in en test die. Neem uitzonderingen voor veiligheid, wettelijke bewaring, feedback en application state mee.
Pas least privilege, SSO/MFA waar beschikbaar, functiebeheer en een beleid voor toegestane gegevens toe.
Voer een DPIA of doorgiftebeoordeling uit wanneer risico, gegevenscategorieën of internationale doorgiften dat vereisen.

5 Primaire bronnen

6 Disclaimer

Dit overzicht is een informatief hulpmiddel voor inkoop, geen juridisch advies of certificering van een implementatie. Controleer voor productiegebruik het actuele contract, de configuratie en de gegevensstroom. De klant blijft verantwoordelijk voor zijn AVG-verplichtingen.

Opgesteld en uitgegeven door WAIMAKERS B.V. - 10 september 2026.