Beleid & regelgeving
OpenAI belooft geen opslag van gevoelige data, ook bij nieuwe controlelaag
OpenAI test een systeem dat misbruik opspoort zonder dat medewerkers gesprekken kunnen inzien, ook bij klanten die kiezen voor nul data-opslag.
Op basis van OpenAI
Samengesteld met AI-assistentie uit de onderstaande bronnen, onder redactie van Frederiek Pascal. Hoe dit werkt
In het kort
- OpenAI test 'Private Safety Processing', een systeem dat verdachte patronen over meerdere gesprekken heen herkent zonder de inhoud te tonen aan medewerkers.
- Klanten die nu al 'Zero Data Retention' gebruiken, houden die garantie: hun gegevens blijven op infrastructuur die ze zelf beheren.
- Een nieuwe optie laat bedrijven data versleuteld bij OpenAI opslaan met een sleutel die alleen zijzelf beheren.
- Vlaamse bedrijven die AI-tools laten bouwen op OpenAI's technologie krijgen hierdoor sterkere argumenten richting hun eigen klanten over gegevensbescherming.
- De volledige technische uitleg en de start van de uitrol volgen pas in september 2026.
OpenAI kondigt een nieuwe beveiligingslaag aan voor bedrijven die zijn AI-modellen gebruiken via de zogeheten API, de technische verbinding waarmee andere software met OpenAI’s modellen praat. Het gaat om een aanvulling op een bestaande belofte die “Zero Data Retention” heet: OpenAI bewaart dan geen prompts of antwoorden nadat een verzoek is verwerkt. Die belofte blijft overeind, maar krijgt er een systeem bij dat misbruik moet opsporen zonder dat OpenAI-medewerkers de inhoud van gesprekken ooit te zien krijgen.
Wat houdt zero data retention precies in?
Zero Data Retention, afgekort ZDR, is een instelling die bedrijfsklanten kunnen kiezen wanneer ze OpenAI’s modellen via de API inzetten in hun eigen software. Met die instelling bewaart OpenAI de tekst die klanten insturen en de antwoorden die het model geeft niet, en gebruikt het die gegevens ook niet om zijn modellen te trainen, tenzij een klant daar zelf uitdrukkelijk voor kiest. Voor bedrijven die met gevoelige informatie werken, zoals financiële gegevens, medische dossiers of vertrouwelijke bedrijfsplannen, is dat een belangrijke voorwaarde om AI-tools überhaupt te mogen inzetten. OpenAI zegt dat organisaties uit uiteenlopende sectoren hierom hebben gevraagd om aan hun eigen regels rond gegevensbescherming te kunnen voldoen.
Waarom voegt OpenAI daar nu iets aan toe?
Het probleem is dat AI-systemen steeds langere en complexere taken uitvoeren, en dat gevaarlijk gedrag niet altijd zichtbaar is in één los gesprek. Iemand die stap voor stap de veiligheidsgrenzen van een model probeert te omzeilen, of een AI-systeem dat blijft doorwerken nadat een gebruiker het heeft gevraagd te stoppen, valt pas op als je meerdere interacties naast elkaar bekijkt. Bestaande veiligheidscontroles bij ZDR-klanten beoordelen elk gesprek apart, en missen daardoor dat soort patronen. Sommige AI-aanbieders lossen dit nu op door klanten te verplichten gevoelige inhoud toch te laten bewaren voor controle, iets wat volgens OpenAI voor veel organisaties in strijd is met hun eigen beveiligingsverplichtingen.
Wat verandert er concreet voor gebruikers?
OpenAI test daarom een nieuw systeem, Private Safety Processing, dat automatisch patronen over meerdere gesprekken heen herkent zonder dat medewerkers de onderliggende inhoud kunnen inzien. Bij klanten die op infrastructuur werken die ze zelf beheren, blijft die inhoud daar ook staan. Daarnaast werkt OpenAI aan een optie waarbij bedrijven hun gegevens wel bij OpenAI laten opslaan, maar dan versleuteld met een digitale sleutel die alleen de klant zelf beheert. In beide gevallen kan het automatische systeem een beperkt signaal doorgeven, bijvoorbeeld dat er mogelijk misbruik plaatsvindt, zonder dat OpenAI-personeel de tekst zelf ziet. Klanten kunnen dat signaal dan zelf onderzoeken in hun eigen systemen, en beslissen of ze relevante informatie alsnog met OpenAI delen, bijvoorbeeld om een blokkering aan te vechten. Eén uitzondering blijft bestaan: materiaal dat mogelijk wijst op seksueel misbruik van kinderen wordt, zoals wettelijk verplicht, wel bewaard voor onderzoek, ook binnen ZDR.
Glean, een softwarebedrijf dat AI-zoekfuncties bouwt voor bedrijven en met OpenAI samenwerkt, noemt de aanpak volgens OpenAI een manier om veiligheid te versterken zonder in te leveren op de controle die klanten over hun gegevens houden. Dat is een citaat van de eigen klant van OpenAI, en dus geen onafhankelijke bevestiging dat het systeem ook werkt zoals beloofd.
Wanneer is dit beschikbaar?
Het systeem wordt momenteel getest bij een beperkt aantal klanten. OpenAI kondigt aan dat de bredere uitrol, samen met een technisch document dat de werking in detail beschrijft, in september 2026 volgt. Tot die tijd is er geen onafhankelijke bevestiging van hoe goed het systeem patronen herkent of hoe streng de versleuteling in de praktijk is opgezet. Bedrijven die nu al met ZDR werken, hoeven voorlopig niets te veranderen: OpenAI zegt de bestaande garanties te behouden en klanten tijdig te informeren over wat de wijzigingen voor hun contract betekenen.
Wat betekent dit voor jou
Wat dit betekent voor je contract met AI-leveranciers
- Klanten van software die op OpenAI draait Zij kunnen straks aan hun eigen klanten uitleggen dat gegevens niet bewaard blijven en ook niet door medewerkers ingezien kunnen worden, wat het gesprek over gegevensbescherming makkelijker maakt.
- Wie zelf rechtstreeks via de OpenAI-API werkt Zodra de versleutelde opslagoptie er is, kan bewaren van gegevens bij OpenAI zonder dat personeel erbij kan, een alternatief worden voor de striktere nul-opslag, wat meer flexibiliteit geeft bij het bouwen van langere AI-taken.
- Bedrijven zonder rechtstreeks contract met OpenAI Voor hen verandert er niets aan hun eigen verplichtingen: dit is een technische belofte van OpenAI aan zijn zakelijke klanten, geen nieuwe regel waar een kmo zelf actie op moet ondernemen.
Veelgestelde vragen
Moet ik als kmo nu iets veranderen aan mijn AI-tools?
Nee, niet meteen. Als je bedrijf zelf geen rechtstreekse contracten heeft met OpenAI via de API, merk je hier voorlopig niets van. Gebruik je wel een tool die op OpenAI's technologie draait, dan is het nuttig om je leverancier te vragen of en wanneer die overstapt op het nieuwe systeem.
Wat is het verschil tussen zero data retention en het nieuwe systeem?
Zero data retention betekent dat OpenAI je gesprekken niet bewaart na verwerking. Het nieuwe systeem, Private Safety Processing, komt daar los van staan: het spoort verdacht gedrag op over meerdere gesprekken heen zonder dat medewerkers de inhoud zelf zien, ook wanneer je kiest voor die nul-opslag.
Betekent dit dat OpenAI mijn gegevens toch kan lezen?
Volgens OpenAI niet: het bedrijf zegt dat medewerkers ook bij versleutelde opslag geen toegang hebben tot de sleutel en dus niet bij de inhoud kunnen. Alleen een beperkt signaal over mogelijk misbruik wordt doorgegeven. Onafhankelijke bevestiging daarvan ontbreekt in de bronnen, dat blijft voorlopig een belofte van OpenAI zelf.
Wanneer wordt dit systeem echt beschikbaar?
OpenAI test het nu bij een kleine groep klanten en plant de bredere uitrol samen met een technisch document in september 2026. Een exacte datum of prijs staat niet in de bronnen, dus daar is nog geen duidelijkheid over.
Geldt dit ook voor gewone ChatGPT-gebruikers?
De bronnen gaan specifiek over zakelijke klanten die OpenAI's modellen via de API in hun eigen software gebruiken, niet over de gewone ChatGPT-app. Of en hoe dit ooit doorwerkt naar consumentenproducten, staat niet in de aangeleverde informatie.
Wat moet ik doen als leverancier AI-functies aanbiedt op basis van OpenAI?
Vraag je leverancier welke opslaginstelling ze gebruiken en of ze overstappen op het nieuwe systeem zodra dat beschikbaar is. Dat is relevant als je met klantgegevens werkt en moet kunnen aantonen waar en hoe die informatie wordt verwerkt.