Claude is veilig en AVG-proof te gebruiken, maar alleen met een zakelijk abonnement (Team, Enterprise of de API) en goede afspraken binnen je bedrijf. Op Free, Pro en Max gelden de consumentenvoorwaarden van Anthropic, zonder verwerkersovereenkomst. Zet je daar klantgegevens in, dan heb je voor de AVG een gat.

Wat doet Anthropic met je gegevens?

Wat Anthropic, het Amerikaanse bedrijf achter Claude, met je gesprekken doet, hangt af van je abonnement. Bij Free, Pro en Max traint Anthropic nieuwe modellen op je gesprekken als de instelling Modelverbetering aanstaat, en bewaart ze dan tot 5 jaar. Staat die instelling uit, dan bewaart Anthropic je gesprekken 30 dagen. Bij Team, Enterprise en de API traint Anthropic standaard niet op wat je erin stopt.

Er zijn een paar uitzonderingen die je moet kennen:

• Duimpjes. Geef je feedback met duim omhoog of omlaag, dan bewaart Anthropic dat hele gesprek 5 jaar en mag het gebruikt worden voor training. Dat geldt ook voor zakelijke accounts.

• Incognito. Een incognito-chat gebruikt Anthropic nooit om Claude te verbeteren, ook niet als Modelverbetering aanstaat.

• Connectors. Volgens Anthropic valt de ruwe inhoud uit een koppeling met bijvoorbeeld Google Drive niet onder training, tenzij je die zelf in het gesprek plakt.

• Overtredingen. Gesprekken die het veiligheidssysteem markeert, bewaart Anthropic tot 2 jaar.

Welk Claude-abonnement is AVG-proof?

Voor werk met persoonsgegevens kies je Claude Team, Claude Enterprise of de API. Die vallen onder de zakelijke voorwaarden van Anthropic, waar de verwerkersovereenkomst automatisch onderdeel van is. Free, Pro en Max zijn bedoeld voor persoonlijk gebruik en hebben die overeenkomst niet, hoe goed je de instellingen ook zet.

Op Team en Enterprise zet de eigenaar ook de duimpjes uit, via Organization settings > Data and Privacy > Rate chats. Dan deelt niemand per ongeluk een gesprek voor training. Grote organisaties kunnen voor Claude Code bovendien Zero Data Retention aanvragen: dan bewaart Anthropic niets. Dat zit niet standaard in Enterprise; Anthropic zet het per organisatie aan na een check.

Waar staan je gegevens en is dat een probleem?

Anthropic slaat je gegevens op in de Verenigde Staten. Het verwerken van een vraag kan ook in Europa, Azië of Australië gebeuren, en een Europese opslaglocatie biedt Anthropic zelf niet aan. Voor de AVG (in het Engels: GDPR) is dat een doorgifte buiten de EU, en die is toegestaan als het contract het regelt.

Dat contract is de verwerkersovereenkomst. Daarin staan de standaardcontractbepalingen van de Europese Commissie, onder Iers recht. Klanten in de EU sluiten hun zakelijke contract met Anthropic Ireland. Verder heeft Anthropic volgens eigen zeggen ISO 27001, ISO 42001 (voor AI-beheer) en SOC 2 Type II.

Moet je data echt in Europa blijven, bijvoorbeeld door afspraken met klanten in de zorg of de overheid? Dan loop je via Amazon Bedrock of Google Cloud: daar bepaalt de regio die je kiest waar Claude draait. Een andere route is AI op je eigen hardware; hoe dat werkt, lees je in onze gids Lokale AI: taalmodellen op eigen hardware.

Wat regel je zelf voor de AVG?

Een zakelijk abonnement is de basis, maar de AVG vraagt ook iets van jou. Zet Claude in je verwerkingsregister, beoordeel of je een DPIA nodig hebt en spreek met je team af welke gegevens er wel en niet in mogen. De meeste fouten ontstaan niet in de tool, maar doordat iemand zonder afspraken een bestand uploadt.

In onze live les over veilig werken met Claude kwam precies zo'n vraag langs: kan ik een export van mijn leads uit ActiveCampaign in Claude zetten? Namen, mailadressen en wat iemand las: dat zijn persoonsgegevens. Op een Pro-account is dat dus niet de bedoeling.

Deze lijst gebruiken we zelf als startpunt:

1. Abonnement: Team of Enterprise voor alles met klantgegevens. Niemand gebruikt een persoonlijk account voor klantwerk.

2. Register en DPIA: Claude in het verwerkingsregister, en een DPIA als je op grote schaal of gevoelige gegevens verwerkt.

3. Geen bijzondere persoonsgegevens: geen BSN, gezondheid of salarissen in opdrachten.

4. Afspraken op papier: wat mag erin, wie controleert de uitkomst, welke koppelingen staan aan.

5. AI-geletterdheid: de EU AI Act verplicht je sinds februari 2025 om medewerkers te leren hoe ze verantwoord met AI werken.

Hoe dit eruitziet voor ChatGPT, lees je in Is ChatGPT AVG-proof voor bedrijven? Wil je weten waar in jouw bedrijf de risico's zitten en welke tools passen, dan brengen we dat in kaart met een AI Audit.

Hoe zit het met Claude Code en connectors?

Voor Claude Code gelden dezelfde regels als voor de chat: op Free, Pro en Max hangt training af van je instelling, op Team, Enterprise en de API traint Anthropic standaard niet. Het verschil is dat Claude Code op je eigen computer werkt en alles kan lezen waar jij toegang toe hebt. Wat hij leest, gaat mee naar Anthropic.

Drie dingen die we in de praktijk zijn tegengekomen:

• Lokale kopieën. Claude Code bewaart je sessies standaard 30 dagen als gewone tekst in de map ~/.claude/projects/ op je computer. Alles wat hij las, staat daar dus ook. Met de instelling cleanupPeriodDays maak je die termijn korter.

• Feedback. Met /feedback stuur je je gesprek inclusief code naar Anthropic, en dat wordt 5 jaar bewaard. Doe dat niet in een project met klantgegevens.

• Een aparte computer. Onze eigen agents draaien op een aparte Mac mini op kantoor. Wat er niet op staat, kunnen ze ook niet lezen. Kijk ook naar ingelogde browsers en cloudmappen: die zijn net zo goed bereikbaar.

Koppel je Claude aan Outlook, Teams of SharePoint, dan leest hij met de rechten van de gebruiker. Ruim dus eerst op wie waar bij kan. Hoe je dat stap voor stap doet, staat in onze gids Claude koppelen aan Outlook en Teams. Nieuw met Claude? Begin dan bij Hoe werkt Claude? De zes niveaus uitgelegd.