Geen training betekent niet dat data in de EU blijft
Voor klantbankafschriften moet een kantoor contract, verwerkersafspraken, opslaglocatie, verwerkingslocatie, bewaartermijn, subprocessors en toegangsrechten beoordelen, niet alleen modeltraining.
Een doorgifte buiten de EU is niet automatisch verboden onder de AVG, maar vereist een passend juridisch mechanisme. Voor accountants geldt daarnaast professionele vertrouwelijkheid.
Algemene informatie, geen juridisch advies. Het werkelijke plan, contract en gebruiksscenario zijn bepalend.
Drie vragen die apart moeten worden gesteld
1. Wordt data gebruikt voor training?
Dit gaat over latere modelverbetering, niet over de locatie van data.
2. Waar wordt data opgeslagen?
Data residency kan bestanden, prompts en antwoorden omvatten, maar logs en metadata kunnen anders worden behandeld.
3. Waar wordt data verwerkt?
Inference, PDF-extractie, routing en beveiliging kunnen andere regionale regels hebben.
Actuele vergelijking van datalocaties
Gebaseerd op officiële providerinformatie in oktober 2026. Het daadwerkelijke abonnement en de configuratie zijn bepalend.
| Dienst | Training | Opslag | Verwerking | Praktische duiding |
|---|---|---|---|---|
| ChatGPT Business | Zakelijke data wordt standaard niet gebruikt om modellen te trainen. | Regionale opslag wordt geleidelijk uitgerold. Bij een regio buiten de VS bewaart OpenAI misbruikmonitoringdata in de VS en tijdelijk een kopie van elke prompt en elk antwoord. | De Business-opslagregio is geen inference residency en bepaalt niet waar antwoorden worden verwerkt. | Business betekent dus niet automatisch uitsluitend Europese opslag en verwerking. |
| ChatGPT Enterprise / Edu | Zakelijke data wordt standaard niet voor training gebruikt. | Geschikte workspaces kunnen Europa kiezen voor klantcontent in rust. | Europese GPU-inference is beschikbaar voor geschikte workspaces, terwijl CPU-stappen zoals PDF-tekstextractie en routing wereldwijd kunnen blijven plaatsvinden. | Sterkere regionale controles, zonder garantie dat iedere technische stap in Europa blijft. |
| Claude for Work / Enterprise | Commerciële Anthropic-producten gebruiken data standaard niet voor training. | Anthropic vermeldt expliciet dat commerciële productdata in de Verenigde Staten wordt opgeslagen. | Verkeer kan standaard via de VS, Europa, Azië of Australië worden gerouteerd, tenzij anders overeengekomen of ingesteld. | Geen training betekent geen EU data residency. |
| Gemini / Google Workspace | Geschikte Workspace-aanbiedingen hebben enterprisebescherming en gebruiken Workspace-content niet zonder toestemming voor externe modeltraining. | Business Standard en Business Plus ondersteunen een regio voor data in rust. Gemini-prompts en antwoorden behoren tot de gedekte datatypes. | Verwerkingsregio's hangen af van de editie, met uitgebreidere regionale processingcontrols vooral in Enterprise Plus. | Controleer de exacte editie, want regionale opslag en verwerking zijn aparte functies. |
| Langdock | Langdock zegt klantdata niet voor modeltraining te gebruiken. | Langdock noemt opslag doorgaans in de EU, Frankfurt en de Azure EU Data Boundary. | De meeste configureerbare modellen kunnen in de EU draaien. Expliciet gekozen globale modellen kunnen buiten de EU infereren. | Sterke EU-positionering, maar de werkelijk gekozen modeldeployment blijft relevant. |
| KontoCSV | KontoCSV is een doelgebonden converter, geen algemene chatworkspace. | Europese infrastructuur met servers in Frankfurt. Bestanden en zichtbare historie worden automatisch na zeven dagen verwijderd. | Verwerking is beperkt tot conversie en bevat gespecialiseerde bank- en boekhoudvalidatie. | Smalle doelbinding, beperkte retentie en boekhoudgerichte output. |
Professionele vertrouwelijkheid komt naast de AVG
De VGBA bevat vertrouwelijkheid als fundamenteel beginsel voor accountants. Dat geldt ook wanneer technologie of externe leveranciers worden gebruikt.
VGBA en vertrouwelijkheid
Klantinformatie moet vertrouwelijk worden behandeld, ook in digitale workflows.
AVG en verwerkers
Verwerkersafspraken, beveiliging, subprocessors en internationale doorgifte blijven afzonderlijke aandachtspunten.
ICT-controls
Toegangsbeheer, gegevensminimalisatie en leverancierstoetsing horen bij de organisatorische beheersing.
Boekhoudkundige integriteit
Privacy zegt niets over de volledigheid en saldojuistheid van de geëxtraheerde transacties.
Checklist vóór upload van een klantbankafschrift
- Goedgekeurde zakelijke workspace of persoonlijk account?
- Verwerkersafspraken en subprocessors bekeken?
- Training uitgesloten of beheersbaar?
- Waar staan bestanden, prompts en antwoorden?
- Waar vinden inference, PDF-extractie en routing plaats?
- Internationale doorgifte afgedekt?
- Bewaartermijn bekend?
- Is toegang noodzakelijk en intern toegestaan?
- Wordt het resultaat vóór boeken afgestemd?
Waarom bankafschriften extra gevoelig zijn
Bankafschriften kunnen salaris, huur, gezondheid, donaties, leveranciers, klanten en economische relaties zichtbaar maken.
Een gegenereerde CSV kan overtuigend lijken terwijl transacties ontbreken, tekens zijn omgedraaid of saldo-overdrachten verkeerd zijn gelezen.
Wat EU data residency werkelijk betekent
Opslag, inference en ondersteunende verwerking zijn verschillende garanties.
ChatGPT Business: opslagregio is geen inference residency; OpenAI beschrijft nog veiligheidsdata en tijdelijke kopieën in de VS.
ChatGPT Enterprise/Edu: Europese opslag en GPU-inference voor geschikte workspaces, terwijl bepaalde CPU-processen wereldwijd kunnen plaatsvinden.
Claude commercieel: data wordt volgens Anthropic in de VS opgeslagen en verkeer kan wereldwijd worden gerouteerd.
Google Workspace: Gemini-prompts en antwoorden kunnen onder Data Regions vallen, regionale verwerking hangt af van de editie.
Langdock: applicatie en meeste configureerbare modellen in de EU, behalve bewust gekozen globale modellen.
Hoe KontoCSV het doel beperkt
KontoCSV is bedoeld voor bank- en betaaldocumenten en verwijdert bestanden automatisch na zeven dagen.
De pipeline voegt saldoafstemming, getekende transactiesom, pagina- en statementscope, multi-account en MT940/CAMT.053-guards toe.
Dit vervangt geen juridische beoordeling, maar scheidt de bankdatataak van een permanente algemene chatomgeving.
Officiële bronnen
Controleer actuele voorwaarden en contracten vóór productiegebruik.
Veelgestelde vragen
Mag een accountant klantbankafschriften naar ChatGPT uploaden?
Beoordeel het echte plan, contract, verwerkersafspraken, training, retentie, regio's, subprocessors en professionele vertrouwelijkheid.
Is geen training voldoende?
Nee. Opslag en verwerking zijn aparte vragen.
Is verwerking buiten de EU altijd in strijd met de AVG?
Nee. Internationale doorgifte kan onder voorwaarden en met passende juridische mechanismen toegestaan zijn.
Waarom het resultaat nog valideren?
Omdat privacywaarborgen niet garanderen dat boekhouddata volledig en saldotechnisch correct is.
Gebruik een gespecialiseerde bankdataworkflow
KontoCSV beperkt het doel tot bankdocumenten, verwijdert bestanden na zeven dagen en voegt saldo- en boekhoudcontroles toe.