Wat gebeurt er met jouw data bij OpenAI?

Je typt een prompt in ChatGPT of stuurt een API-call naar GPT-4. Die data gaat ergens heen, wordt verwerkt en komt terug als antwoord. Logische vraag: wordt dat opgeslagen? Gebruikt OpenAI het om modellen te trainen? En wie mag erbij?

Voor een mkb-bedrijf dat klantgegevens, offertes of productinformatie door een AI-model haalt, is dat geen theoretische vraag. Het is juridisch en operationeel relevant. Hieronder een overzicht van wat OpenAI daarover zegt en wat je er in de praktijk mee kunt.

Blijft jouw input van jou?

OpenAI stelt dat organisatiedata eigendom blijft van de klant. Dat geldt voor Enterprise-, Business-, Edu-, Healthcare- en API-abonnementen. Standaard worden inputs én outputs niet gebruikt om modellen te verbeteren, tenzij je daar expliciet voor kiest via het API-dashboard.

De modellen zelf zijn getraind op publieke internetdata, informatie van partners en door onderzoekers gegenereerde datasets. Niet op wat jij erin stopt tijdens gebruik.

Dat is een belangrijk verschil met de gratis versie van ChatGPT, waar opt-out nodig is om te voorkomen dat gesprekken worden meegenomen in modeltraining. Bij zakelijk gebruik is de standaard: geen training.

Encryptie at rest en in transit

Data die op servers staat, wordt versleuteld met AES-256. Data die onderweg is gaat over TLS 1.2 of hoger.

Voor organisaties die hun eigen encryptiesleutels willen beheren, is er Enterprise Key Management (EKM). Dan houd je zelf de controle over de sleutels waarmee data wordt versleuteld, ook al staat die data bij OpenAI.

Verder hanteert OpenAI een zero trust-benadering: beveiliging in lagen, vanaf endpoints tot applicatieniveau. Dat heet defense-in-depth. Geen enkele laag is de enige verdedigingslijn.

Wie let op de winkel?

Een beveiligingsteam draait 24/7 diensten. Geautomatiseerde alerts signaleren verdachte activiteit, gevolgd door handmatige onderzoeken. Externe partijen voeren regelmatig audits uit en OpenAI laat eigen red teams aanvallen simuleren om zwakke plekken te vinden.

Certificeringen die hieruit voortkomen: SOC 2 Type 2, ISO/IEC 27001, 27017, 27018, 27701 en CSA STAR. Voor organisaties in de zorg is een Business Associate Agreement beschikbaar, zodat je HIPAA-compliant kunt opereren met de API of het Healthcare-abonnement.

Hoe lang blijft data staan?

Standaard bewaart OpenAI data een bepaalde tijd. Voor gekwalificeerde organisaties is dat instelbaar. API-klanten kunnen kiezen voor zero data retention: dan wordt niets bewaard na verwerking.

Dat is relevant als je met privacygevoelige informatie omgaat. Je laat een GPT-model contracten analyseren. Met zero retention verdwijnt de inhoud van die contracten zodra het antwoord is gegenereerd. Geen logbestanden, geen tijdelijke opslag.

GDPR en CCPA worden ondersteund met een Data Processing Addendum voor enterprise-klanten.

Waar staat jouw data fysiek?

OpenAI biedt data residency aan voor Enterprise-, Edu-, Healthcare- en API-klanten. Je kunt kiezen uit tien regio’s: Verenigde Staten, Europa, Verenigd Koninkrijk, Japan, Canada, Zuid-Korea, Singapore, Australië, India en de Verenigde Arabische Emiraten.

Data at rest blijft dan binnen die regio. Voor gekwalificeerde klanten kan ook de inferentie (de daadwerkelijke verwerking door GPU’s) in de VS of Europa plaatsvinden.

API-klanten kunnen expliciet aangeven of ze VS of Europa willen voor data processing. Dat scheelt gedoe met juridische afdelingen die willen weten waar klantdata terechtkomt.

Wie mag wat: toegangsbeheer per abonnement

Business en Teachers
Multi-factor authentication met TOTP (time-based one-time passwords). Drie gebruikersrollen: Member, Admin, Owner. Je kunt third-party GPT’s in- of uitschakelen via GPT Controls. Single Sign-On met SAML. Basis analytics over welke modellen en functies worden gebruikt.

Enterprise, Edu en Healthcare
Alles van hierboven, plus SCIM voor automatisch aanmaken en verwijderen van accounts als iemand in dienst komt of weggaat. Custom roles per groep, met permissions voor specifieke tools, agents of Codex-toegang. Gecentraliseerde spend controls: standaardlimieten per workspace, groepslimieten en individuele overrides. User analytics in real-time: wie gebruikt wat, hoe vaak, welke trends zie je. En op iOS/iPadOS kun je App Protection Policies en Conditional Access via Microsoft Intune afdwingen.

API-platform
MFA en SAML SSO. Projects en Project Limits voor granulaire controle over toegang en uitgaven per project. Een Admin API waarmee owners en securityteams permissions kunnen beheren zonder handmatig in te loggen. Een Audit Logs API voor zichtbaarheid in wie wanneer wat heeft gedaan. En een Usage Dashboard om gebruik op feature-, product-, team- of projectniveau bij te houden.

Wat kun je hier deze week mee?

Stel: je draait een webshop met duizend klanten en je wilt productbeschrijvingen herschrijven met de OpenAI API. Je wilt niet dat productnamen, prijzen of klantgegevens ergens blijven hangen.

Stappen

1. Schakel via het API-dashboard zero data retention in.
2. Kies een data residency-regio (bijvoorbeeld Europa).
3. Gebruik een API-key met beperkte permissions: alleen toegang tot de text completion-endpoint, niet tot fine-tuning of andere functies.
4. Log API-gebruik met de Audit Logs API, zodat je kunt nagaan of er onverwachte calls zijn gedaan.

Dat geeft je een setup waarbij data direct na verwerking verdwijnt, binnen Europa blijft en waar je achteraf kunt controleren wat er is gebeurd. Geen marketingtaal, gewoon een paar instellingen die je vandaag nog kunt regelen.

---