ChatGPT & Microsoft Copilot GDPR Compliance Rapport - Europese Klanten
Versie: juni 2026 - opgesteld door WAIMAKERS B.V.
1 Doel
Dit rapport biedt Europese klanten inzicht in hoe ChatGPT- en Microsoft Copilot-abonnementen omgaan met persoonsgegevens in relatie tot de Algemene Verordening Gegevensbescherming (GDPR). Beide platforms maken gebruik van grote taalmodellen, maar verschillen in de mate van zakelijke gegevensbescherming en compliance.
Capabiliteiten & functievergelijking
Naast compliance: zo verhouden de twee zich op dagelijkse functionaliteit. Dit vergelijkt Microsoft 365 Copilot (het betaalde werkproduct); de gratis consumenten-Copilot heeft veel minder functies. Midden 2026 - features veranderen snel.
| Capability | Wat het is | ChatGPT (OpenAI) | Microsoft 365 Copilot |
|---|---|---|---|
| Redeneermodellen | Tragere "denk"-modus voor moeilijke vraagstukken | ✅ GPT-5.5 Thinking / Pro | ✅ GPT-5.x + Anthropic Claude (modelkiezer) |
| Verankering in je organisatiedata | Antwoorden op basis van je mail, bestanden, chats | ⚠️ Alleen via connectors | ✅ Native (Microsoft Graph) |
| Webzoeken | Actuele webantwoorden met bronnen | ✅ Alle plannen | ✅ Bing-webverankering |
| Deep research | Agent onderzoekt → rapport met bronnen | ✅ Deep Research | ✅ Researcher-agent |
| Aangepaste assistenten / agents | Bouw je eigen assistenten en agents | ✅ Custom GPTs + GPT Store | ✅ Agent Builder + Copilot Studio |
| AI-agents / computer use | Voert zelfstandig taken uit, bedient een browser | ✅ ChatGPT agent | ✅ Copilot Studio-agents + computer use |
| Skills | Herbruikbare pakketten met instructies/scripts | ⚠️ Bèta (business-tiers) | ❌ Gebruikt in plaats daarvan agents + Prompt Gallery |
| Connectors & plug-ins (MCP) | Koppel apps en data | ✅ Apps & Connectors, MCP | ✅ Graph-connectors + MCP (Copilot Studio) |
| Office-bestanden (Excel / PowerPoint / Word) | Echte Office-documenten maken & bewerken | ⚠️ Zwakker in Office-opmaak | ⚠️ Excel verbeterd (draait nu Claude); PowerPoint zwakker |
| Code & data-analyse | Draait code op je data, maakt grafieken | ✅ Advanced Data Analysis | ✅ Analyst-agent + Python in Excel |
| Beeldgeneratie | Afbeeldingen maken vanuit een prompt | ✅ Native beeldmodel | ✅ Copilot Designer |
| Voice-modus | Gesproken gesprek | ✅ Advanced Voice | ✅ Copilot Voice |
| Geheugen | Onthoudt context over sessies heen | ✅ Alle plannen | ✅ Copilot Memory |
| Office-integratie | AI in Word, Excel, PowerPoint, Outlook, Teams | ❌ Niet native | ✅ Native in alle Office-apps |
| Vergadernotities & samenvattingen | Vergaderingen vastleggen en samenvatten | ❌ Niet native | ⚠️ Native in Teams; kwaliteit wisselend |
| Apps & platforms | Waar je het gebruikt | Web, desktop, mobiel, Codex | Office-apps, Teams, Windows, Edge, web, mobiel |
Een ✅ betekent dat een capability beschikbaar is - niet hoe krachtig of volwassen die is. Dat een functie ín Copilot bestaat, betekent niet dat die in de praktijk gelijk is aan een frontier-assistent; waar elke tool écht in uitblinkt, staat hieronder samengevat.
Waar elk het sterkst in is
- ChatGPT (OpenAI) - een frontier-assistent gebouwd door het lab dat de modellen maakt, dus nieuwe mogelijkheden komen er als eerste en in hun meest complete vorm: algemeen redeneren, onderzoek, coderen, native beeldgeneratie, voice en Custom GPTs. Sterk als zelfstandige, algemene assistent voor open werk.
- Microsoft 365 Copilot - een AI-laag verweven in de Microsoft 365-apps die je al gebruikt, verankerd in de eigen data van je organisatie (Microsoft Graph). Het sterkst voor concepten in Word en Outlook, het samenvatten van Teams-vergaderingen en antwoorden uit interne bestanden - voor mensen die vooral ín Office werken.
Onze visie: het kernverschil is structureel. Copilot bouwt geen eigen frontier-modellen - het draait die van OpenAI (en nu Anthropic) achter de Microsoft 365-ervaring, dus qua ruwe capaciteit zit het een stap achter op de labs die de modellen maken. In ons dagelijks gebruik is het duidelijk zwakker voor de meeste documenttaken: de Excel-plug-ins lopen ver achter op die van Claude, en de vergadersamenvattingen zijn matig. Waar het de Excel-achterstand heeft ingelopen, komt dat grotendeels doordat het nu Anthropic's Claude ín die Office-ervaringen draait. Copilot's echte, herhaalbare voordelen zijn vertrouwen en bereik: je data blijft op Microsoft-servers (een AVG- en inkoopverhaal dat de meeste organisaties al accepteren), en het zit native in Outlook, Teams en Office. Belangrijk om helder te zijn: dit vertrouwen is een keuze wélk bedrijf je vertrouwt, geen capaciteitsverschil - OpenAI, Anthropic én Microsoft beloven allemaal niet op je bedrijfsdata te trainen; Copilots voordeel is simpelweg dat de meeste organisaties Microsoft al vertrouwen. Gebruik Copilot om AI in Microsoft 365 te brengen op je eigen data; gebruik een frontier-assistent als ChatGPT of Claude wanneer het werk capaciteit vraagt.
Copilot bouwt geen eigen AI-modellen - het draait de modellen van andere bedrijven, dus het zit verder van de innovatie af.
- Wouter van Haaften, WAIMAKERS
2. ChatGPT - Vergelijking van versies
| Abonnement | GDPR-compliant? | EU-gegevensresidentie | Verwerking/Opslag | Bewaring | Richtprijs* | DPA / Beleidscitaat |
|---|---|---|---|---|---|---|
| Free / Plus | ⚠️ Beperkt voor zakelijk gebruik | ❌ Nee | Mondiaal; VS-infrastructuur | Onbepaald; blijft bewaard tenzij verwijderd | €23/mnd (incl. btw NL) | "Zakelijke data wordt niet gebruikt voor training; consumenten kunnen zich afmelden." |
| ChatGPT Go (lager consumentenabonnement, waar beschikbaar) | ❌ Niet geschikt voor zakelijk gebruik | ❌ Nee | Mondiaal; geen EU-residentieoptie | Onbepaald | Controleer actuele OpenAI-prijzen | Geen zakelijke GDPR-waarborgen; alleen consumentenvoorwaarden. Geen DPA beschikbaar. |
| ChatGPT Business (hernoemd van Team, 29 aug. 2025) | ✅ Ja | ❌ Nee (nog geen EU-only optie) | OpenAI-infrastructuur; contracteren via OpenAI Ireland Ltd. | Verwijderde/niet-opgeslagen chats verwijderd ≤30 dagen | €25/seat/mnd (maandelijks) of €20/seat/mnd (jaarlijks), excl. btw; credietpakketsysteem beschikbaar voor overgebruik | "Wij trainen standaard niet op zakelijke data." DPA beschikbaar. |
| ChatGPT Enterprise / Edu | ✅ Ja | ✅ Ja (regionale opslag + inference residency waar ondersteund) | Klantinhoud kan in de gekozen ondersteunde regio worden opgeslagen; GPU-inferentieresidentie is beschikbaar in ondersteunde regio's wanneer ingeschakeld | Door beheerder instelbaar; verwijderde chats verwijderd ≤30 dagen | Maatwerk (EUR) | OpenAI documenteert ChatGPT-opslagregio's, inferentieregio's en uitgesloten functies. |
| OpenAI API (Business/Edu) | ✅ Ja | ✅ Ja (geschikte API-projecten/endpoints) | API-residentie hangt af van geschiktheid, project en endpoint; niet-VS-residentie vereist goedgekeurde misbruikmonitoringcontrols en een ZDR-amendement | Tot 30 dagen standaard voor misbruikmonitoring; ZDR/MAM alleen beschikbaar voor goedgekeurde geschikte use cases | Verbruiksgebaseerd (USD-lijst; gefactureerd in EUR) | "API-invoer/uitvoer kan standaard tot 30 dagen worden bewaard; ZDR/MAM en residentie vereisen geschiktheid/goedkeuring." |
- Richtprijzen gebaseerd op publiekelijk beschikbare informatie per juni 2026. Btw-verwerking varieert per abonnement/bedrijfsstatus.
3. Microsoft Copilot - Vergelijking van versies
| Abonnement | GDPR-compliant? | EU-gegevensresidentie | Verwerking/Opslag | Bewaring | Richtprijs* | DPA / Beleidscitaat |
|---|---|---|---|---|---|---|
| Microsoft Copilot (web) | ⚠️ Beperkt | ❌ Nee | Mondiale datacenters; consumentenvoorwaarden | Niet gespecificeerd | Gratis | Alleen consumentenbescherming; geen M365 DPA. |
| Copilot Pro (consument) (niet meer verkocht aan nieuwe klanten; vervangen door Microsoft 365 Premium) | ⚠️ Beperkt | ❌ Nee | Mondiale datacenters; consumentenvoorwaarden | Niet gespecificeerd | Legacy; niet meer verkocht aan nieuwe klanten (ondersteuning eindigt 1 aug. 2026) | Persoonlijk abonnement; geen M365 DPA. |
| M365 Copilot Chat (werk) | ✅ Ja | ✅ Ja (EU Data Boundary) | Commerciële tenant met Entra ID; ⚠️ webzoekopdrachten uitgesloten | Instelbaar via Purview/M365 | Inbegrepen bij in aanmerking komende M365-licentie | Gedekt door DPA & EU Data Boundary; webzoekopdrachten uitgesloten. Nu een Core Online Service onder EU Data Boundary (sept. 2025). |
| M365 Copilot (add-on) | ✅ Ja | ✅ Ja (EU Data Boundary) | EU Data Boundary voor M365-inhoud; Anthropic Office-modellen buiten EUDB indien ingeschakeld | Instelbaar via M365-beleid | €28,10/gebruiker/mnd (jaarlijks, excl. btw); Microsoft-prijzen en gebundelde SKUs wijzigen regelmatig, dus controleer actuele prijzen vóór aankoop. | Prompts/antwoorden worden niet gebruikt om foundation models voor anderen te trainen; GDPR-ondersteunend onder Microsofts commerciële voorwaarden en DPA. ⚠️ Anthropic/Claude in Word/Excel/PowerPoint kan standaard aan staan voor EU/EFTA/VK-tenants die na 25 maart 2026 zijn aangemaakt en valt buiten de EU Data Boundary. |
| GitHub Copilot Business | ✅ Ja | ⚠️ Voorwaardelijk | Afhankelijk van tenant & GitHub-regio | ~30 dagen | $19 USD/gebruiker/mnd (EUR gefactureerd tegen wisselkoers) | Gedekt door GitHub Enterprise DPA; apart van M365. |
| Microsoft Security Copilot | ✅ Ja | ⚠️ Beperkt | Azure-datacenters; SCU-workloads | Verbruiksgebaseerd; bewaring per product | Geprijsd per SCU/uur | Capaciteit gefactureerd per uur per SCU. |
- Richtprijzen per juni 2026, excl. btw/kortingen.
4. Belangrijkste verschillen
- Basis: Beide leunen sterk op OpenAI-modellen; Microsoft Copilot gebruikt nu ook Anthropic- en andere modellen.
- ChatGPT: Algemene assistent (standalone app + API).
- Copilot: Productiviteits-AI in Microsoft 365, GitHub, Security.
- Compliance:
- ChatGPT: regionale opslag en inference residency zijn beschikbaar voor geschikte Enterprise/Edu-werkruimten; API-residentie en ZDR/MAM-controls vereisen endpoint-, project-, contract- en goedkeuringscontrole.
- Copilot: EU Data Boundary (M365); ⚠️ webzoekopdrachten uitgesloten; Anthropic/Claude Office-modelinstelling vereist tenantcontrole omdat deze standaard aan kan staan voor EU/EFTA/VK-tenants die na 25 maart 2026 zijn aangemaakt en buiten EUDB valt.
5. GDPR-aanbevelingen
- Algemeen gebruik: ChatGPT Business of Enterprise (EU at-rest).
- M365-productiviteit: M365 Copilot add-on; schakel webzoekopdrachten uit.
- Ontwikkelwerk: GitHub Copilot Business of ChatGPT Enterprise.
- Beveiligingsoperaties: Microsoft Security Copilot met SCU-controles.
6. Compliance-overwegingen
- ChatGPT: Free/Plus ongeschikt voor persoonsgegevens; Business mist EU-residentie; Enterprise/Edu vereist voor EU-opslag; ChatGPT Go biedt alleen consumentenvoorwaarden, zonder zakelijke DPA of EU-gegevensresidentie.
- Copilot: Webzoekopdrachten vallen buiten EU Data Boundary; consumentenabonnementen missen DPA's; Anthropic/Claude is nu subverwerker en Office-modelprovider, maar valt buiten de EU Data Boundary. Voor EU/EFTA/VK-tenants die na 25 maart 2026 zijn aangemaakt kan de app-specifieke instelling standaard aan staan, dus beheerders moeten dit controleren vóór EUDB-gevoelige uitrol.
- Gezamenlijk: Voer een DPIA uit, beoordeel DPA's en train medewerkers.
- Regelgevingsacties: De Italiaanse Garante heeft OpenAI een boete van €15M opgelegd (dec. 2024) wegens GDPR-schendingen in verband met ChatGPT, maar de rechtbank van Rome heeft het beroep van OpenAI gegrond verklaard en de boete in maart 2026 vernietigd (vonnis nr. 4153/2026, gepubliceerd op 18 maart 2026); tijdens het onderzoek vestigde OpenAI zijn EU-hoofdkantoor in Ierland en werd, onder het one-stop-shop-mechanisme, de Ierse DPC de leidende toezichthouder van OpenAI. Het EDPB heeft een Art. 64-advies uitgebracht over AI-modeltraining en persoonsgegevens (dec. 2024). De Ierse DPC is de leidende toezichthoudende autoriteit voor OpenAI in Europa.
7. Kostenvergelijking (Illustratief)
- Klein team (10 gebruikers):
- ChatGPT Business: ~€300/mnd excl. btw.
- M365 Copilot add-on: ~€281/mnd excl. btw (jaarlijks).
- Middelgrote onderneming (100 gebruikers):
- M365 Copilot add-on: ~€2.810/mnd excl. btw (jaarlijks).
- ChatGPT Enterprise: Maatwerk.
- Security Copilot: SCU/uur, variabel.
8. Implementatieroadmap
- Beoordeling (Weken 1-2): DPIA, licenties, gebruiksscenario's.
- Pilot (Weken 3-6): Bewaring/DLP configureren; gebruik monitoren.
- Uitrol (Weken 7-12): Training, governance, compliance-review.
9. Disclaimer
Dit rapport is uitsluitend informatief en vormt geen juridisch advies. Verifieer voorwaarden rechtstreeks bij leveranciers. WAIMAKERS B.V. past deze principes intern toe maar kan niet aansprakelijk worden gesteld. De verantwoordelijkheid voor compliance ligt bij de klant.
Referenties
OpenAI:
- https://openai.com/enterprise-privacy - OpenAI Enterprise Privacy
- https://openai.com/index/introducing-data-residency-in-europe - OpenAI Gegevensresidentie in Europa
- https://help.openai.com/en/articles/9903489-data-residency-for-chatgpt - Data residency and inference residency for ChatGPT
- https://help.openai.com/en/articles/10503543-data-residency-for-the-openai-api - Gegevensresidentie voor de OpenAI API
- https://openai.com/policies/data-processing-addendum - OpenAI Data Processing Addendum (bijgewerkt 1 jan. 2026)
Microsoft Copilot:
- https://learn.microsoft.com/microsoft-365-copilot/microsoft-365-copilot-privacy - Microsoft 365 Copilot Privacydocumentatie
- https://learn.microsoft.com/en-us/microsoft-365/copilot/copilot-anthropic-apps - Copilot in Microsoft 365 apps with Anthropic models
Regelgeving:
- https://www.garanteprivacy.it/ - Italiaanse Garante €15M-boete aan OpenAI (december 2024); vernietigd door de rechtbank van Rome (maart 2026) wegens onbevoegdheid
- https://www.edpb.europa.eu/ - EDPB Art. 64-advies over AI-modeltraining en persoonsgegevens (dec. 2024)
Disclaimer
Dit overzicht is uitsluitend bedoeld als informatiemiddel. Wij adviseren klanten nadrukkelijk om alle Data Processing Agreements (DPA's) en privacydocumentatie grondig door te lezen voordat ChatGPT of Microsoft Copilot in productieomgevingen wordt ingezet - met name wanneer persoonsgegevens, vertrouwelijke bedrijfsinformatie of vertrouwelijke inhoud worden verwerkt. WAIMAKERS past dit beginsel zelf ook toe; alle tools die wij gebruiken zijn grondig beoordeeld en opgenomen in onze eigen privacy- en beveiligingsdocumentatie. Klanten dienen altijd zorgvuldig de officiële documentatie, voorwaarden en DPA's van elke AI-aanbieder te beoordelen. WAIMAKERS kan niet wettelijk aansprakelijk worden gesteld voor fouten, onjuistheden, of voor de juistheid, actualiteit of volledigheid van de informatie in dit document; de uiteindelijke verantwoordelijkheid voor GDPR-compliance ligt bij de klant.
Opgesteld en uitgegeven door WAIMAKERS B.V. - Juni 2026.